Użytkownik Trust Wallet twierdzi, że 3 830 USDT opuściło jego portfel bez jego zgody, a przyczyna transferu nie została ustalona. Jego post na X, opublikowany 3 listopada, uzyskał ponad 166 000 wyświetleń.

Iaroslav Dubovoi, publikujący jako @noirvox_studio, powiedział, że po otwarciu aplikacji odkrył, iż jego środki zniknęły. Według jego relacji nie otrzymał żadnego ostrzeżenia ani prośby o zatwierdzenie transakcji. Poprosił Trust Wallet o wyjaśnienie i wezwał innych użytkowników do udostępnienia jego posta.

Co według użytkownika się wydarzyło

Dubovoi powiedział, że zapisy blockchain pokazywały przeniesienie środków, ale nie potrafił wyjaśnić, jak do niego doszło. Później opublikował hash transakcji, który powiązał z brakującym USDT, dając obserwatorom punkt wyjścia do śledzenia, dokąd trafiły środki.

Powiedział, że używał tego samego portfela przez około pięć lat i zawsze podejmował kroki w celu ochrony swoich zasobów kryptowalutowych. W jego postach nie ustalono sieci blockchain, adresu odbiorcy ani szczegółów transferu.

Trust Wallet to portfel self-custody. Użytkownicy przechowują klucze prywatne potrzebne do zatwierdzania transakcji, w przeciwieństwie do scentralizowanych giełd, gdzie platforma zarządza aktywami klientów. Ponieważ użytkownicy kontrolują własne klucze, firma nie może cofnąć transakcji po ich potwierdzeniu on-chain. Taka struktura sprawia, że zapisy on-chain, takie jak opublikowany przez Dubovoia hash transakcji, są głównym publicznym dowodem w tego typu sprawie.

Jak środki mogą zostać przeniesione bez nowej autoryzacji

Zgłoszenie zwróciło uwagę na sposób działania uprawnień do tokenów w portfelach self-custody. Nieautoryzowane transfery mogą nastąpić na kilka sposobów, w tym poprzez skradzione klucze prywatne, szkodliwe uprawnienia smart contractów oraz wprowadzające w błąd podpisy transakcji. Niektóre z tych metod nie wymagają nowej autoryzacji w momencie opuszczania portfela przez środki.

Permit signatures pozwalają posiadaczom tokenów autoryzować wydawanie środków za pomocą podpisu poza łańcuchem, zamiast oddzielnej transakcji zatwierdzenia on-chain. W październikowym śledztwie firma bezpieczeństwa blockchain Salus zidentyfikowała złośliwe permit signatures USDG, które dawały atakującym prawa do wydawania tokenów poszkodowanych. W tych przypadkach atakujący korzystali z uprawnień, które już uzyskali, a następnie przenosili tokeny bez zatwierdzania każdego transferu przez poszkodowanego. Ta trwałość jest cechą, która utrzymuje permit signatures w centrum uwagi: pojedynczy podpis poza łańcuchem może ustanowić prawa do wydawania środków obejmujące kolejne transfery.

Trust Wallet niedawno ostrzegł użytkowników przed fałszywą stroną internetową kopiującą jego usługę karty kryptowalutowej. Strona została zaprojektowana, aby wprowadzić użytkowników w błąd i nakłonić ich do podłączenia portfeli oraz potencjalnego podpisania szkodliwych transakcji, co może pozwolić innym na przeniesienie określonych tokenów bez frazy odzyskiwania.

W grudniu 2025 roku Trust Wallet potwierdził, że wersja 2.68 rozszerzenia Chrome umożliwiała atakującym opróżnianie środków bez zatwierdzeń transakcji. Śledczy blockchain ZachXBT jako pierwszy zasygnalizował podejrzane transfery po zgłoszeniach użytkowników dotyczących wypłat. Atakujący uzyskali dostęp do kodu źródłowego rozszerzenia i opublikowali złośliwą wersję przez Chrome Web Store. Straty osiągnęły około 7 milionów dolarów, a były CEO Binance, Changpeng Zhao, potwierdził, że poszkodowani użytkownicy zostaną zrekompensowani.

Drugi użytkownik zgłasza opróżnienie portfela po kontakcie z fałszywym wsparciem NEAR na Discordzie

Także 3 listopada użytkownik X o pseudonimie Mister Tee, publikujący jako @meeyatariq, powiedział, że jego portfel został opróżniony po kontakcie z osobą podszywającą się pod wsparcie na serwerze Discord NEAR Protocol. Jego zrzuty ekranu pokazywały wychodzące transfery ETH, BTC, BNB i NEAR, w tym 3 NEAR o wartości około 11,49 dolara.

"Same fucking shit happened to me as well, swapped tokens to USDC but I didn't get any. What a crap????" — ABDUL (@HasbullahAbdulH) November 3, 2026

W przeciwieństwie do Mister Tee, Dubovoi nie powiązał swojej straty z żadnym kontaktem z zewnątrz. Powiedział, że nie zatwierdził niczego przed zniknięciem środków. Sposób autoryzacji transferu oraz to, czy Trust Wallet odpowie na jego prośbę o wyjaśnienie, nie zostały ustalone.

Trust Wallet zalecał użytkownikom nieudostępnianie fraz odzyskiwania ani kluczy prywatnych oraz korzystanie z oficjalnych kanałów wsparcia przy badaniu podejrzanych aktywności.

Oddzielny użytkownik, Abdul, publikujący jako @HasbullahAbdulH, skarżył się na X na problemy z wymianą tokenów. Zweryfikowane konto Trust Wallet Support odpowiedziało 4 listopada, kierując go do poradnika dotyczącego nieudanych wymian, zablokowanych transakcji oraz otrzymywania nieoczekiwanych kwot. Ta odpowiedź dotyczyła problemów z wymianą, a nie zgłoszenia opróżnienia portfela.

Ten artykuł bazuje na raporcie Blockonomi.