Un attacco alla supply chain ha colpito la Trust Wallet Chrome extension e ha portato al furto di circa 8.5 milioni di dollari in criptovalute, sottratti da 2.520 wallet. Il caso mostra in modo chiaro quanto la sicurezza delle estensioni browser e dei processi di rilascio sia un punto critico per chi gestisce asset digitali e per chi sviluppa software legato al mondo crypto.
Secondo la ricostruzione dell’incidente, gli aggressori sono riusciti a ottenere accesso a segreti di sviluppo collegati a GitHub. Questa esposizione ha permesso di arrivare al codice sorgente della browser extension e soprattutto alla chiave API del Chrome Web Store. Con la chiave in mano, gli attaccanti hanno potuto caricare build direttamente sul marketplace, bypassando il normale processo interno di rilascio che prevede approvazioni e revisioni manuali. In pratica, la catena di fiducia si è rotta nel punto più pericoloso, cioè dove un aggiornamento ufficiale viene percepito dagli utenti come legittimo.
La versione malevola dell’estensione, identificata come aggiornamento 2.68, è stata distribuita tramite il marketplace il 24 dicembre 2025. L’estensione compromessa includeva una backdoor progettata per sottrarre le frasi mnemoniche dei wallet, cioè il dato più sensibile per chi usa un portafoglio crypto. Per supportare l’esfiltrazione, gli attaccanti avrebbero registrato un dominio che imitava la telemetria del servizio e utilizzato un sottodominio API per raccogliere le informazioni rubate.
Dopo le segnalazioni pubbliche delle prime attività di svuotamento dei wallet, è stato richiesto agli utenti di aggiornare alla versione 2.69. Nel frattempo è stata avviata una procedura di rimborso per le vittime, con verifiche caso per caso per distinguere richieste legittime da possibili tentativi di frode.
L’episodio si inserisce in una campagna più ampia di supply chain attack nota come Shai Hulud, che punta a rubare segreti dagli ambienti di sviluppo e a sfruttare dipendenze e strumenti usati comunemente dai developer. In parallelo, è stata osservata una nuova evoluzione della minaccia con maggiore offuscamento e affidabilità, segnale che gli attacchi alla supply chain software restano un rischio prioritario per l’ecosistema crypto e per la sicurezza informatica in generale.
