Пользователь Trust Wallet обвинил компанию во лжи и заявил, что его кошелек взломали. Так он отреагировал на заявление сервиса о том, что недавняя уязвимость в PHP не затронула его клиентов. По словам автора, с кошелька ушли 915 USDT, а в истории операций раз за разом появляются поддельные переводы. Он потребовал вернуть деньги.
С обвинениями выступил криптоинфлюенсер и трейдер DMC (Crypto Wala Dost). Он утверждает, что не нарушал ни одного правила безопасности, а на адресе злоумышленника уже скопилось почти $100 000 средств других пострадавших. К посту он приложил скриншоты из кошелька и обозревателя BscScan.
Хотите еще эксклюзивных новостей и аналитики? Подписывайтесь на наш телеграм-канал , обсуждайте новости и делитесь мнениями о последних событиях рынка в чате!
Что случилось
22 октября команда Trust Wallet сообщила, что знает о недавно раскрытой уязвимости в PHP. Компания подчеркнула, что приложения кошелька и основная инфраструктура сервиса не используют PHP. Поэтому пользователи не пострадали, и никаких действий от них не требуется.
В ответ DMC назвал представителей кошелька лжецами. Он заявил, что Trust Wallet взломан. При этом как именно уязвимость в PHP связана с его потерей, трейдер не объяснил.
Часть скринов, которые пострадавший прикрепил к посту. Источник: XДетали
Перевод прошел в сети BNB Smart Chain 26 октября, через четыре дня после заявления компании. Судя по скриншоту из Trust Wallet, с кошелька ушло 915,4957 USDT, на тот момент около $914. Комиссия сети составила 0,00000163 BNB, меньше цента. Получатель — адрес, который начинается с 0x7c979aEC и заканчивается на 9aF80fcEf. BscScan показывает те же данные. Транзакция завершилась успешно, ее хеш — 0x31ca896a1a6398af5b8db714a990ee024f351bea5198c042a44e6789b8ce44de.
На BscScan отправителем транзакции указан сам адрес трейдера, а обращалась она к контракту токена USDT. То есть это обычный перевод, подписанный ключом его кошелька. Списание по старому разрешению, которое пользователь когда-то выдал сайту или приложению, выглядело бы иначе — такую транзакцию отправлял бы чужой адрес.
В истории Trust Wallet этот перевод отмечен как операция с настоящим USDT. Следом за ним идут шесть одинаковых исходящих операций на 915,4957 USDT — три в тот же день и еще три позже. Адреса получателей начинаются с тех же символов 0x7c97, но отличаются последними знаками.
Это похоже на известный прием мошенников — «отравление адресов». Жертве засоряют историю кошелька переводами поддельных токенов на похожие адреса, чтобы при следующем копировании она выбрала не тот. Правда, здесь поддельные операции появились уже после настоящего перевода, так что саму потерю они не объясняют.
Почему он винит сервис, а не себя
Трейдер подчеркнул, что держал кошелек только на одном iPhone. Сид-фразу и приватный ключ он, по его словам, никому не передавал. Сам кошелек он ни для чего не использовал и не подключал ни к одному сайту. Поэтому пострадавший уверен, что дело не в его ошибке, а во взломе самого Trust Wallet.
Второй аргумент — активность адреса получателя. Судя по скриншотам из BscScan, на него пришло несколько десятков переводов на самые разные суммы, от совсем мелких до нескольких тысяч. Среди них трейдер отметил свои 915 USDT. Часть средств ушла дальше — в списке есть исходящий перевод на 3 179,84 USDT на адрес 0xc1d13492…c6318a1b5. Это верифицированный смарт-контракт, у которого больше 10 000 переводов, обозреватель показывает только последние десять тысяч. На его балансе 145 821 USDT, около $145 637. Среди последних операций контракта — обмены и переводы, а исходящие платежи с него расходятся по множеству адресов на суммы от единиц до сотен USDT.
Что это за контракт и кому он принадлежит, по скриншотам понять нельзя. Но обмены и такой объем операций больше похожи на сервис для обмена токенов, чем на личный кошелек хакера.
Именно из этих данных о входящих и исходящих переводах DMC вывел цифру $100 000 украденных средств.
Если бы ошибку допустил он сам, другие пользователи не потеряли бы деньги. Раз пострадавших много, проблема, по его мнению, на стороне сервиса. Поэтому заверения компании о безопасности пользователей он счел ложью.
При этом доказательств взлома самой инфраструктуры Trust Wallet он не привел. Скриншоты подтверждают факт перевода и активность адреса получателя, но не объясняют, как злоумышленник получил доступ к кошельку.
Реакция криптосообщества
Под постом мнения разделились. Часть комментаторов во взлом самого сервиса не поверила. Они напомнили, что Trust Wallet — некастодиальный кошелек, то есть ключи от него хранятся только у владельца, и доказательств взлома компании в посте нет.
Скептики предложили несколько более вероятных причин потери:
старое разрешение для какого-нибудь сайта или приложения — его пользователь выдает при подключении кошелька, потом забывает, а сам сервис позже взламывают; утечка резервной копии сид-фразы; переписка с фальшивой поддержкой; «отравление адресов»; взлом самого телефона, например через утечку из почты или небезопасный Wi-Fi; попытка обменять мошеннический токен из airdrop.DMC возразил, что активных разрешений для приложений у него нет, телефон и ключи в порядке, а историю транзакций в BSC он уже отправил.
Несколько человек написали, что их кошельки Trust Wallet тоже опустошили. Названы суммы от $500 до $9 900. Общая претензия у всех одна — поддержка не ответила или не помогла.
Похожие случаи вспомнили и владельцы других кошельков — Phantom, приложения Uniswap и кошелька Samsung. Один из них описал ту же картину — деньги ушли со счета без его согласия, а на вопрос, как это произошло, никто так и не ответил.
Читайте оригинальную статью Инфлюенсер обвинил Trust Wallet во взломе: с кошелька ушли 915 USDT от Евгения Лиходей на ru.beincrypto.com