SlowMistのYu Jian、Trust Walletの拡張機能にPostHogが埋め込まれデータ収集が行われたと指摘

Trust Walletは拡張機能バージョン2.68に重大な欠陥があることを確認し、600万ドル以上が盗まれたことから、緊急のアップグレードを促し、PostHog関連のデータ収集リスクが継続していることを強調した。

要約

Trust Walletは、ブラウザ拡張機能バージョン2.68に、攻撃者が600万ドル以上の暗号資産を盗むことを可能にするセキュリティ脆弱性があることを認めた。ユーザーは侵害されたバージョンを無効にし、公式Chrome Web Storeを通じてバージョン2.69にアップグレードすることが推奨されている。SlowMistの分析によると、悪意のあるPostHogスクリプトが拡張機能に埋め込まれ、機密性の高いウォレット情報を収集していたことが示され、攻撃者が拡張機能のソースコードに精通していたことを示す証拠がある。パッチが適用されたリリースには依然としてPostHog JSコンポーネントが含まれており、継続的なセキュリティ上の懸念が高まっている。

用語解説
  • 仮想通貨ウォレット: 秘密鍵を保存し、デジタル資産の送受信を可能にするソフトウェア。
  • PostHog JS: 本インシデントにおいてユーザーのウォレット情報を収集するものとして参照されているJavaScriptスクリプト。
  • 拡張機能ソースコード: ブラウザまたはアプリの拡張機能の機能を実装するために使用される基礎となるプログラムコード。