Trust Wallet被爆私钥漏洞已被黑17万美元!官方:将赔偿受害者

Trust Wallet 最近发了一则公告，说去年 11 月有位安全研究员通过漏洞赏金计划，发现它的开源库 Wallet Core 里藏着一个 Web Assembly（WASM）漏洞。这个钱&包之前可是得到过币安创始人赵长鹏（CZ）亲自站台的。

公告里解释说，Trust Wallet 的浏览器扩展功能在 Wallet Core 里用了 WASM。在去年 11 月 14 日到 23 日这段时间，如果通过浏览器扩展创建了新钱&包地址，就可能中招。不过团队反应挺快，已经把这个漏洞修好了，之后生成的新地址都没问题。

但事情没完。Trust Wallet 又发现另外两个潜在漏洞，结果真被黑客盯上了，损失大约 17 万美元。

出了这事，Trust Wallet 承诺会赔偿受害者，专门搞了个补偿流程。公告还提醒那些受影响但还没被黑的用户，赶紧把账户里剩下的约 8.8 万美元转到安全地址。

怎么知道自己有没有中招？

公告说得挺清楚，下面这几种情况是安全的：

• 只用 Trust Wallet 手机 App
• 只是把钱&包地址导入了浏览器扩展，但没在那里创建新地址
• 用浏览器扩展创建新钱&包的时间不在 2022 年 11 月 14 日到 23 日之间

如果你的钱&包地址有风险，打开浏览器扩展时能看到警告弹窗。官方建议：新建一个钱&包地址，把资产转过去，然后彻底停用那个有风险的老地址。另外，千万别用别人给你创建的地址，小心被骗。

还有一点要注意：如果你在 2022 年 12 月下旬或者 2023 年 3 月下旬发现钱&包里有异常转账，那你可能就是那两个未知漏洞的受害者之一。Trust Wallet 手里有一份完整的受影响地址清单，会一个一个给受害者退款。

慢雾：漏洞可能导致私钥被破解

慢雾的创始人余弦在推特上也提醒了。他说，如果你用过 Trust Wallet 的浏览器扩展，并且在 2022 年 11 月 14 日到 23 日之间创建过钱&包，那这个钱&包就有风险。根本原因是当时浏览器扩展用的 MT19937 伪随机数生成器随机性不够，私钥理论上可以被算出来。幸好 Trust Wallet 现在公开了这个问题，损失也不算大。