La recent explotació de l'extensió de Trust Wallet per a Chrome s'ha convertit en un dels episodis de seguretat més comentats a l'ecosistema cripte. Una fallada introduïda en una actualització de l'extensió va permetre als atacants aconseguir les frases llavor i les claus privades de centenars d'usuaris i, en qüestió de minuts, buidar els seus moneders.
L'incident, ocorregut a finals de desembre del 2025, ha encès totes les alarmes en un moment en què les criptomonedes guanyen pes a Europa ia Espanya tant entre petits estalviadors com entre empreses. El que ha passat amb Trust Wallet posa al centre del debat els riscos de les wallets basades en navegador, la necessitat d'auditories constants i el paper que han de jugar les hardware wallets i els marcs reguladors europeus per protegir l'usuari final.
Com es va produir l?atac al?extensió de Trust Wallet
Segons les primeres reconstruccions tècniques, el problema es va originar a la versió 2.68 de l'extensió de Trust Wallet per a Chrome. L'actualització, que arribava com qualsevol altra a través de la botiga del navegador, contenia codi compromès que interceptava el que l'usuari escrivia en introduir la frase llavor o restaurar el moneder.
Aquest codi maliciós permetia als atacants capturar frases llavor, claus privades i dades de signatura durant la interacció amb lextensió. En molts casos, les víctimes veien com, gairebé immediatament després d'introduir les credencials o signar una operació, els seus fons eren drenats cap a direccions desconegudes.
Investigadors on-chain com ZachXBT van detectar patrons de moviments inusuals des de desenes de carteres associades a lextensió compromesa. La mecànica seguia un guió relativament clar: actualització maliciosa, captura de dades sensibles i buidatge fulminant de fons, cosa que encaixa amb un atac de cadena de subministrament de programari més que amb un simple cas de phishing clàssic.
Les primeres estimacions situaven l'impacte en uns 4,3 milions de dòlars en criptoactius rastrejats, encara que anàlisis posteriors i declaracions vinculades a Trust Wallet van elevar les pèrdues potencials fins al voltant de 7 milions de dòlars, distribuïts en aproximadament 600 wallets amb saldos principalment en BTC, ETH, BNB i SOL.
Els fons robats es van moure amb rapidesa a través de múltiples adreces i serveis d'intercanvi, incloent plataformes de conversió instantània i exchanges centralitzats. Aquesta velocitat i fragmentació dels moviments fa pensar en un grup organitzat que coneixia bé la infraestructura cripte i les eines d'ofuscació on-chain.
Actualització maliciosa i riscos de les wallets de navegador
L'atac va posar en relleu una debilitat coneguda però sovint subestimada: actualitzacions automàtiques d'extensions de navegador. En aquest cas, la versió v2.68 de Trust Wallet per a Chrome es va distribuir com un update més, sense aixecar sospites immediates entre els usuaris ni, aparentment, dins dels mateixos controls interns del projecte.
En estar integrada al navegador, l'extensió disposa de permisos sensibles: podeu llegir i injectar codi a les pàgines, gestionar sol·licituds de signatura i manejar dades que, si s'exfiltren, obren de bat a bat l'accés als fons. Quan aquesta capa està compromesa, la superfície d'atac s'amplia dràsticament i qualsevol interacció de l'usuari es converteix en una possible porta d'entrada.
Les víctimes descriuen un patró semblant: després d'actualitzar, restaurar o interactuar amb l'extensió, els seus wallets quedaven buides gairebé a l'instant. Aquesta velocitat indica que el sistema maliciós estava dissenyat per actuar de forma automatitzada, sense necessitat que els atacants intervinguessin manualment transacció per transacció.
Per a l'entorn europeu, on molts usuaris accedeixen a DeFi, NFT i protocols de staking a través del navegador, el cas Trust Wallet actua com a recordatori que les wallets de programari lligades al browser no són necessàriament lopció més robusta per gestionar grans volums dactius, especialment si les actualitzacions no passen per processos de verificació i auditoria reproductible.
Impacte econòmic de l'exploit i l'abast real de les pèrdues
Les xifres que es fan servir al voltant de l'explotació de Trust Wallet oscil·len entre 4 i 7 milions de dòlars en criptomonedes drenades, encara que és probable que el nombre exacte no arribi a conèixer-se del tot, atès que molts casos queden sense reportar o es barregen amb altres incidents.
