Trust Wallet 浏览器扩展带后门版本是 2.68.0，修复后的是 2.69.0，对比了下，正常代码和后门代码的代码差异，如图。 后门代码增加了个 PostHog 来采集钱包用户的各种隐私信息（包括助记词），并发送到攻击者服务器 api.metrics-trustwallet[.]com。 预估时间线：攻击者至少 12.8 开始做的准备，12.22 成功植入后门，12.25 圣诞节开始转移资金，于是被发现。据 @zachxbt 的统计，用户损失超 $6m...
Cos(余弦)Founder of SlowMist_Team
观点原文
Trust Wallet 浏览器扩展带后门版本是 2.68.0，修复后的是 2.69.0，对比了下，正常代码和后门代码的代码差异，如图。
后门代码增加了个 PostHog 来采集钱包用户的各种隐私信息（包括助记词），并发送到攻击者服务器 api.metrics-trustwallet[.]com。
预估时间线：攻击者至少 12.8 开始做的准备，12.22 成功植入后门，12.25 圣诞节开始转移资金，于是被发现。据
@zachxbt 的统计，用户损失超 $6m...
Hack
相关观点
- 这条安全建议永不过时。 触网的早晚被盗，还没被盗除了有自己的实力还有运气…当然，如果穷的好好的，虽然黑帽看了会落泪，但一定会等你发财了再含泪下手… 关于用户交互的“冷静期”机制，配个硬件钱包同理，知名的。助记词不会通过网络泄露，签名安全瞪大你的双眼，务必拒绝盲签或看不懂的签名。Cos(余弦) · 2025/12/26
- 攻击者看来很熟悉 Trust Wallet 扩展源码的，植入 PostHog JS 来采集用户钱包各种信息。 Trust Wallet 修复版本没移除 PostHog JSCos(余弦) · 2025/12/26
- 如果你还在用 Safe 多签或其他多签（不管什么技术模式），需要注意这几点： 1. 所有签名步骤一定是要可验证，你或你找很懂技术的朋友费劲半天没法验证的，默认就应该怀疑 2. 既然你都用上多签了，如果能搭配硬件钱包，尤其是能把复杂签名解析做好的，把签名异常风险提醒好的，那最好搭配着用 这个安全思路就是永远不要相信一方，总可能出现单点风险，最好多方验证。 钱包安全真的很不容易做好，此时如果你只是在嘲笑 Safe 多签出问题，而不内部加强自身的安全，那就要惨了。Cos(余弦) · 2025/12/25
- 用 @NotebookLM 来辅助学习黑手册是个便捷方式，但是不要依赖其自动做的思维导图、闪卡等，因为都容易缺失细节，而在黑暗森林里，细节才是最关键的（切记）。 用 AI 来辅助学习正确的姿势是：让 AI 扩展其中的细节点，刨根问底，直到你真的理解透（注意幻觉）。而不是看那些所谓的总结，这个世界最不缺的就是这些总结，烂大街了。Cos(余弦) · 2025/12/21