2022年11月14日から23日の間に、Trust Wallet のブラウザ拡張機能で作成されたアドレスは盗難の危険性
Trust Wallet（トラスト・ウォレット）は22日、2022年11月14日から23日の間に、Trust Wallet のブラウザ拡張機能で作成されたアドレスには脆弱性があり、資金が盗難される危険性があることを明らかにした。
既に、対象者には「TW Browser Extension」で警告表示がされるようにしているとのことで、使った覚えのある人は早急に確認してほしい。もし通知が表示された場合は、新しいウォレットアドレスを作成し、すぐに資産を移行して脆弱なアドレスの使用を中止するよう呼びかけている。
2022年11月、セキュリティ研究者から、Trust Walletのオープンソースライブラリである。Wallet CoreのWeb Assembly（WASM）の脆弱性が、Trust Walletのバグバウンティプログラムを通じて報告された。Trust Walletのブラウザ拡張機能には、このWASMが使用されており、2022年11月14日から23日の間に生成された新しいウォレットアドレスにこの脆弱性が含まれていた。Trust Walletは、1日以内に修正パッチを適用し、23日以降に生成されたアドレスは安全という。
ブロックチェーンセキュリティ企業Slowmistの創業者Yu Xian氏によると、「本質的な理由は、当時 Trust Wallet ブラウザー拡張機能で使用されていた MT19937 疑似乱数ジェネレーターが十分なランダム性を提供しなかったため、秘密鍵がクラックされる可能性があったこと」という。
ところが、やはり6000万人以上が使っているウォレットだけあって（※）、問題はすぐには収拾しなかった。このようなTrust Walletの最善の努力にもかかわらず、Trust walletの継続的な調査により被害総額は約17万ドル（約2200万円）に達したという。これを受け、Trust Walletは、透明性とユーザー保護へのコミットメントとして、脆弱性に起因するハッキングによるユーザーの損失を補償することを表明した。脆弱性のあるアドレスには、まだ88,000ドル（約1100万円）残っているという。該当した人は以下のページからから補償を請求できる。
Trust Walletは今回の事件を受けて、セキュリティ監査と監査範囲を5倍以上ににするなどセキュリティをより強化したとしている。
なお、直近で、下記ツイートに端を発したMetamaskから資金が不正に流出しているニュースがあるが、これとは関係ないとのこと。
