#钱包安全漏洞 Recentemente, o Trust Wallet foi alvo de um roubo de 6 milhões de dólares. Analisei cuidadosamente a explicação do SlowMist — o problema reside na versão 2.68 do plugin do navegador, que incorporou o PostHog JS para coletar informações dos usuários. O mais preocupante é que a versão de correção não removeu completamente essa funcionalidade.

Isso me fez lembrar do incidente de vulnerabilidade "Demonic" de dois anos atrás, quando alguém também caiu nessa armadilha. Agora, o problema está cada vez mais oculto: não se trata apenas de uma vulnerabilidade de código simples, mas de coleta de dados de carteiras em segundo plano, sem que o usuário perceba.

Minha estratégia de defesa que tenho resumido recentemente é a seguinte — se a carteira que você usa apresentar algum problema, nunca opere online. Exporte a frase-semente offline e transfira seus ativos; caso contrário, o hacker pode roubar seus fundos no momento em que você abrir a carteira. Além disso, uma vez que a frase-semente esteja backupada, transfira seus ativos antes de fazer qualquer atualização, pois inverter essa ordem aumenta muito o risco.

Outro ponto fácil de ser negligenciado: a maioria dos casos de roubo não é devido a vulnerabilidades no próprio plugin, mas sim ao usuário baixar versões falsificadas ou cair em golpes de phishing. Carteiras populares como MetaMask e Phantom também já foram vítimas, e a loja da Firefox chegou a ser comprometida. Portanto, a regra é simples — baixe apenas da Chrome Web Store oficial, e evite qualquer outro canal.

Estar ativo na blockchain por mais tempo significa pensar uma etapa à frente, especialmente na segurança de ativos, onde não há espaço para erros.