As notificações oficiais podem ser transformadas em ferramentas de transferência, o que é realmente absurdo nos dias de hoje. No dia de Natal, uma onda de usuários da Trust Wallet assistiu impotente enquanto seus bitcoins, Ethereum, Solana e outros ativos eram transferidos de suas carteiras em poucos minutos, como se alguém tivesse simplesmente levado tudo na porta de suas casas. O prejuízo causado por este incidente de hacking foi de aproximadamente 7 milhões de dólares, mas o que realmente dói é que a suposta segurança de carteiras não custodiais é, na verdade, baseada em promessas ilusórias.

Como o incidente aconteceu

Em 24 de dezembro, a Trust Wallet lançou uma atualização v2.68 para os usuários da extensão Chrome. Parecia uma manutenção rotineira, mas os hackers inseriram um script malicioso chamado "4482.js". Assim que o usuário importava a frase-semente na extensão, esse script secretamente enviava suas chaves privadas para um domínio falso controlado pelos hackers: api.metrics-trustwallet.com.

Todo o processo de ataque foi extremamente preciso:

- 8 de dezembro: os hackers registraram o domínio falso
- 22 de dezembro: a versão infectada foi lançada silenciosamente
- 24-25 de dezembro: centenas de carteiras foram esvaziadas imediatamente após desbloqueio ou importação da frase-semente

Um usuário explodiu nas redes sociais: "Eu apenas importei uma frase-semente, em menos de 10 minutos, 300 mil dólares sumiram!" Isso deixou de ser uma questão técnica simples, tornando-se uma afronta pública à segurança de todo o ecossistema de carteiras.

Por que canais oficiais se tornaram a brecha

Essa é a parte mais irônica. Os usuários confiam nas atualizações oficiais porque elas vêm de fontes confiáveis. Mas foi exatamente essa confiança que foi explorada. Assim que você baixa uma extensão contaminada da loja oficial do Chrome, quase não há como se proteger. Nenhuma lógica de carteira, por mais robusta que seja, pode te salvar, pois o problema está na cadeia de suprimentos.

Cada incidente assim nos lembra de um problema antigo enraizado no setor de ativos criptográficos: distribuição não é sinônimo de segurança, e carteiras não custodiais não são infalíveis. Fatores humanos, sistemas e até mesmo os canais oficiais podem ser pontos fracos. Manter suas chaves privadas e frases-semente seguras continua sendo prioridade, mas quando é que essa prática realmente se tornará zero risco?