Trust Walletのレビュー

ビットコインと多数の異なるチェーンをまとめて1つのアプリで扱いたい場合は、スマートフォンにTrust Walletをインストールしてください。ブラウザ拡張機能は別のリスクを持つ別製品として扱ってください。両者のインシデントの履歴は大きく異なり、このレビューの大部分はその違いについてです。

2025年12月24日に、攻撃者はTrust Walletのブラウザ拡張機能の改ざんされたバージョン2.68を、漏えいした公開用APIキーを使ってTrust Wallet自身の内部レビューを回避し、Chrome Web Storeに直接アップロードしました。そのビルドは攻撃者が登録した類似ドメイン上のコードを参照しており、確認なしにウォレットのデータを読み取り、トランザクションに署名することができました。Trust Wallet自身の更新情報は、2,520件の影響を受けたウォレットアドレスと、17件の攻撃者のアドレスに結び付けられる約850万ドルの資産を挙げ、さらに同じアドレスがTrust Walletとまったく関係のないウォレットからも資産を引き出したと付け加えています。影響を受けたのは、2025年12月24日から26日の間に拡張機能を開いてログインしたユーザーだけでした。同社は、モバイルアプリのユーザーは影響を受けていないこと、および12月26日の11:00 UTC以降にログインした人は問題なかったことを明確に述べています。修正はロールバックでした。クリーンな2.67のビルドが2.69として再公開されました。

侵入経路はTrust Walletのコードではありませんでした。同社の調査は、この侵害を高い確度で、2025年11月に業界全体で起きたnpmサプライチェーンインシデントであるSha1-Huludに結び付けています。これはChrome Web Storeのキーを含む開発者のGitHubシークレットを露出させました。Trust Walletは影響を受けたユーザーに任意で返金することを選び、2,520件の確認済みアドレスに対して5,000件を超える請求を受け取ったと述べているため、所有権を1件ずつ確認しており、完了時期は公表していません。影響を受けた場合は、請求フォームと移行手順の両方が同社の更新情報からリンクされています。

インシデントを別にすれば、これはごく普通のホットウォレットです。鍵はお使いの端末で生成され、Trust Walletの利用規約はこれを口座ではなくノンカストディアルのソフトウェアと表現しており、購入は各国の対応状況がそれぞれに定まる第三者製のオンランプが処理します。ステーキングの利回りを支払うEarn機能は、米国、英国、香港、および欧州経済領域の大部分を含む33か国・地域では利用できません。これは1つの機能に対する制限であり、ウォレットに対する制限ではありません。33か国・地域のすべての人々がTrust Walletで通常どおりビットコインを保有できます。