Les notifications officielles peuvent toutes devenir des outils de migration, c’est vraiment absurde de nos jours. Le jour de Noël, une vague d’utilisateurs de Trust Wallet a simplement regardé leur Bitcoin, Ethereum, Solana dans leur portefeuille être transférés en quelques minutes, comme si quelqu’un avait directement emporté leurs affaires devant chez eux. La perte causée par cet incident de hacking s’élève à environ 7 millions de dollars, mais ce qui fait vraiment mal, c’est que la soi-disant sécurité des portefeuilles non custodiaux repose en réalité sur une promesse illusoire.

Comment l’incident s’est-il produit

Le 24 décembre, Trust Wallet a publié une mise à jour v2.68 pour les utilisateurs de l’extension Chrome. Cela semblait être une maintenance ordinaire, mais en réalité, un hacker a inséré un script malveillant appelé "4482.js". Dès que l’utilisateur importe sa phrase de récupération dans l’extension, ce script envoie discrètement ses informations de clé privée au faux domaine api.metrics-trustwallet.com contrôlé par le hacker.

Le processus d’attaque est d’une précision remarquable :

- 8 décembre : le hacker enregistre un domaine contrefait
- 22 décembre : la version infectée est discrètement mise en ligne
- 24-25 décembre : des centaines d’utilisateurs voient leur portefeuille vidé immédiatement après déverrouillage ou importation de leur phrase de récupération

Un utilisateur a explosé sur les réseaux sociaux : "J’ai simplement importé une phrase de récupération, et en moins de 10 minutes, 300 000 dollars ont disparu !" Ce n’est plus une simple question de technique, mais une véritable gifle à l’écosystème de sécurité des portefeuilles.

Pourquoi le canal officiel devient-il en fait une porte d’entrée

C’est là que réside la véritable ironie. Les utilisateurs font confiance aux mises à jour officielles parce qu’elles proviennent de sources officielles. Mais c’est justement cette confiance qui a été exploitée. Si vous téléchargez une extension contaminée depuis la boutique officielle Chrome, il est presque impossible de s’en prémunir. Même la logique la plus robuste de portefeuille ne pourra pas vous sauver, car le problème réside dans la chaîne d’approvisionnement.

Chaque incident de ce type nous rappelle un vieux problème enraciné dans le domaine des actifs cryptographiques : la distribution décentralisée n’est pas synonyme de sécurité, et les portefeuilles non custodiaux ne sont pas infaillibles. La responsabilité humaine, les failles systémiques, voire les canaux officiels eux-mêmes peuvent devenir des points faibles. La sécurité de ses clés privées et de ses phrases de récupération reste la priorité absolue, mais quand pourra-t-on vraiment atteindre un zéro risque ?