क्या ट्रस्ट वॉलेट का ब्राउज़र एक्सटेंशन समझौता किया गया था?

25 दिसंबर, 2025 को, ट्रस्ट वॉलेट ब्राउज़र एक्सटेंशन से जुड़ी एक महत्वपूर्ण सुरक्षा घटना की रिपोर्ट सामने आई, जिसमें कथित तौर पर 2 मिलियन डॉलर से अधिक की उपयोगकर्ता निधि का नुकसान हुआ। ब्लॉकचेन जांचकर्ता ZachXBT ने संदिग्ध गतिविधि को चिह्नित किया, जिसमें एक संभावित आपूर्ति-श्रृंखला समझौते का सुझाव दिया गया जिसके कारण व्यापक ट्रस्ट वॉलेट ब्राउज़र एक्सटेंशन शोषण हुआ, जिससे क्रिप्टो समुदाय में तत्काल चेतावनी मिली।

अलार्म बजते हैं: प्रारंभिक संदेह उभरते हैं

क्रिप्टो समुदाय को 25 दिसंबर, 2025 को ट्रस्ट वॉलेट ब्राउज़र एक्सटेंशन के भीतर एक संभावित भेद्यता के बारे में सतर्क किया गया था, जब प्रमुख ब्लॉकचेन जासूस ZachXBT ने परेशान करने वाली उपयोगकर्ता रिपोर्टों की एक श्रृंखला पर ध्यान आकर्षित किया। इन रिपोर्टों में वॉलेट के अस्पष्ट रूप से निकाले जाने के उदाहरणों का विवरण दिया गया, जिसमें समय अक्सर 24 दिसंबर को जारी किए गए हालिया ब्राउज़र एक्सटेंशन अपडेट के साथ मेल खाता था। घटनाओं के इस तेजी से उत्तराधिकार ने तुरंत सुरक्षा विशेषज्ञों और उपयोगकर्ताओं के बीच लाल झंडे उठाए।

प्रारंभिक निष्कर्षों ने एक संदिग्ध आपूर्ति-श्रृंखला समझौते की ओर इशारा किया, एक परिष्कृत हमला वेक्टर जहां विकास या वितरण के दौरान दुर्भावनापूर्ण कोड को वैध सॉफ़्टवेयर में इंजेक्ट किया जाता है। इस प्रकार का हमला विशेष रूप से कपटी होता है क्योंकि यह पारंपरिक उपयोगकर्ता-पक्ष फ़िशिंग प्रयासों को दरकिनार कर देता है, सीधे एप्लिकेशन की अखंडता से समझौता करता है। निहितार्थ गंभीर थे, यह सुझाव देते हुए कि डिजिटल संपत्तियों को सुरक्षित करने के लिए डिज़ाइन किया गया उपकरण उनकी चोरी के लिए एक नाली बन सकता है।

मालवेयर को अनपैक करना: ट्रस्ट वॉलेट ब्राउज़र एक्सटेंशन शोषण ने कथित तौर पर कैसे काम किया

स्वतंत्र शोधकर्ताओं द्वारा आगे की जांच ने समझौते के पीछे कथित तंत्र को एक साथ जोड़ना शुरू कर दिया। अपडेट किए गए एक्सटेंशन कोड के विश्लेषण से कथित तौर पर एक नई शुरू की गई जावास्क्रिप्ट फ़ाइल का पता चला, जिसे चतुराई से नियमित विश्लेषण के रूप में प्रच्छन्न किया गया। यह मॉड्यूल केवल डेटा एकत्र नहीं कर रहा था; इसे एक विशिष्ट, महत्वपूर्ण स्थिति में सक्रिय करने के लिए डिज़ाइन किया गया था: जब कोई उपयोगकर्ता ब्राउज़र एक्सटेंशन में एक सीड वाक्यांश आयात करता है।

एक बार ट्रिगर होने के बाद, दुर्भावनापूर्ण कोड ने कथित तौर पर कार्रवाई में छलांग लगाई, चुपचाप संवेदनशील वॉलेट डेटा – विशेष रूप से, सीड वाक्यांश – को एक बाहरी डोमेन में भेज दिया। यह डोमेन आधिकारिक ट्रस्ट वॉलेट अवसंरचना की नकल करने के लिए तैयार किया गया था, जिससे एक भ्रामक मुखौटा बनाया गया। दिलचस्प बात यह है कि रिपोर्टों से संकेत मिलता है कि इस धोखाधड़ी वाले डोमेन को घटना से कुछ दिन पहले ही पंजीकृत किया गया था और शोषण की पहचान होने के तुरंत बाद तेजी से ऑफ़लाइन हो गया। यह समन्वित समय और डोमेन का तेजी से गायब होना एक अलग गड़बड़ या उपयोगकर्ता त्रुटि के बजाय एक जानबूझकर और परिष्कृत हमले का दृढ़ता से सुझाव देता है।

