Trust Wallet浏览器扩展在v2.68版本遭遇供应链攻击。黑客通过植入伪装成PostHog分析工具的恶意代码，成功截获用户导入的助记词信息。仅数小时内，数百个钱包就被迅速清空，确认损失突破700万美元。

这次事件的严重性在于其隐蔽性——恶意代码伪装得很像常见的数据分析库，很难被发现。受害用户在导入钱包时完全没意识到自己的种子短语正在被实时窃取。

某头部交易所官方随后发声，表示将对受害用户进行全额赔偿，资金安全得到保障。这一承诺算是及时的定心丸。

但这次事件也暴露了一个老生常谈的问题：非托管钱包虽然标榜自主掌控，实际上浏览器扩展本身就是高危环节。插件权限过大、代码审计难度高、供应链环节多——任何一个薄弱点都可能成为突破口。

最直接的教训是：**浏览器热钱包不适合存放大额资金，更不能随意导入助记词**。冷钱包、硬件钱包才是长期存储的正确姿势。如果非要用热钱包，也要严控额度，用多少提多少。另外定期检查插件版本、关注官方安全公告也很关键。

这波事件再次提醒整个社区：自我保管的同时，自我保护的责任也得跟上。