Extension de navigateur Trust Wallet v2.68 Breach : $7M dans des pertes sur BTC, Solana et EVM

Source : CryptoTale Titre Original : Extension de navigateur Trust Wallet compromise, $7 Million perdu Lien Original : https://cryptotale.org/trust-wallet-browser-extension-compromised-7-million-lost/

Aperçu

Trust Wallet a confirmé une faille de sécurité critique liée à son extension de navigateur, entraînant des sorties de cryptomonnaies non autorisées à grande échelle. L’incident a concerné les utilisateurs ayant installé la version 2.68 peu avant Noël. Les hackers ont exploité la mise à jour, extrait les phrases de récupération, et vidé environ $7 million de cryptomonnaies sur les réseaux Bitcoin, Solana et EVM.

Les utilisateurs uniquement mobiles et les autres versions de l’extension n’ont pas été affectés. Cependant, le timing, l’ampleur et la rapidité des pertes ont accru l’inquiétude au sein de la communauté de la garde autonome.

Mise à jour de l’extension liée à des décharges rapides de portefeuille

Trust Wallet a publié une mise à jour de son extension de navigateur le 24 décembre via les canaux de distribution habituels. Peu après, des utilisateurs ont signalé des fonds manquants, avec des transactions effectuées en quelques minutes après l’accès au portefeuille. Plusieurs victimes ont indiqué que les décharges ont suivi immédiatement l’importation des phrases de récupération dans l’extension.

L’enquêteur on-chain ZachXBT a lancé une alerte après avoir reçu plusieurs rapports d’utilisateurs indépendants, indiquant que des centaines de portefeuilles ont été affectés avec des pertes initiales dépassant $6 million. Un suivi ultérieur a montré que les fonds circulaient entre plusieurs adresses de réception.

Les blockchains concernées comprenaient Bitcoin, Solana, et plusieurs réseaux compatibles EVM. Cet impact multi-chaînes suggérait une compromission au niveau du portefeuille plutôt qu’une exploitation d’un seul protocole.

Analyse du code soulève des préoccupations de chaîne d’approvisionnement

Suite aux alertes, des chercheurs indépendants ont examiné le code mis à jour de l’extension. Un fichier JavaScript, identifié comme 4482.js, contenait une logique nouvellement ajoutée que les chercheurs ont alléguée avoir été activée lors de l’importation des phrases de récupération.

Le code semblait transmettre des données à un domaine nommé metrics-trustwallet[.]com. Les chercheurs communautaires ont observé que ce domaine avait été enregistré seulement quelques jours plus tôt, puis était devenu hors ligne. Cependant, ces conclusions proviennent d’analyses tierces, et non d’un audit officiel.

Trust Wallet a reconnu un « incident de sécurité » affectant uniquement la version 2.68 de l’extension de navigateur. La société a conseillé aux utilisateurs de désactiver immédiatement l’extension et de mettre à jour vers la version 2.69. Trust Wallet a déclaré que la mise à jour avait corrigé le problème et a exhorté les utilisateurs à ne télécharger qu’à partir des boutiques officielles.

Impact sur les utilisateurs et réponse

Plusieurs utilisateurs ont publié des détails sur leurs pertes durant les vacances de Noël. Un utilisateur a signalé avoir perdu plus de 300 000 $ en l’espace de quatre minutes. D’autres ont affirmé des pertes allant de milliers à plusieurs centaines de milliers de dollars.

L’équipe de support de Trust Wallet a contacté les utilisateurs affectés pour leur indiquer la marche à suivre. De plus, le fondateur de la société a confirmé que les pertes vérifiées seraient couvertes. « Jusqu’à présent, $7m affecté par ce hack », avec l’assurance que les fonds des utilisateurs restent sécurisés.

La société n’a pas nommé l’attaquant et a indiqué que l’incident était dû à un problème impliquant un tiers. Les investigations sont toujours en cours alors que les chercheurs suivent les fonds restants et les portefeuilles impactés.

Contexte plus large

L’incident s’est produit lors d’une augmentation plus large des vols de cryptomonnaies tout au long de 2025. Selon des estimations récentes, le vol de cryptomonnaies a dépassé 3,41 milliards de dollars cette année. La faille de Trust Wallet a renforcé les préoccupations croissantes concernant la sécurité des portefeuilles basés sur navigateur.

Les utilisateurs ont été invités à éviter d’importer leurs phrases de récupération dans des extensions de navigateur et à activer des mesures de sécurité supplémentaires sur leurs comptes.