Ataque de cadena de suministro compromete extensión de Trust Wallet y expone fondos por USD 8,5 millones
Un ataque de cadena de suministro vinculado a la segunda iteración de Shai-Hulud permitió a los atacantes acceder a secretos internos de los desarrolladores de Trust Wallet almacenados en GitHub. Entre los datos comprometidos se encontraba el acceso al código fuente y la clave API utilizada para publicar extensiones en Chrome Web Store.
Como resultado, el 24 de diciembre de 2025 se publicó la versión maliciosa 2.68 de la extensión de Trust Wallet sin pasar por los controles internos habituales. Esta versión incorporaba un backdoor diseñado para recolectar frases mnemónicas de los usuarios. En total, se vieron comprometidas 2.520 billeteras.
El dominio metrics-trustwallet[.]com fue utilizado como infraestructura para alojar y operar el código malicioso, facilitando la exfiltración de información sensible desde los entornos de los usuarios afectados.
Impacto y respuesta de Trust Wallet
Las pérdidas económicas derivadas del incidente alcanzaron los USD 8,5 millones, fondos que fueron transferidos a 17 direcciones bajo control de los atacantes. Tras detectar el compromiso, Trust Wallet tomó las siguientes medidas:
-
Revocación inmediata de las credenciales comprometidas.
-
Reversión de la extensión a la versión 2.69, considerada segura.
-
Inicio de un proceso de reembolso caso por caso para las víctimas verificadas.
-
Implementación de monitoreo adicional y controles reforzados en el proceso de publicación y lanzamiento de extensiones.
Desde la compañía indicaron que los nuevos mecanismos buscan reducir la superficie de ataque en futuras actualizaciones y mejorar la detección temprana de modificaciones no autorizadas.
Contexto: Shai-Hulud y la cadena de suministro
Shai-Hulud es una campaña de ataques de cadena de suministro a escala industrial que afecta principalmente a herramientas del ecosistema de desarrollo, como npm. Su objetivo es la exposición y robo de secretos desde las máquinas de desarrolladores, impactando a múltiples sectores, incluido el cripto.
Recientemente se identificó una versión 3.0 de Shai-Hulud, con mejoras significativas en técnicas de ofuscación y compatibilidad con entornos Windows, lo que amplía su alcance y dificulta su detección. Este caso vuelve a poner en evidencia las vulnerabilidades persistentes en extensiones de billeteras cripto y la criticidad de asegurar los pipelines de desarrollo y distribución de software.