Обзор инцидентов с безопасностью плагин-кошельков: многочисленные проблемы с поддельным ПО и фишинговыми атаками, официальных уязвимостей значительно меньше

BlockBeats сообщает, что утром 26 декабря Trust Wallet официально выпустил предупреждение о безопасности, подтвердив наличие уязвимости в версии 2.68 браузерного расширения Trust Wallet. По данным ончейн-детектива ZachXBT, уже сотни пользователей Trust Wallet стали жертвами кражи средств, общий ущерб составил не менее 6 миллионов долларов. Основные инциденты с безопасностью, произошедшие ранее с популярными браузерными расширениями, приведены ниже:

Браузерное расширение Trust Wallet также было подвержено уязвимости WebAssembly в ноябре 2022 года, которая затронула только новые адреса кошельков, созданные в период с 14 по 23 ноября 2022 года. В результате было украдено около 170 тысяч долларов, однако Trust Wallet обнаружил проблему через программу вознаграждения за уязвимости, устранил её и полностью компенсировал пострадавшим пользователям.

В 2022 году MetaMask столкнулся с уязвимостью "Demonic", которая затрагивала старые версии до 10.11.3 включительно — приватные ключи могли быть раскрыты в памяти браузера, однако о массовых кражах средств не сообщалось. В период с 2023 по 2025 годы официальное расширение MetaMask работало безопасно, но часто подвергалось атакам со стороны поддельных расширений. Согласно отчёту Chainalysis, в 2025 году резко возросло число случаев кражи средств у пользователей MetaMask, основной причиной чего стали вредоносные программы и фишинг, а не уязвимости самого кошелька. MetaMask публикует ежемесячные отчёты о безопасности, однако, будучи популярным Ethereum-кошельком, по-прежнему остаётся главной целью для подделок.

Phantom (основное расширение-кошелёк Solana) также был затронут уязвимостью "Demonic" в 2022 году, однако массовых краж средств зафиксировано не было. В начале 2025 года возник спор по поводу безопасности расширения Phantom: один из пользователей потерял 500 тысяч долларов из-за того, что приватный ключ хранился в памяти без шифрования со стороны Phantom, что позволило хакерам совершить атаку. В Южном окружном суде Нью-Йорка был подан коллективный иск. Официальное заявление Phantom категорически отвергло все обвинения, назвав иск "необоснованным" и подчеркнув, что Phantom является некастодиальным кошельком, а ответственность за безопасность средств лежит на пользователях.

Rabby Wallet (DeFi-ориентированное расширение) в 2022 году столкнулся с кражей около 200 тысяч долларов криптоактивов из-за уязвимости в функции Rabby Swap — проблема была не в самом расширении, а во встроенной функции обмена.

Самый распространённый способ кражи средств из браузерных кошельков — скачивание поддельных приложений. В 2025 году в магазине Firefox неоднократно происходили массовые инциденты, затронувшие такие популярные расширения, как MetaMask, Phantom, Trust Wallet и другие. В то же время официальные уязвимости самих расширений встречаются гораздо реже. Рекомендуется скачивать расширения только из официального Chrome Web Store для обеспечения безопасности средств.