Trust Wallet ha confirmado una vulnerabilidad en la versión 2.68 de su extensión para Chrome, que ha permitido el robo de fondos. Conoce los detalles técnicos, la solución en la versión 2.69 y las medidas urgentes de protección.
La seguridad de los usuarios de Trust Wallet que operan mediante la extensión de navegador Google Chrome se ha visto comprometida tras el despliegue de una actualización defectuosa. El equipo de desarrollo de la billetera de criptomonedas confirmó recientemente la existencia de una vulnerabilidad crítica en la versión 2.68 del software, la cual permitió a actores externos ejecutar transacciones y drenar fondos sin requerir la aprobación o firma manual del usuario.
Este incidente de seguridad ha generado una respuesta inmediata por parte de la comunidad on-chain y de la propia compañía, quienes han instado a todos los usuarios de la versión de escritorio a actualizar inmediatamente a la versión 2.69.
A diferencia de los ataques de phishing o de ingeniería social, este fallo reside en el código oficial de la aplicación, afectando directamente a la integridad de la custodia de los activos. Es importante destacar que la vulnerabilidad se limita exclusivamente a la extensión de navegador; las aplicaciones móviles de Trust Wallet para iOS y Android no han sido afectadas y permanecen seguras, informó la compañía.
Opera cripto con seguridad en Bit2MeLa vulnerabilidad que expuso a los usuarios de Trust Wallet
La detección de la vulnerabilidad en cuestión provino de reportes dispersos de usuarios que observaron salidas de capital inexplicables en sus balances. La situación escaló cuando el investigador de seguridad conocido como ZachXBT consolidó las denuncias y emitió una alerta pública. Según el informe publicado por el experto, los usuarios que habían recibido la actualización automática de la extensión de Chrome a la versión 2.68 comenzaron a experimentar transferencias no autorizadas pocas horas después de la instalación.
Aunque el origen de esta vulnerabilidad sigue sin confirmarse oficialmente, parece que está relacionada con un fallo en la lógica de validación de firmas dentro de la extensión. En condiciones normales, cualquier movimiento de fondos requiere que el usuario confirme la transacción mediante una contraseña o validación biométrica en la interfaz. Sin embargo, el código defectuoso de la versión 2.68 permitió omitir este paso crítico, dejando las billeteras expuestas a scripts que podían ordenar transferencias con los permisos de la sesión activa.
Ante la gravedad del caso, Trust Wallet publicó la versión 2.69 para corregir el fallo y pidió a los usuarios que no abrieran la extensión si creían usar la actualización comprometida. Solo el hecho de activar la interfaz podía desencadenar la ejecución de código malicioso pendiente.
La empresa explicó que la forma más segura de resolver el problema era forzar la actualización del navegador o reinstalar la extensión directamente desde la tienda oficial, verificando que se tratara de la versión corregida antes de volver a introducir credenciales o desbloquear fondos.
Este incidente de seguridad ha vuelto a poner sobre la mesa una lección que el ecosistema cripto tiende a olvidar. La seguridad de las blockchains se mantiene intacta, pero el riesgo no está en la red, sino en las herramientas que la conectan con los usuarios. Ninguna cadena de bloques fue vulnerada, pero el software que las enlaza falló, dejando ver que la fortaleza del sistema es irrelevante si la interfaz que custodia las llaves privadas se convierte en la verdadera grieta.
Compra cripto: gestiona tu portafolio aquíEl riesgo oculto en las extensiones de navegador
Este incidente de seguridad pone en jaque la práctica común de manejar grandes sumas en criptoactivos desde navegadores web como Chrome. Las extensiones que usamos para conectar billeteras funcionan con accesos amplios, lo que les deja leer y alterar datos en cualquier página que visitemos. Esa misma flexibilidad, pensada para agilizar las transacciones, abre la puerta a problemas graves si alguien infiltra su código. Los especialistas en seguridad cibernética lo advierten hace tiempo. Las actualizaciones representan el eslabón más débil, porque un solo paquete contaminado en la cadena de desarrollo puede afectar a miles de personas al instante.
A diferencia de aplicaciones de escritorio aisladas o una billetera fría desconectada, estas extensiones comparten un espacio siempre en línea y expuesto a scripts de todo internet. En los últimos meses, el mundo cripto ha visto ataques variados contra ellas, desde copias falsas de extensiones populares que capturan semillas privadas hasta inyecciones en actualizaciones de herramientas de trading. Sin embargo, lo que hace único este caso es su origen legítimo. El problema surgió en el software oficial, descargado directamente de la tienda de Chrome.
Ante este nuevo caso, los analistas de transacciones en blockchain insisten en que estos peligros forman parte del diseño de las hot wallets, esas billeteras siempre listas para operar con un clic. Esa rapidez amplía las oportunidades para los atacantes y, este evento, deja claro que diversificar la custodia de los criptoactivos es clave. Para patrimonios altos, conviene evitar depender solo de herramientas con actualizaciones automáticas fuera de nuestro control directo.
Entra en Bit2Me y opera con criptoactivosMedidas de contención y perspectivas de los usuarios
Mientras la investigación continúa su curso para determinar el origen de la vulnerabilidad y la magnitud total de las pérdidas, la atención se centra ahora en la gestión de la crisis y el soporte a las víctimas.
ZachXBT ha tomado la iniciativa de recolectar las direcciones afectadas para rastrear el flujo del dinero robado, una práctica estándar que busca complicar el lavado de los activos por parte de los atacantes. Paralelamente, el investigador ha interpelado públicamente al equipo de Trust Wallet sobre la posibilidad de compensar a los usuarios afectados, una cuestión delicada que a menudo define la reputación a largo plazo de los proveedores de servicios en este sector.
El equipo de soporte de la compañía ha comenzado a contactar a los usuarios afectados para indicar los pasos a seguir, aunque la naturaleza irreversible de las transacciones en blockchain complica la recuperación directa de los fondos.
La recomendación general para aquellos que sospechan que su billetera digital pudo haber sido comprometida es considerar esa dirección como «quemada» y mover cualquier activo restante a una nueva dirección generada a partir de una frase semilla totalmente nueva. Mantener la misma dirección, incluso después de actualizar el software, podría representar un riesgo residual innecesario.
Certificado
Curso de Blockchain
Nivel básicoEntra en este curso donde te explicamos blockchain de una manera clara, sencilla y concisa para que tengas una idea muy clara de en qué consiste esta nueva tecnología.