Entre els actius afectats hi predominaven Bitcoin, Ethereum i BNB, però també s'han assenyalat pèrdues a altres xarxes com Solana. En termes de volum global, el succés s'emmarca en un any especialment dur per a la indústria: informes de firmes d'anàlisi com Chainalysis xifren en més de 3.300 milions de dòlars el valor total robat en hackejos cript durant 2025, amb un augment notable en atacs dirigits a wallets individuals i programari d'autocustòdia.
Aquest tipus d'episodis no només suposen un cop directe a la butxaca dels afectats, sinó que tenen un efecte corrosiu sobre la confiança. Usuaris al detall a Espanya ia altres països europeus, que en molts casos s'estan acostant per primera vegada a les criptomonedes, perceben que les promeses de seguretat i control total poden xocar de cara amb la realitat si les eines fallen.
Com a conseqüència, cada cop més forquilles de criptoactius opten per traslladar una part rellevant dels seus fons a maquinari wallets o solucions de custòdia professional, mentre usen les extensions de navegador per a quantitats moderades o per operar en protocols concrets. Es tracta d'una mena de «segmentació» del risc, on allò que no es pot perdre fàcilment es manté fora de línia.
Resposta de Trust Wallet i compromís de compensació
Poques hores després que l'exploit es fes públic i que circulessin les primeres anàlisis on-chain, Trust Wallet va publicar un comunicat oficial el 26 de desembre de 2025. Hi reconeixia una falla de seguretat específica en la versió 2.68 de l'extensió per a Chrome i recomanava a tots els usuaris desinstal·lar-la o actualitzar immediatament a la versió 2.69.
La companyia va assegurar que estava duent a terme una investigació interna en profunditat i va afirmar haver pegat la vulnerabilitat. Paral·lelament, es va demanar als afectats que emplenessin formularis de reclamació per documentar les pèrdues i facilitar la traçabilitat dels fons robats. Aquesta gestió, en teoria, permetria avançar en un procés de compensació.
Voceros vinculats al projecte, així com figures rellevants de l'entorn de Binance, van indicar que Trust Wallet assumiria el cost dels aproximadament 7 milions de dòlars sostrets, enviant un missatge que «els fons dels usuaris estan protegits». La iniciativa de reemborsament, si es canalitza de manera ordenada, pot ajudar a contenir la fugida d'usuaris, però també obre un debat sobre fins a quin punt un wallet no custodial s'ha de comportar com una mena d'asseguradora.
L'assumpte no és exempt de matisos. En incidents anteriors, la plataforma havia estat criticada per no comptar amb una política clara i pública de compensació davant de vulnerabilitats. Aquesta aparent inconsistència entre casos pot llastar la imatge de fiabilitat si no es tradueix en un marc dactuació estable, amb fons de reserva transparents, protocols de resposta definits i comunicació detallada de cada pas que es fa.
Conseqüències per a la seguretat de les finances descentralitzades
El cas Trust Wallet arriba en un moment delicat per a l'ecosistema DeFi. Amb la entrada progressiva d'inversors institucionals a Europa i l'aprovació de marcs com MiCA, els reguladors miren amb lupa qualsevol incident que afecti usuaris finals. Un hackeig d'aquest tipus alimenta la narrativa que l'autocustòdia pot ser tan fràgil com un error d'actualització de programari.
Les extensions de navegador actuen com a pont entre l'usuari i les dApps, signant transaccions, interactuant amb contractes intel·ligents i gestionant permisos. Si aquesta baula es veu compromesa, tota la cadena de seguretat s'esquerda. Allò que durant anys es considerava un risc teòric s'ha convertit en un cas molt concret, amb imports quantiosos i víctimes repartides per tot el món, inclosos els usuaris europeus.
Aquesta situació revifa la discussió sobre l'equilibri entre descentralització i responsabilitat. Molts defensors de l?autocustòdia subratllen que l?usuari ha de ser «el seu propi banc»; tanmateix, quan es produeix un exploit massiu, la reacció habitual és reclamar suport, transparència i compensació per part dels equips que desenvolupen les eines.
En paral·lel, els exchanges centralitzats també són objecte de crítiques quan pateixen piratejos o gestionen malament els fons dels seus clients. El resultat és una sensació que cap model està exempt de vulnerabilitats, cosa que reforça la idea de combinar solucions: una mica d'autocustòdia, una mica de custòdia institucional i, en tots els casos, un nivell de seguretat i de supervisió tècnica molt més exigent.
