Trust Wallet Digasak: USD 7 Juta Aset Kripto Pengguna Amblas

Pencurian digital sebesar sekitar 7 juta Dolar AS mengguncang komunitas kripto setelah peretas mengeksploitasi kerentanan dalam ekstensi peramban Trust Wallet versi 2.68, memengaruhi ratusan pengguna di berbagai blockchain pada 25 Desember 2025. Trust Wallet, penyedia dompet kripto non-penahanan yang didukung Binance, segera mengonfirmasi insiden tersebut dan, melalui pendirinya Changpeng Zhao (CZ), berjanji akan mengganti penuh kerugian pengguna yang terdampak.

Insiden ini, yang terungkap menjelang Hari Natal, melibatkan penyuntikan kode berbahaya yang menyamar sebagai modul analitik ke dalam pembaruan ekstensi peramban Trust Wallet versi 2.68 yang dirilis pada 24 Desember 2025. Kode jahat tersebut dirancang untuk secara diam-diam menangkap dan mengirimkan data dompet, termasuk frasa mnemonik (seed phrase), ke domain phishing yang dikendalikan penyerang, metrics-trustwallet.com, yang didaftarkan beberapa hari sebelum serangan. Setelah mendapatkan akses ke frasa mnemonik, peretas dapat menguras aset pengguna tanpa memerlukan persetujuan transaksi, memindahkan dana melintasi blockchain seperti Ethereum, Bitcoin, dan Solana. Detektif on-chain seperti ZachXBT menjadi pihak pertama yang menyoroti anomali tersebut, dengan laporan awal menunjukkan adanya pergerakan dana yang tidak sah segera setelah pembaruan ekstensi.

Trust Wallet secara resmi mengakui "insiden keamanan" ini pada 26 Desember 2025, menekankan bahwa hanya versi 2.68 dari ekstensi peramban yang terpengaruh, sementara pengguna aplikasi seluler dan versi ekstensi lainnya tetap aman. Perusahaan mendesak pengguna versi 2.68 untuk segera menonaktifkan ekstensi mereka dan memperbarui ke versi 2.69 yang telah diperbaiki melalui Chrome Web Store resmi, serta memperingatkan agar tidak membuka ekstensi yang terpengaruh untuk mencegah masalah lebih lanjut. Eowyn Chen, CEO Trust Wallet, menyatakan bahwa investigasi sedang berlangsung dan menegaskan bahwa ekstensi berbahaya v2.68 tidak dirilis melalui proses manual internal perusahaan, melainkan kemungkinan besar diterbitkan secara eksternal melalui kunci API Chrome Web Store yang bocor, melewati pemeriksaan rilis standar. Analis di SlowMist juga menyimpulkan bahwa insiden tersebut mungkin terkait dengan serangan rantai pasokan.

Janji kompensasi penuh dari Changpeng Zhao, pendiri Binance yang juga pemilik Trust Wallet, bertujuan untuk memulihkan kepercayaan di tengah guncangan komunitas kripto. Pernyataannya di X bahwa "dana pengguna SAFU" (Secure Asset Fund for Users) menggarisbawahi komitmen untuk mengganti kerugian yang diperkirakan mencapai sekitar 7 juta Dolar AS. Meskipun demikian, insiden ini menimbulkan pertanyaan serius mengenai standar keamanan dan transparansi dalam ekosistem dompet kripto non-penahanan, terutama terkait mekanisme distribusi pembaruan perangkat lunak. Beberapa laporan awal bahkan menunjukkan adanya jeda waktu antara laporan pengguna tentang pengurasan dana pada 24 Desember dan pengakuan publik dari Trust Wallet pada 26 Desember.

Serangan ini terjadi di tengah tren peningkatan eksploitasi dan kampanye phishing di sektor kripto. Firma analitik blockchain Chainalysis melaporkan bahwa lebih dari 3,4 miliar Dolar AS dalam bentuk mata uang kripto telah dicuri sepanjang tahun 2025 hingga awal Desember. Angka ini sedikit lebih tinggi dibandingkan dengan periode yang sama tahun sebelumnya yang mencapai 3,38 miliar Dolar AS. Khususnya, pencurian yang berkaitan dengan dompet pribadi telah menunjukkan peningkatan signifikan, melonjak dari hanya 7,3% dari total nilai yang dicuri pada tahun 2022 menjadi 44% pada tahun 2024. Insiden Trust Wallet menyoroti kerentanan yang terus-menerus pada dompet berbasis peramban dibandingkan dengan eksploitasi kontrak pintar, karena serangan tingkat dompet memberikan akses langsung kepada peretas ke kunci privat pengguna, menghilangkan kebutuhan akan persetujuan transaksi. Situasi ini menekankan pentingnya kewaspadaan pengguna dan verifikasi ketat terhadap sumber pembaruan, serta mendorong penyedia layanan untuk memperketat protokol keamanan dan komunikasi darurat mereka.