Vấn đề bảo mật nghiêm trọng của tiện ích mở rộng trình duyệt Trust Wallet gây thiệt hại 6 triệu đô la

Trust Wallet của tiện ích mở rộng trình duyệt đã phát hiện ra lỗ hổng nghiêm trọng, dẫn đến nhiều người dùng vô tình mất tài sản ảo. Số tiền thiệt hại vượt quá 6 triệu USD, công ty đã bắt đầu thực hiện các biện pháp ứng phó khẩn cấp ngay lập tức.

Quá trình từ phát hiện vấn đề đến phản ứng

Nhà điều tra chuỗi trên blockchain ZachXBT đã chỉ ra bất thường trên Telegram, từ đó vấn đề bảo mật này mới được công khai nhận thức. Trong cảnh báo của anh ấy, có báo cáo về việc nhiều người dùng Trust Wallet đang trải qua dòng chảy vốn nhanh chóng. Ngay sau đó, điều tra cho thấy một số phiên bản của tiện ích mở rộng Chrome có lỗ hổng bảo mật.

Nhóm điều tra của Trust Wallet xác nhận rằng phiên bản 2.68 của tiện ích mở rộng là nguồn gốc của vấn đề. Trong khi đó, người dùng ứng dụng di động và các phiên bản khác vẫn an toàn.

Quy mô thiệt hại và thực tế của phương thức tấn công

Theo điều tra chi tiết của ZachXBT, các hacker ước tính đã trộm hơn 6 triệu USD tài sản. Ảnh hưởng đến hàng trăm người dùng. Hacker đã lợi dụng phương pháp flash loan để chuyển khoản tài sản bị đánh cắp, sau đó hơn 4 triệu USD đã được chuyển đến các sàn giao dịch tập trung.

Lỗ hổng này đã cho phép kẻ tấn công truy cập trực tiếp vào tài sản của người dùng, dẫn đến dòng chảy bất hợp pháp. Tiện ích mở rộng trình duyệt trở thành lĩnh vực nguy hiểm nhất.

Các biện pháp người dùng cần thực hiện ngay lập tức

Trust Wallet đã công bố các hướng dẫn bảo mật sau nhằm ngăn chặn sự mở rộng của thiệt hại.

Trước tiên, người dùng cần nâng cấp tiện ích mở rộng lên phiên bản 2.69 ngay lập tức. Phiên bản này đã vá các lỗ hổng bảo mật mới nhất.

Tiếp theo, khuyến nghị chuyển tài sản ảo sang ứng dụng di động. Ứng dụng di động có chức năng xác thực sinh trắc học, an toàn hơn so với tiện ích mở rộng trình duyệt.

Ngoài ra, việc kiểm tra định kỳ lịch sử giao dịch của ví cũng rất quan trọng. Phát hiện hoạt động bất thường sớm có thể hạn chế thiệt hại.

Triển vọng hoàn tiền và các tiền lệ trước đó

Điểm đáng chú ý là vào tháng 11 năm 2022, Trust Wallet cũng từng gặp sự cố bảo mật. Lúc đó, do lỗ hổng WebAssembly, thiệt hại khoảng 170.000 USD đã xảy ra, nhưng công ty đã bồi thường cho tất cả người dùng bị ảnh hưởng.

Tuy nhiên, quy mô thiệt hại lần này lớn hơn nhiều, và đến tháng 12 năm 2025, chưa có kế hoạch hoàn trả chính thức nào được công bố. Các nạn nhân đang chờ đợi phản hồi rõ ràng từ công ty. Do quy mô thiệt hại lớn, việc quyết định chính sách hoàn tiền có thể mất thời gian đáng kể.

Thông điệp cảnh báo toàn ngành

Vụ việc lần này nhấn mạnh tầm quan trọng của việc cập nhật bảo mật kịp thời. Đồng thời, cũng làm rõ rằng phương thức tấn công ngày càng tinh vi hơn.

Người dùng cần thực hành cập nhật phần mềm định kỳ, quản lý tài sản phân tán, và theo dõi giao dịch liên tục. Đặc biệt, khi sử dụng ví dựa trên trình duyệt, cần cảnh giác cao độ.

Sự kiện này sẽ thúc đẩy lại cuộc thảo luận toàn ngành về rủi ro lưu trữ (custodial). Việc xem xét và nâng cao tiêu chuẩn bảo mật là điều không thể tránh khỏi cho sự phát triển của ngành trong tương lai.