Lliçons per a usuaris: com reforçar la seguretat de les teves criptomonedes
Més enllà del que faci o deixi de fer Trust Wallet, l'incident deixa una sèrie de recomanacions pràctiques que qualsevol usuari a Espanya oa la resta d'Europa pot aplicar per reduir l'impacte de futurs piratejos. No són garanties absolutes, però sí mesures que baixen considerablement el risc.
Una primera pauta és tractar les actualitzacions de wallets i extensions com a operacions crítiques. Abans d'instal·lar la darrera versió, convé comprovar als canals oficials (web, bloc, xarxes verificades) que es tracta d'un llançament legítim i que no hi ha alertes de seguretat en curs. Esperar unes hores o dies mentre es confirma que tot funciona normalment pot marcar la diferència.
També cobra més importància l'ús de maquinari wallets per a quantitats rellevants. Mantenir les claus privades fora de línia, en dispositius dedicats i amb microprogramari auditat, redueix l'impacte de qualsevol exploit que afecti el navegador o el sistema operatiu. A la pràctica, molts usuaris opten per utilitzar extensions només com a interfície de signatura mentre la clau real resideix al dispositiu físic, o trien alternatives com Weex Wallet.
Un altre aspecte clau és la gestió de la frase llavor. Aquesta informació mai no hauria d'introduir-se en formularis web, xats, captures de pantalla o aplicacions de tercers. L'ideal és conservar-la en un suport físic segur i evitar sigui com sigui escriure-la en un navegador, excepte en processos de recuperació absolutament controlats i des d'equips lliures de codi maliciós (malware).
Per acabar, és útil diversificar: separar fons en diverses wallets, distingir entre una cartera «calenta» per a ús diari i una altra «freda» per a estalvi i configurar alertes de moviment sempre que sigui possible. Davant de qualsevol rumor de drenatges o problemes en una eina concreta, el més prudent és deixar d'usar-la i moure els fons un entorn més segur mentre s'aclareix la situació.
Responsabilitat de les empreses cripte i exigències regulatòries a Europa
L'incident també llança un missatge directe a les empreses del sector, tant projectes DeFi com a proveïdors de wallets i plataformes de custòdia: la seguretat no es pot tractar com un afegit opcional, sinó com el nucli mateix del producte. Això implica recursos, processos i transparència.
Entre les mesures que es consideren ja gairebé imprescindibles hi ha les auditories de seguretat periòdiques, internes i externes, que incloguin proves de penetració, revisions del codi i escaneigs continus a la recerca de vulnerabilitats. En el cas d'extensions de navegador, cobra una rellevància especial la verificació de la cadena de subministrament i les compilacions reproduïbles, de manera que tercers puguin confirmar que el que es publica és exactament el que s'ha auditat.
Així mateix, es torna fonamental aplicar un model de control d'accés basat en rols dins de les empreses, limitant qui pot modificar i desplegar noves versions del programari. Els incidents de tipus intern o la manipulació de repositoris sense supervisió formen part del ventall de riscos que pretén reduir aquest tipus d'estructures.
En el marc europeu, regulacions com MiCA i les propostes al voltant dels serveis de criptoactius apunten cap a una exigència més gran d'estàndards de seguretat, notificació d'incidents i, en alguns casos, mecanismes de compensació a usuaris. Tot i que les wallets no custodials queden en un terreny més complex, la pressió política i de mercat podria empènyer els desenvolupadors a adoptar pràctiques similars a les dels proveïdors regulats.
Per a les pimes i startups que exploren solucions cript a Espanya, el missatge és clar: abans d'integrar wallets o pagaments en cripte, cal una anàlisi seriosa de riscos, plans de contingència i protocols de resposta davant d'incidents. No n'hi ha prou de connectar una extensió popular i donar per fet que tot està resolt.
Mirant tot el que ha passat amb l'explotació de Trust Wallet, queda palès que l'ecosistema cripte segueix en una fase en què la seguretat i la confiança es construeixen dia a dia. Una simple relliscada en una actualització pot desencadenar pèrdues milionàries i posar en dubte la promesa de sobirania financera que molts usuaris persegueixen. Enfortir les pràctiques de desenvolupament, apostar per maquinari wallets per als estalvis importants, exigir transparència als projectes i combinar la innovació amb marcs de protecció més robustos es perfila com el camí més assenyat perquè l'autocustòdia i les finances descentralitzades es puguin consolidar a Espanya ia la resta d'Europa sense que cada avenç arribi acompanyat d'un nou ensurt.
