Comment l'extension du navigateur Trust Wallet a vidé le portefeuille – étape par étape

Le déroulement de l’incident de sécurité : De l’installation au vol

Décembre 2024 a marqué un tournant pour la sécurité des portefeuilles Web3. Une mise à jour apparemment anodine pour l’extension Chrome Trust Wallet contenait une logique cachée qui a systématiquement drainé les comptes utilisateur – des millions de dollars en quelques minutes.

Phase 1 : La mise à jour suspecte

Le 24 décembre, une nouvelle version de l’extension est apparue. En surface, elle semblait inoffensive :

• Aucune alerte de sécurité dans les notes de version
• Processus de mise à jour standard
• Les utilisateurs l’ont installée comme d’habitude

L’illusion a fonctionné. Personne ne remarqua immédiatement qu’il ne s’agissait pas d’une simple mise à jour de maintenance.

Phase 2 : Modifications de code cachées dans un fichier JavaScript

Les chercheurs en sécurité analysant les fichiers de l’extension ont découvert une nouvelle logique dans 4482.js. C’était le premier signal d’alerte. Dans une extension de portefeuille, toute nouvelle communication sortante doit faire l’objet d’un contrôle strict – ici, une brèche avait été ouverte.

Phase 3 : Détournement en tant que code d’analyse légitime

La logique malveillante était astucieusement dissimulée :

• Elle ressemblait à un code de télémétrie standard
• Elle ne s’activait pas en permanence
• Elle ne fonctionnait que dans certaines conditions

Ce design compliquait considérablement la détection. Des tests simples n’auraient peut-être pas permis de repérer le code suspect.

Phase 4 : Le déclencheur critique – Importation de la phrase de récupération

Les analyses de rétro-ingénierie suggèrent que la logique s’activait précisément lorsqu’un utilisateur importait une phrase de récupération. C’était le moment idéal pour les attaquants – car :

• Une phrase de récupération donne un contrôle total sur le portefeuille
• C’est généralement un processus unique
• Les criminels n’ont besoin d’agir qu’une seule fois

Les utilisateurs ne créant que des portefeuilles existants pouvaient peut-être éviter ce déclencheur.

Phase 5 : Exfiltration de données vers un domaine falsifié

Lorsque la condition était remplie, le code envoyait prétendument des données de portefeuille à un serveur externe :

metrics-trustwallet[.]com

L’illusion était parfaite :

• Le nom de domaine ressemblait à une sous-domaine Trust Wallet authentique
• Il avait été enregistré quelques jours auparavant
• Il n’était documenté nulle part publiquement
• Il est rapidement devenu hors ligne

Phase 6 : Vol automatisé d’argent

Peu après que les utilisateurs aient importé leurs phrases de récupération, des milliers de portefeuilles vidés ont été signalés :

• Les transactions se produisaient en quelques minutes
• Plusieurs actifs étaient déplacés simultanément
• Aucune interaction humaine n’était nécessaire

Les données on-chain montraient des modèles automatisés – les attaquants avaient suffisamment de contrôle pour signer eux-mêmes les transactions.

Phase 7 : Consolidation via plusieurs portefeuilles

Les fonds volés ont transité par des dizaines de comptes d’attaquants. Ce n’était pas un hasard :

• Plusieurs adresses cibles réduisent les risques de traçage
• Le scripting automatisé était évident
• Le comportement correspond à des exploits professionnels

Les estimations globales basées sur le suivi des transactions s’élèvent à plusieurs millions de dollars.

Phase 8 : Effacement rapide des traces

Après que la communauté ait sonné l’alarme :

• Le domaine suspect a été désactivé
• Aucune déclaration publique n’a été faite immédiatement
• Des captures d’écran et des preuves en cache ont été analysées de manière critique

C’est un comportement classique des attaquants : détruire l’infrastructure dès qu’elle est compromise.

Phase 9 : Confirmation officielle tardive

Trust Wallet a finalement confirmé :

• Un incident de sécurité concernait des versions spécifiques de l’extension
• Les utilisateurs mobiles n’étaient pas affectés
• Une mise à jour immédiate ou une désactivation était recommandée

Cependant, des questions restent en suspens :

• Pourquoi le domaine existait-il ?
• Les phrases de récupération ont-elles été divulguées ?
• Des acteurs internes ou externes ont-ils été impliqués ?

Ces lacunes alimentent les spéculations.

Ce que nous savons avec certitude

✓ Une mise à jour de l’extension Chrome a introduit des connexions sortantes suspectes ✓ Les utilisateurs ont perdu des fonds immédiatement après l’importation de leur phrase de récupération ✓ L’incident était limité à certaines versions ✓ Trust Wallet a confirmé la faille de sécurité

Ce que des indices solides suggèrent

→ Injection de code malveillant dans la chaîne d’approvisionnement → Les phrases de récupération ou les capacités de signature ont été compromises → Le code d’analyse a été détourné comme arme

Ce qui reste encore à clarifier

? Si le code a été inséré intentionnellement ou s’il a été compromis en amont ? Nombre exact d’utilisateurs affectés ? Identité des attaquants ? Si d’autres données sensibles ont été exfiltrées

Pourquoi cet incident concerne toute l’industrie

Cet incident n’était pas une attaque de phishing classique. Il montre :

La fragilité des extensions de navigateur – Elles ont accès aux clés privées et aux phrases de récupération. Une petite erreur de code ou une faiblesse peut être catastrophique.

Le risque de confiance aveugle lors des mises à jour – Les utilisateurs installent automatiquement les mises à jour sans vérifier le code. Les mises à jour sont un vecteur d’attaque parfait.

Comment le code d’analyse peut être perverti – Les fonctions de télémétrie semblent légitimes, mais peuvent détourner des données sensibles.

Le moment critique : la gestion des phrases de récupération – Importer une phrase de récupération est le moment le plus dangereux lors de l’utilisation d’un portefeuille.

Une erreur de bug temporaire ou une faiblesse placée intentionnellement suffit à voler des millions – en quelques minutes.

La leçon : En sécurité crypto, il n’y a pas de petits détails. Chaque mise à jour mérite prudence, pas confiance.