Bug sérieux de l'extension Trust Wallet : comment $6 millions en crypto ont été mis en danger et pourquoi la version 2.69 est devenue urgente

Ce qui s’est passé :
Les chercheurs en blockchain et les utilisateurs ont enregistré cette semaine une perte massive de fonds liée à une version d’une extension de navigateur d’un portefeuille non-custodial populaire. Selon les premières estimations des analystes, les pertes s’élèveraient à plus de $6 millions sur différentes blockchains, et le nombre de portefeuilles affectés aurait atteint plusieurs centaines. La société a réagi rapidement en supprimant la version problématique et en publiant une correction critique.

Extension Trust Wallet : quand la sécurité s’est révélée vulnérable

La société a officiellement annoncé avoir détecté une faille de sécurité critique affectant exclusivement la version 2.68 de l’extension Browser. Le problème a obligé à désactiver d’urgence l’extension et à déployer une mise à jour vers la version 2.69, disponible via le Chrome Web Store officiel.

Il est important de noter que la vulnérabilité n’a pas concerné :

• Les utilisateurs de la version mobile du portefeuille
• Les utilisateurs de bureau avec d’autres versions de l’extension
• L’infrastructure principale de la plateforme

La société a conseillé aux utilisateurs de cesser immédiatement d’utiliser la version 2.68 et de s’abstenir d’ouvrir l’extension jusqu’à l’installation de la correction.

Les voleurs ont vidé les fonds immédiatement après l’autorisation

Le premier signal du problème est venu de chercheurs indépendants, qui ont remarqué des mouvements anormaux d’actifs provenant d’utilisateurs ayant récemment interagi avec l’extension dans Chrome. Les victimes rapportaient que leurs fonds avaient été transférés instantanément après l’autorisation de l’opération dans l’extension.

Les vols ont concerné plusieurs blockchains :

• Ethereum et réseaux compatibles EVM
• Solana
• Bitcoin

La proximité temporelle entre la publication de la version 2.68 et l’activation des vols indiquait une causalité directe. Bien que Trust Wallet n’ait pas publié de chiffres précis, les chercheurs ont identifié une centaine de comptes avec des dépenses anormales.

Soupçons de compromission dans la chaîne de distribution

Des experts en sécurité avancent l’hypothèse d’une injection de code malveillant lors du processus de développement ou de diffusion de la version 2.68. Si les attaquants ont réussi à influencer la phase de collecte ou de distribution de l’extension, ils auraient pu accéder à l’interception d’opérations critiques du portefeuille — telles que la signature de transactions ou la confirmation de sessions.

Cette théorie est cohérente avec des transferts anonymes que les utilisateurs ont observés vers des adresses inconnues, sans autres anomalies visibles. Trust Wallet a indiqué avoir lancé une enquête et promet de communiquer des conclusions plus détaillées ultérieurement.

La procédure à suivre pour les utilisateurs

Le portefeuille recommande des mesures urgentes :

• Désactiver l’extension Trust Wallet dans Chrome
• Activer le mode développeur
• Forcer la mise à jour vers la version 2.69
• Vérifier le numéro de version avant de continuer à utiliser

La société insiste sur l’importance de télécharger la mise à jour uniquement via la boutique officielle Chrome, et non par des sources alternatives.

Vulnérabilité systémique dans le monde des portefeuilles crypto

Cet épisode révèle un problème plus profond : même les portefeuilles non-custodiaux peuvent devenir des cibles si leurs canaux de distribution sont compromis. Les extensions de navigateur présentent un risque particulier :

• Elles ont un accès direct aux clés privées et aux demandes de confirmation
• Fonctionnent dans des environnements à risque de phishing et de scripts malveillants
• Nécessitent des mises à jour fréquentes, ce qui augmente la surface d’attaque

Contrairement aux vulnérabilités des smart contracts, la compromission d’un portefeuille ne prévoit pas de mécanismes de protection on-chain, et les pertes sont irréversibles. Étant donné que Trust Wallet compte plus de 220 millions d’utilisateurs dans le monde, même une vulnérabilité limitée à une seule version pourrait avoir un impact durable sur la réputation.