Пост основателя Binance Чанпэна Чжао появился после того, как несколько его подписчиков в соцсети Х пожаловались на пропажу денег со своих кошельков. Чжао обратил внимание на фейковый ресурс после замечания анонимного блокчейн-аналитика под ником Malwarehunter. Речь о сайте trastwallet.cam: техническое исследование показало, что фальшивый сайт содержит скрипт для взаимодействия с Trust Wallet, а также Phantom и OKX Wallet.
Скрипт позволяет атаковать пользователей сразу нескольких популярных кошельков. После подключения кошелька он может сканировать балансы через серверный API и готовить переводы на заранее прописанные в коде адреса. Найденная версия скрипта способна идентифицировать балансы и готовить переводы, но не исполнять их.
За два дня до первого поста о фишинговом сайте пользователь Х под именем Ярослав Дубовой сообщил, что из его кошелька Trust Wallet исчезли 3830 USDT. Дубовой, по его словам, пользовался Trust Wallet около пяти лет, применял меры безопасности и не подтверждал никаких операций перед исчезновением средств. Ни предупреждения, ни запроса подтверждения перед переводом не появилось.
В конце октября другой пользователь, Артур Романчук, рассказал, что через приложение Trust Wallet на iPhone были переведены 68 327,41 USDT. Романчук заявил, что его приватный ключ попал к злоумышленникам, и связал кражу с уязвимостями айфонов. В комментариях под постом другие пользователи также заявили о потере средств, но команда Trust Wallet публично не комментировала ни одно из сообщений. Trust Wallet принадлежит Binance с 2018 года, поэтому реакция Чжао формально не касается компрометации самой биржи.
В марте аналитики Google Threat Intelligence Group, Lookout и iVerify раскрыли эксплойт-цепочку DarkSword — набор дыр в системе iPhone, которыми пользуются хакеры для кражи данных, — на смартфонах Apple с версией iOS 18.4–18.7. Google зафиксировала атаки на пользователей в Украине, Саудовской Аравии, Турции и Малайзии, а в апреле Apple выпустила обновление, закрывшее уязвимости. Проблема не решена: владельцы старых айфонов, которым доступна только ветка iOS 18, не могут обновиться.
В октябре аналитики компании Censys обнаружили пять серверов с платформой, которая использовала DarkSword для кражи данных и содержала 18 модулей для криптокошельков, включая MetaMask, Phantom, Trust Wallet, Coinbase, Exodus и imToken. Вредоносная программа загружалась на устройство, искала в фото и заметках сид-фразы и отправляла их на платформу, если на кошельке был пройден порог минимальной суммы. В конце октября анонимный исследователь криптобезопасности под псевдонимом Daniel обнаружил еще один фейковый сайт Trust Wallet с рекламой платежной карты на подозрительно выгодных условиях, и в компании заявили, что не имеют к нему отношения.
