Des préoccupations de sécurité ont émergé concernant l'extension de navigateur Trust Wallet le 25 décembre, après que l'enquêteur blockchain ZachXBT a signalé une activité suspecte potentiellement liée à une mise à jour récente, déclenchant des avertissements de la part des développeurs et des comptes axés sur la sécurité.
Selon des publications circulant sur X, le problème pourrait provenir d'une compromission présumée de la chaîne d'approvisionnement introduite dans une mise à jour de l'extension de navigateur du 24 décembre.
Un nouveau code ajouté dans l'extension pourrait exfiltrer silencieusement des données sensibles du portefeuille lorsque les utilisateurs importent une phrase de récupération. Les allégations suggèrent que cela a conduit à un vidage immédiat du portefeuille.
Allégations de code malveillant et d'exfiltration de données dans Trust Wallet
Les développeurs examinant l'extension affirment qu'un fichier JavaScript ajouté dans la mise à jour contient une logique déguisée en analytique.
Le code s'activerait spécifiquement lors de l'importation d'une phrase de récupération. Il transmettrait ensuite silencieusement les données liées au portefeuille vers un domaine externe conçu pour ressembler à l'infrastructure officielle de Trust Wallet.
Le domaine référencé dans les rapports aurait été enregistré il y a seulement quelques jours et est depuis hors ligne.
Les chercheurs soutiennent que sa création récente et le timing de la mise à jour de l'extension soulèvent des inquiétudes concernant une attaque coordonnée de la chaîne d'approvisionnement plutôt qu'une usurpation d'identité (phishing) côté utilisateur.
Les utilisateurs rapportent des vidages de portefeuille après des imports de phrases de récupération
Plusieurs utilisateurs ont rapporté que leurs portefeuilles avaient été vidés peu après avoir importé des phrases de récupération dans l'extension de navigateur Trust Wallet.
Des estimations partagées publiquement suggèrent que plus de 2 millions de dollars auraient pu être perdus, bien que ces chiffres n'aient pas été vérifiés de manière indépendante.
Les analystes indiquent que les fonds ont été acheminés via de multiples adresses, un modèle plus souvent associé à une exploitation automatisée qu'à une erreur utilisateur isolée.
La portée semble limitée à l'extension de navigateur
À ce stade, rien n'indique que les applications mobiles de Trust Wallet soient affectées.
Les avertissements circulant en ligne se concentrent spécifiquement sur l'extension de navigateur. C'est là que les mécanismes de mise à jour et les dépendances tierces présentent un risque plus élevé pour la chaîne d'approvisionnement.
Il est conseillé aux utilisateurs de ne pas importer de phrases de récupération dans l'extension de navigateur Trust Wallet jusqu'à ce qu'une clarification supplémentaire soit fournie.
Aucune réponse officielle de Trust Wallet pour le moment
Au moment de la rédaction, Trust Wallet n'a émis aucune réponse publique, clarification ou avis de sécurité concernant ces allégations.
Il n'y a eu ni confirmation ni démenti des allégations, ni aucune annonce concernant une extension, un retour en arrière ou un correctif d'urgence.
Enquête en cours
Les chercheurs ont souligné que la situation fait toujours l'objet d'une enquête active. Aucune conclusion ne devrait être tirée avant que le code de l'extension et l'activité on-chain associée n'aient été entièrement examinés.
Si elle est confirmée, l'incident représenterait une compromission sérieuse de la chaîne d'approvisionnement.
Il s'agit d'une classe d'attaque qui diffère significativement de l'usurpation d'identité (phishing) ou des erreurs côté utilisateur. De plus, elle a historiquement entraîné des pertes rapides et à grande échelle dans l'écosystème crypto.
Réflexions finales
- Les allégations pointent vers un risque potentiellement sérieux pour la chaîne d'approvisionnement affectant les extensions de portefeuille, soulignant comment les mises à jour de code peuvent devenir un vecteur d'attaque critique si elles sont compromises.
- En l'absence de réponse de Trust Wallet pour le moment, les utilisateurs et les chercheurs doivent compter sur des enquêtes indépendantes alors que l'examen de l'incident se poursuit.
