圈里摸爬滚打這些年，見過不少風浪，但這次某熱門錢包瀏覽器擴展的黑客事件還是讓人背後發涼——官方正式版居然成了入侵工具，這一記悶棍打醒了多少人對「安全幻覺」的依賴？

**時間線：精心設計的聖誕劫持**

故事從12月8日開始。黑客註冊了一個仿冒域名api.metrics-trustwallet[.]com，埋伏兩周沒動靜。到了12月22日，一個被篡改的v2.68.0版本通過官方渠道推送了出去。

等到聖誕節當天，資金轉移開始。鏈上追蹤專家ZachXBT的監測數據顯示，短短幾天內至少600到700萬美元的加密資產就這樣消失了，受害用戶數百人。

**黑客的真正聰明之處**

這不是什么粗暴的伺服器入侵。黑客在代碼裡塞進去一個看起來很無害的PostHog數據分析工具——就是那種錢包公司日常都會用的東西。但這玩意兒留了個後門：當用戶充值完畢、重新打開錢包時，它就會悄悄把助記詞給竊取走。

這是供應鏈攻擊的教科書式案例。不是黑了伺服器，而是在官方發布的渠道裡下毒——讓用戶自己把密鑰交給盜賊。