परिणाम: उपयोगकर्ता रिपोर्ट और अनुमानित वित्तीय नुकसान

प्रारंभिक अलर्ट के बाद, उपयोगकर्ताओं की एक लहर सामने आई, जिसमें निकाले गए वॉलेट के दावों की पुष्टि की गई। इन व्यक्तियों ने महत्वपूर्ण नुकसान की सूचना दी, जो अक्सर उनके द्वारा प्रभावित ब्राउज़र एक्सटेंशन में अपने सीड वाक्यांशों को आयात करने के तुरंत बाद होते हैं। सार्वजनिक रूप से साझा किए गए अनुमान, हालांकि अभी तक ट्रस्ट वॉलेट द्वारा स्वतंत्र रूप से सत्यापित नहीं किए गए हैं, ने संकेत दिया कि कुल वित्तीय नुकसान 2 मिलियन डॉलर से अधिक हो सकता है। यह पर्याप्त आंकड़ा ट्रस्ट वॉलेट ब्राउज़र एक्सटेंशन शोषण के संभावित पैमाने को रेखांकित करता है।

ऑन-चेन गतिविधि पर नजर रखने वाले विश्लेषकों ने चुराई गई धनराशि को स्थानांतरित करने के तरीके में एक सुसंगत पैटर्न देखा। अलग-अलग लेनदेन के बजाय, संपत्तियों को कई मध्यस्थ पतों के माध्यम से रूट किया गया, जो स्वचालित शोषण प्रणालियों द्वारा निशान को अस्पष्ट करने और वसूली के प्रयासों को जटिल बनाने के लिए नियोजित एक सामान्य रणनीति है। धन के इस परिष्कृत आंदोलन ने आगे एक समन्वित हमले के सिद्धांत को मजबूत किया, इसे सरल, व्यक्तिगत फ़िशिंग घटनाओं से अलग किया।

फॉलआउट को नेविगेट करना: ट्रस्ट वॉलेट की प्रतिक्रिया और उपयोगकर्ता सुरक्षा उपाय

25 दिसंबर, 2025 तक, ट्रस्ट वॉलेट ने आरोपों के संबंध में कोई आधिकारिक सार्वजनिक बयान, स्पष्टीकरण या सुरक्षा सलाह जारी नहीं की थी। इस चुप्पी ने उपयोगकर्ताओं और व्यापक क्रिप्टो समुदाय को अनिश्चितता की स्थिति में छोड़ दिया, मार्गदर्शन के लिए स्वतंत्र जांच और सुरक्षा शोधकर्ताओं पर बहुत अधिक भरोसा किया। तत्काल प्रतिक्रिया की अनुपस्थिति, जैसे कि एक्सटेंशन रोलबैक या एक आपातकालीन पैच, ने चिंताओं को और बढ़ा दिया।

चल रही जांच और आधिकारिक पुष्टि की कमी के आलोक में, उपयोगकर्ताओं को अत्यधिक सावधानी बरतने की दृढ़ता से सलाह दी जाती है। यहां कुछ महत्वपूर्ण सिफारिशें दी गई हैं:

• सीड वाक्यांशों को आयात करने से बचें: जब तक कोई आधिकारिक सुरक्षा अपडेट या स्पष्टीकरण प्रदान नहीं किया जाता है, तब तक ट्रस्ट वॉलेट ब्राउज़र एक्सटेंशन में अपने सीड वाक्यांश को आयात या पुन: दर्ज न करें।
• विकल्पों पर विचार करें: तत्काल लेनदेन या संपत्ति प्रबंधन के लिए, ट्रस्ट वॉलेट मोबाइल एप्लिकेशन का उपयोग करने पर विचार करें, जिसे इस विशिष्ट शोषण में शामिल नहीं किया गया है।
• खाता गतिविधि की निगरानी करें: किसी भी संदिग्ध गतिविधि के लिए नियमित रूप से अपने वॉलेट बैलेंस और लेनदेन इतिहास की जांच करें।
• सूचित रहें: अपडेट के लिए प्रतिष्ठित ब्लॉकचेन सुरक्षा शोधकर्ताओं और आधिकारिक ट्रस्ट वॉलेट चैनलों का पालन करें।
• अनुमतियों को रद्द करें: यदि आपको संदेह है कि आपके वॉलेट से समझौता किया जा सकता है, तो आगे अनधिकृत पहुंच को रोकने के लिए टोकन के लिए किसी भी सक्रिय स्मार्ट अनुबंध अनुमति को रद्द करने पर विचार करें।

यह घटना वेब3 स्पेस में लगातार सुरक्षा चुनौतियों की एक स्पष्ट याद दिलाती है, विशेष रूप से ब्राउज़र एक्सटेंशन में आपूर्ति-श्रृंखला कमजोरियों के बारे में। जबकि जांच जारी है, ध्यान उपयोगकर्ता सुरक्षा और डिजिटल संपत्ति प्रबंधन की अखंडता पर बना हुआ है। cryptoview.io जैसे उपकरण बाजार के रुझानों और वॉलेट गतिविधि में मूल्यवान अंतर्दृष्टि प्रदान कर सकते हैं, जिससे उपयोगकर्ताओं को व्यापक पारिस्थितिकी तंत्र के स्वास्थ्य के बारे में सूचित रहने में मदद मिलती है। CryptoView.io के साथ अवसर खोजें