#钱包安全漏洞 Baru-baru ini Trust Wallet mengalami pencurian sebesar 6 juta dolar, saya memeriksa analisis dari SlowMist—masalahnya terletak pada versi 2.68 dari plugin browser yang menyisipkan PostHog JS untuk mengumpulkan informasi pengguna, yang lebih menyakitkan lagi adalah versi perbaikan ternyata tidak menghapus fitur ini secara menyeluruh.

Ini mengingatkan saya pada insiden celah "Demonic" dua tahun lalu, saat itu sudah ada yang mengalami kerugian. Sekarang masalah semakin tersembunyi: bukan sekadar celah kode sederhana, tetapi pengumpulan data dompet secara latar belakang tanpa sepengetahuan pengguna.

Strategi pertahanan yang saya rangkum belakangan ini adalah—jika dompet yang Anda gunakan bermasalah, jangan melakukan operasi online, ekspor seed phrase dalam keadaan offline lalu transfer aset, jika tidak, peretas bisa saja mencuri semuanya saat Anda membuka dompet. Selain itu, setelah seed phrase dibackup, sebaiknya transfer aset terlebih dahulu sebelum melakukan upgrade, urutan yang salah sangat berisiko.

Ada satu poin yang mudah diabaikan: sebagian besar kasus pencurian sebenarnya bukan karena celah plugin itu sendiri, melainkan pengguna mengunduh versi palsu atau terkena phishing. MetaMask, Phantom, dan dompet utama lainnya pernah mengalami hal ini, bahkan toko Firefox pernah diretas. Jadi aturan yang sangat sederhana—hanya unduh dari Chrome Web Store resmi, semua saluran lain harus dihindari.

Beroperasi di blockchain yang bertahan lama berarti harus berpikir satu langkah lebih maju dari yang lain, terutama dalam hal keamanan aset yang tidak memberi peluang untuk mencoba-coba.