Comment des millions ont été siphonnés : la crise de l'extension de navigateur Trust Wallet

Les Premiers Dégâts : Ce que les Utilisateurs ont Perdu

En décembre, les utilisateurs de l’extension de navigateur Trust Wallet ont découvert quelque chose de terrifiant — leurs portefeuilles ont été complètement vidés. En quelques minutes après l’importation de leurs phrases de récupération, les fonds ont disparu lors de plusieurs transactions. Ce n’était pas progressif ; c’était instantané et automatisé. Des millions d’actifs ont été transférés vers des adresses contrôlées par des attaquants avant que les utilisateurs ne puissent réagir.

La rapidité et l’ampleur suggéraient quelque chose de bien pire que le phishing standard : les attaquants disposaient déjà de l’autorisation de signature.

Revenir en Arrière : Comment la Faille s’est Produite

La chaîne d’événements a commencé avec ce qui ressemblait à une mise à jour de routine le 24 décembre. Une nouvelle version de l’extension de navigateur Trust Wallet a été déployée sans drapeaux rouges évidents. Les utilisateurs ont mis à jour normalement, en s’attendant à des correctifs de sécurité classiques.

Mais caché dans cette version se trouvait quelque chose de malveillant.

L’Arme Cachée : Code Déguisé en Plein Sight

Les chercheurs en sécurité ont découvert un nouveau code JavaScript (fichier 4482.js) intégré dans l’extension. La partie astucieuse ? Il était déguisé en analytics ou en suivi télémétrique — le genre de code de surveillance utilisé par toutes les applications. Il ne s’activait pas en permanence non plus. Au lieu de cela, il restait inactif jusqu’à ce qu’un déclencheur spécifique se produise.

Pour les portefeuilles de navigateur, c’est un territoire critique. Toute communication sortante inattendue d’une extension de portefeuille représente un risque maximal car elle a un accès direct aux clés privées et aux fonctions de signature.

Le Moment du Déclencheur : Lors de l’Importation des Phrases de Récupération dans le Portefeuille

Le code malveillant ne s’activait que lorsque les utilisateurs importaient leur phrase de récupération dans l’extension. C’est le moment précis où un portefeuille obtient le contrôle total de vos fonds. C’est une action unique, à haut enjeu — et les attaquants avaient parfaitement synchronisé leur coup.

Les utilisateurs qui n’ont jamais importé de phrases de récupération (seulement utilisé des portefeuilles préexistants) ont échappé à l’attaque. Ceux qui ont importé ? Ils sont devenus des cibles.

Communication avec les Criminels : Le Domaine Factice

Lorsque le déclencheur s’est activé, le code injecté a contacté un serveur externe : metrics-trustwallet[.]com

Le nom de domaine a été délibérément conçu pour paraître légitime — comme un sous-domaine officiel de Trust Wallet. Mais il a été enregistré quelques jours auparavant, n’a jamais été documenté officiellement, et a disparu en ligne peu après que le schéma a été dévoilé.

Cette communication sortante représentait le moment où les attaquants ont confirmé qu’ils avaient réussi à installer leur charge utile et pouvaient commencer à vider les portefeuilles.

Exécution : Vider les Portefeuilles en Temps Réel

Une fois que les attaquants ont reçu le signal qu’une phrase de récupération avait été importée, ils ont agi avec précision :

• Des séquences de transactions automatisées ont commencé immédiatement
• Les actifs ont été répartis entre plusieurs adresses d’attaquants
• Aucune fenêtre d’approbation ou signature n’a été requise de la part de l’utilisateur
• La consolidation s’est faite à travers plusieurs portefeuilles pour fragmenter la piste

Les victimes n’ont pas eu l’opportunité d’intervenir. Au moment où elles ont réalisé que leurs portefeuilles étaient vides, les attaquants avaient déjà transféré les fonds via leur infrastructure.

Pourquoi cette attaque était si dangereuse

Cet incident n’était pas un vol de portefeuille typique. Il a révélé plusieurs vulnérabilités critiques :

Les extensions de navigateur sont à haut risque : Elles ont un accès plus profond au système que les applications web et peuvent intercepter des fonctions sensibles.

Les attaques par chaîne d’approvisionnement sont réelles : Une seule mise à jour compromise peut affecter des centaines de milliers d’utilisateurs simultanément.

L’importation de la phrase de récupération est le moment critique : C’est à ce moment que le portefeuille est le plus vulnérable — les attaquants l’ont compris et l’ont exploité.

La documentation factice fonctionne : Un nom de domaine qui imite une infrastructure légitime peut dissimuler une infrastructure malveillante en plein sight.

Ce qui a été Confirmé

• Une version spécifique de l’extension de navigateur Trust Wallet contenait du code injecté
• Les utilisateurs ont perdu des fonds importants peu après l’importation de leur phrase de récupération
• Le domaine malveillant est devenu hors ligne après avoir été exposé
• Trust Wallet a officiellement reconnu un incident de sécurité
• L’attaque était limitée à l’extension de navigateur ; les utilisateurs mobiles n’ont pas été affectés

Ce qui reste flou

• Si cela était une compromission de la chaîne d’approvisionnement ou un sabotage délibéré
• Le nombre exact d’utilisateurs affectés
• Le montant total de fonds drainés à l’échelle mondiale
• Si les phrases de récupération ont été récoltées pour de futures attaques
• Qui a orchestré l’attaque

La Leçon : Ne Faites Confiance à Rien Aveuglément

Cet incident a exposé la réalité de la sécurité crypto en 2024 : même les applications établies peuvent être compromises. Les extensions de navigateur sont particulièrement dangereuses car elles opèrent dans un espace sensible entre votre ordinateur et vos actifs.

Les utilisateurs doivent considérer l’importation de phrases de récupération comme les moments de sécurité les plus critiques. Toute mise à jour doit être abordée avec prudence. Et toujours maintenir plusieurs couches de protection plutôt que de faire confiance à un seul outil.

L’incident Trust Wallet prouve que même des millions d’utilisateurs et une marque bien connue ne peuvent garantir la sécurité. La vigilance est la seule véritable mesure de sécurité.