Trust Wallet $8.5 Milyon Zərərlə Nəticələnən: Şai-Hulud Təchizat Zənciri Hücumunun İkinci Dalgası
13rose
3 min read
Kriptovalyuta dünyasının əsas qoruyucu cüzdanlarından biri olan Trust Wallet, 2025-ci ilin Noyabr ayında baş verən ciddi təhlükəsizlik hadisəsi ilə bağlı post-mortem təhlilinin nəticələrini açıqlayıb. Açıqlamaya görə, Google Chrome genişləndiricisinin (Chrome Extension) kompromitasiyası nəticəsində təqribən 8.5 milyon dollarlıq aktiv oğurlanmışdır. Hücumun arxasında isə “Şai-Hulud” (Sha1-Hulud) adlandırılan mürəkkəb təchizat zənciri hücumunun ikinci iterasiyası dayanır.
### Şai-Hulud: Təchizat Zəncirinin Kriptoqrafik Vəhşətlənməsi
“Şai-Hulud” termini (adını məşhur fantastik əsər seriyasından götürmüşdür) inkişaf mühitlərinə və ya proqram təminatının buraxılış prosesinə (release process) hədəflənən zərərli kampaniyaları ifadə edir. Bu, birbaşa son istifadəçini hədəfləməkdən fərqli olaraq, proqram təminatının etibarlı mənbədən gələn hissəsini dəyişdirməklə etibarı pozur.
Trust Wallet-in qeyd etdiyi “Şai-Huludun ikinci iterasiyası”, əvvəlki versiyaları kimi, inkişaf infrastrukturunun zəifliklərindən istifadə edərək, məhsulun özünə zərərli kod daxil etməyi bacarmışdır.
### Hücumun Texniki Mexanizmi: GitHub Məxfi Məlumatlarının Sızması
Trust Wallet tərəfindən aparılan daxili araşdırma, hücumun kök səbəbinin “Developer GitHub sirlərinin (secrets) sızması” olduğunu təsdiqləyib. Bu məlumat sızması, hücum edənlərə bir neçə kritik imtiyaz qazandırıb:
1. **Mənbə Koduna Giriş:** Sızan sirlər, çox güman ki, avtomatlaşdırılmış inteqrasiya (CI/CD) prosesləri üçün istifadə olunan tokenlər, API açarları və ya SSH açarları olub. Bu sirlər hücum edənə Trust Wallet-in brauzer genişləndiricisinin mənbə koduna tam giriş imkanı verib.
2. **Kodun Modifikasiyası və İmzalama:** Mənbə koduna daxil olduqdan sonra, təcavüzkarlar Chrome genişləndiricisinin buraxılış paketinin içinə öz zərərli məntiqini (malicious payload) yerləşdirmişlər. Ən kritik məqam isə odur ki, sızan sirlər sayəsində onlar bu zərərli paketi *legitim* açarlarla imzalaya bilmişlər. Nəticədə, Google Chrome Veb Mağazası bu yeniləməni etibarlı olaraq qəbul etmişdir.
3. **Maliyyə Zərəri:** Genişləndiricini yeniləyən istifadəçilərin cüzdanlarından gizli şəkildə aktivlər çıxarılmışdır. Ümumi zərər 8.5 milyon dollar həcmində qiymətləndirilir.
Bu hadisə, sadəcə bir zəiflikdən deyil, DevSecOps alətləri və sirlərin idarə edilməsi (Secrets Management) proseslərindəki fundamental nöqsanlardan qaynaqlanan mürəkkəb bir kiberhücumun bariz nümunəsidir.
### Təhlükəsizlik Perspektivi və Dərslər
Trust Wallet hadisəsi bütün proqram inkişafı sənayesi üçün vacib dərslər verir, xüsusən də Web3 və kriptovalyuta sektorunda:
* **Sirlərin Rotasiyası və Minimum İmtiyaz:** Developer sirlərinin vaxtaşırı dəyişdirilməsi və hər bir açar üçün yalnız minimum zəruri imtiyazların tətbiqi zəruridir (Principle of Least Privilege). GitHub sirlərinə girişin FIDO2 və ya digər güclü İki Faktorlu Autentifikasiya (2FA) metodları ilə qorunması mütləqdir.
* **Təchizat Zəncirinin Tamlığının Yoxlanılması:** Bütün CI/CD boru kəmərində (pipeline) kriptoqrafik imzaların və kod tamlığının avtomatlaşdırılmış şəkildə yoxlanılması təmin edilməlidir. Xüsusilə, **SLSA (Supply Chain Levels for Software Artifacts)** kimi çərçivələrin tətbiqi vacibdir.
* **Build Mühitinin İzolyasiyası:** Build prosesləri təmiz, izolyasiya olunmuş konteynerlərdə aparılmalıdır ki, əgər bir developer maşını kompromitasiya olunsa belə, bütün buraxılış prosesi risk altına düşməsin.
Trust Wallet bu hadisədən sonra təhlükəsizlik protokollarını gücləndirdiyini və istifadəçilərin zərərini ödəmək üçün müvafiq addımlar atacağını bəyan etmişdir. Lakin, Şai-Huludun bu ikinci dalğası təchizat zənciri hücumlarının nə qədər gəlirli və təhlükəli olduğunu bir daha sübut etdi.
