פרצת האבטחה ב-Trust Wallet: האם עובד פנימי אחראי להפריצה?
בתאריך 26 בדצמבר, התקרית עם תוסף ה-Chrome של Trust Wallet הגיעה למרכז השיח הציבורי בעקבות הצהרה של צ'אנגפנג ג'או (CZ), מנכ"ל Binance. ג'או העלה את האפשרות שהפריצה עשויה להיות קשורה לעובד פנימי. ההשלכות של התקרית החריפו, כאשר Trust Wallet דיווחו כי כ-7 מיליון דולר מכספי המשתמשים נפגעו עד כה.
התגובה של CZ הדגישה את החשש מגישה פנימית כקו חקירה מרכזי. הוא הבטיח כי Trust Wallet תחזיר את הכספים למשתמשים שנפגעו והדגיש כי כספי הלקוחות בטוחים. עם זאת, הוא הוסיף שהחוקרים עדיין בודקים כיצד עדכון תוסף הדפדפן הצליח לעבור את בקרות ההפצה, כשהוא מצביע על גורם פנימי כ"סבירות הגבוהה ביותר".
הזווית של גורם פנימי משכה תשומת לב רבה בקהילת אבטחת הקריפטו. תוספי דפדפן דורשים מפתחות חתימה, אישורי מפתחים וזרמי עבודה לאישור כדי לפרסם עדכונים. כדי שגרסה זדונית או פגומה תופץ דרך חנות ה-Chrome הרשמית, החוקרים בוחנים פגיעה באישורים או גישה פנימית ישירה, מה שמצביע על חולשות באבטחת התפעול.
בשנה האחרונה, מספר תקריות בולטות בתוספי דפדפן נבעו מחשבונות מפתחים שנפרצו או מצינורות הפצה פגומים. Trust Wallet אישרו שהתקרית השפיעה רק על גרסת תוסף הדפדפן 2.68, והבהירו שמשתמשי המובייל וגרסאות אחרות לא נפגעו. החברה פועלת לסיים את הליכי ההחזר ולהוציא הנחיות ברורות למשתמשים שנפגעו.
תגובת השוק לא איחרה לבוא. אסימון ה-TWT של Trust Wallet חווה ירידה משמעותית לאחר הדיווחים הראשוניים ב-25 בדצמבר, אך המחירים התייצבו והתאוששו ב-26 בדצמבר לאחר האישור שההפסדים היו מוגבלים ויוחזרו.
תקרית זו מדגישה את הצורך בניהול סיכונים פנימיים ואבטחת עדכונים בתעשיית הקריפטו, במיוחד כאשר ארנקים קריפטוגרפיים מסתמכים יותר ויותר על תוספי דפדפן. האם לדעתכם חברות הקריפטו צריכות לשנות את הגישה שלהן לאבטחת תוספים? נשמח לשמוע את דעתכם על הנושא.