Análise de Trust Wallet

Instale a Trust Wallet no celular se você quer um único aplicativo para bitcoin e uma longa lista de outras redes, e trate a extensão de navegador como um produto separado, com um risco separado. As duas têm históricos de incidentes muito diferentes, e essa diferença é a maior parte desta análise.

Em 24 de dezembro de 2025, um atacante enviou uma versão 2.68 adulterada da extensão de navegador da Trust Wallet diretamente à Chrome Web Store, usando uma chave de API de publicação vazada para pular a revisão interna da própria Trust Wallet. A versão fazia referência a código em um domínio parecido que o atacante havia registrado, e podia ler dados da carteira e assinar transações sem pedir. A própria atualização da Trust Wallet nomeia 2.520 endereços de carteira afetados e cerca de $8,5 milhões em ativos que consegue vincular a 17 endereços do atacante, e acrescenta que esses mesmos endereços esvaziaram carteiras sem nenhuma ligação com a Trust Wallet. Só foram atingidos os usuários da extensão que a abriram e fizeram login entre 24 e 26 de dezembro de 2025; a empresa afirma claramente que os usuários do aplicativo móvel não foram afetados e que quem fez login após 11h00 UTC de 26 de dezembro estava livre. A correção foi uma reversão: a versão limpa 2.67 foi republicada como 2.69.

A porta de entrada não foi o código da Trust Wallet. Sua investigação vincula o comprometimento com alta confiança ao Sha1-Hulud, o incidente de cadeia de suprimentos do npm que atingiu todo o setor em novembro de 2025, e que expôs segredos de GitHub de desenvolvedores, incluindo a chave da Chrome Web Store. A Trust Wallet optou por reembolsar voluntariamente os usuários afetados e diz que recebeu mais de 5.000 pedidos contra 2.520 endereços verificados, por isso verifica a titularidade caso por caso e não publicou data de conclusão. Se você foi afetado, o formulário de pedido e as instruções de migração estão ambos com link em sua atualização.

Por baixo do incidente, é uma carteira quente simples. As chaves são geradas no seu dispositivo, os termos da Trust Wallet a descrevem como software não custodial e não como uma conta, e a compra é feita por portas de entrada de terceiros, cuja cobertura por país é responsabilidade deles. Seu recurso Earn, que paga rendimentos de staking, não está disponível em 33 países e territórios, incluindo Estados Unidos, Reino Unido, Hong Kong e a maior parte do Espaço Econômico Europeu. Essa é uma restrição a um recurso, não à carteira: pessoas em todos os 33 podem guardar bitcoin na Trust Wallet normalmente.