Trust Wallet 用户报告移动钱包出现无法解释的资金转出，其中一宗案例涉及同一部 iPhone 上使用不同恢复短语分别生成的两个钱包。据报告，这两个钱包相隔数周被转空，引发了人们对攻击者如何获得两个独立种子对应的有效签名权限的疑问。

第一笔损失发生在 8 月 12 日，当时 USDT 通过一笔直接的 TRON 代币转账离开其中一个钱包，钱包持有者称该交易未经授权。第二个钱包起初未受影响，但在有新资金转入后也被转空。该用户的报告无法证明暴露源自 Trust Wallet、手机、恢复短语管理，还是其他形式的入侵。

由于这一说法来自用户报告，而非已确认的安全事件，因此还需要交易记录以及 Trust Wallet 方面的官方调查结果，才能确定两次资金损失是否具有共同来源。在此之前，这些报告尚不能证明 Trust Wallet 移动应用遭到波及全平台的入侵。

原始报告可在 Reddit 查看：https://www.reddit.com/r/CryptoScams/comments/1wbbh5w/two_separate_trust_wallets_with_different/?utm_source=chatgpt.com

直接转账引发对密钥暴露的疑问

据报告，第一笔交易是直接的 transfer()，而不是基于授权的 transferFrom 交易。这一区别表明，交易可能使用了有效的签名权限，而不是攻击者仅仅利用此前授予的代币授权。

Trust Wallet 的 Wallet Core 会利用设备上可用的安全随机生成功能随机生成新的种子。其自托管模式还会将私钥置于用户控制之下，而不是存储在 Trust Wallet 的服务器上。现有证据无法确定相关资金损失中所使用的签名材料是如何被获取的。

Trust Wallet 的 Wallet Core 文档见：

移动端报告与 2025 年扩展程序入侵事件不同

Trust Wallet 此前曾遭遇过已确认的钱包资金被转走事件，但攻击路径不同。2025 年 12 月的浏览器扩展入侵事件涉及一个恶意的 2.68 版本。攻击者获得发布凭据后，将该版本上传至 Chrome Web Store。

该事件最终影响了 2,520 个钱包地址，涉及约 850 万美元。Trust Wallet 明确将仅使用移动应用的用户排除在事件范围之外，因此在没有更多证据的情况下，2025 年的扩展程序入侵不足以解释当前的移动端报告。Trust Wallet 的官方社区更新见：

钱包攻击已超出软件漏洞范畴

这些报告出现之际，钱包用户还面临另一场以社会工程为基础、而非针对钱包软件本身的安全行动。本周，Trezor 和 BitBox 用户成为协调式硬件钱包钓鱼活动的目标。攻击者使用伪造警告，声称有缺陷的微控制器削弱了恢复短语的安全性。

Trezor 的警告确认不存在任何真实的安全公告，其钱包和恢复短语仍然安全。BitBox 也在用户收到类似信息后发布了相应警告。两家公司的相关帖子见：https://x.com/Trezor/status/2097786518110609620?s=20\u0026utm_source=chatgpt.com 和 https://x.com/BitBoxSwiss/status/2097793026336981079?s=20\u0026utm_source=chatgpt.com。

截至 9 月 10 日，Trust Wallet 尚未发布任何 2026 年 9 月安全事件公告。其公开状态页面仍将钱包应用、浏览器扩展及支持服务列为运行正常：

来源：https://cryptoadventure.com/trust-wallet-users-report-unexplained-mobile-drains-as-cause-remains-unknown/