Vụ hack TrustWallet trị giá hàng triệu đô la: Những gì đã biết cho đến nay

TrustWallet, một trong những ví tự quản lý phổ biến nhất trong thế giới tiền điện tử và được Binance hậu thuẫn, đã trở thành nạn nhân của một vụ tấn công mạng kỳ lạ. Kẻ xấu đã chặn được cụm từ khôi phục ví, tự động khôi phục ví và đánh cắp hơn 7 triệu đô la Mỹ bằng nhiều loại tiền điện tử khác nhau.

Đây là cách TrustWallet bị tấn công và lý do tại sao vụ việc lại gây ra hậu quả nghiêm trọng đến vậy.

Hôm nay, ngày 26 tháng 12 năm 2025, TrustWallet, một ví tiền điện tử đa chuỗi phổ biến, đã bị tấn công bởi tin tặc. Theo các nhà nghiên cứu an ninh mạng, mã độc – mã JavaScript – đã được chèn vào phiên bản v2.68.0 của tiện ích mở rộng trình duyệt TrustWallet dành cho Google Chrome.

TrustWallet đã triển khai tiện ích mở rộng Chrome bị nhiễm virus phiên bản 2.68.0 vào ngày 24 tháng 12 năm 2025. Ngay sau đó, những người dùng đã nhập hoặc truy cập vào cụm từ khôi phục của họ thông qua phiên bản này bắt đầu mất tiền ngay lập tức.

Về mặt kỹ thuật, phương thức tấn công như sau: phần mềm độc hại được ví điện tử nhận diện là một mô-đun phân tích. Thay vào đó, nó đã truy cập được các cụm từ hạt giống và gửi chúng đến các tên miền được tạo ra vài ngày trước đó.

Để ngăn chặn việc này bị lộ, các tên miền đã được che giấu bằng cách sử dụng "TrustWallet Metrics", "TrustWallet Metrics API" và các tiêu đề tương tự. Đồng thời, một khi Ghi nhớ bị rò rỉ, những kẻ xấu chỉ cần khôi phục ("nhập") ví trên hệ thống của chúng và rút tiền một cách hợp pháp.

Thiết kế này khiến việc tấn công trở nên vô cùng nguy hiểm và âm thầm; với cụm từ hạt giống bị kẻ xấu đánh cắp, việc phê duyệt, ủy quyền hay thậm chí mở ví đều không cần thiết. Đó là lý do tại sao khuyến nghị duy nhất từ ​​các nhà nghiên cứu bảo mật là ngắt kết nối máy tính đã cài đặt TrustWallets khỏi internet.

Cuộc tấn công đã ảnh hưởng đến tiền trên Bitcoin (BTC), Solana (SOL), BNB Smart Chain (BSC) và một số hệ sinh thái L2 Máy ảo Ethereum (EVM) .

Đội ngũ TrustWallet lên tiếng: Liệu các khoản lỗ có được bồi thường?

Số tiền bị đánh cắp ngay lập tức được chuyển đến ChangeNOW, FixedFloat, Kucoin và HTX. Ban đầu, người dùng thậm chí không thể thống kê được số tiền điện tử bị đánh cắp là bao nhiêu.

Theo thông báo chính thức từ TrustWallet, tổng thiệt hại ròng lên tới 7 triệu đô la. Các nhà phát triển đã phát hành bản cập nhật v2.69.0 và khuyến khích mọi người nâng cấp lên phiên bản này.

Đội ngũ TrustWallet đảm bảo rằng mọi nạn nhân sẽ được hoàn tiền. Chi tiết cụ thể về chương trình bồi thường sẽ được công bố sau.

Giá cổ phiếu TWT ngay lập tức giảm xuống còn 0,76 đô la, mức thấp nhất kể từ giữa tháng 9, mất 8% chỉ trong thời gian ngắn. Đến thời điểm viết bài này, mức lỗ đã được bù đắp.