Recensione di Trust Wallet

Installa Trust Wallet su uno smartphone se vuoi un'unica app per bitcoin e una lunga lista di altre reti, e considera l'estensione per browser un prodotto separato, con un rischio separato. I due hanno storie di incidenti molto diverse, e quella differenza è gran parte di questa recensione.

Il 24 dicembre 2025 un attaccante ha caricato una versione manomessa 2.68 dell'estensione per browser Trust Wallet direttamente sul Chrome Web Store, usando una chiave API di pubblicazione trapelata per saltare la revisione interna di Trust Wallet. La versione faceva riferimento a codice su un dominio simile che l'attaccante aveva registrato, e poteva leggere i dati del wallet e firmare transazioni senza chiedere. L'aggiornamento di Trust Wallet stesso indica 2.520 indirizzi di wallet colpiti e circa 8,5 milioni di $ in asset che può ricondurre a 17 indirizzi dell'attaccante, e aggiunge che quegli stessi indirizzi hanno svuotato wallet del tutto estranei a Trust Wallet. Sono stati raggiunti solo gli utenti dell'estensione che l'hanno aperta e hanno effettuato l'accesso tra il 24 e il 26 dicembre 2025; l'azienda dichiara chiaramente che gli utenti dell'app per smartphone non sono stati colpiti e che chi ha effettuato l'accesso dopo le 11:00 UTC del 26 dicembre era al sicuro. La correzione è stata un ripristino: la versione pulita 2.67 è stata ripubblicata come 2.69.

La via d'ingresso non è stata il codice di Trust Wallet. La sua indagine collega con elevata attendibilità la compromissione a Sha1-Hulud, l'incidente della catena di fornitura npm che ha interessato tutto il settore a novembre 2025, che ha esposto segreti GitHub degli sviluppatori, compresa la chiave del Chrome Web Store. Trust Wallet ha scelto di rimborsare volontariamente gli utenti colpiti e dichiara di aver ricevuto oltre 5.000 richieste rispetto a 2.520 indirizzi verificati, quindi sta verificando la titolarità caso per caso e non ha pubblicato una data di completamento. Se sei stato colpito, il modulo di richiesta e le istruzioni per la migrazione sono entrambi linkati dal suo aggiornamento.

Al di là dell'incidente è un normale hot wallet. Le chiavi sono generate sul tuo dispositivo, i termini di Trust Wallet lo descrivono come software non custodiale e non come un conto, e l'acquisto è gestito da punti di accesso di terzi la cui copertura per paese è la loro. La sua funzione Earn, che paga rendimenti di staking, non è disponibile in 33 paesi e territori, tra cui Stati Uniti, Regno Unito, Hong Kong e gran parte dello Spazio economico europeo. È una restrizione su una funzione, non sul wallet: chi si trova in tutti i 33 paesi e territori può detenere bitcoin in Trust Wallet normalmente.