ZachXBT signale un problème suspect avec l'extension Trust Wallet alors que des utilisateurs rapportent des fonds vidés

Des préoccupations en matière de sécurité ont émergé autour de l'extension de navigateur Trust Wallet le 25 décembre, après que l'enquêteur blockchain ZachXBT ait signalé une activité suspecte potentiellement liée à une mise à jour récente, suscitant des avertissements de la part des développeurs et des comptes axés sur la sécurité.

Selon des publications circulant sur X, le problème pourrait provenir d'une compromission présumée de la chaîne d'approvisionnement introduite dans une mise à jour de l'extension de navigateur du 24 décembre. 

Un code nouvellement ajouté dans l'extension pourrait exfiltrer silencieusement des données sensibles du portefeuille lorsque les utilisateurs importent une seed phrase. Les allégations suggèrent que cela a conduit à un vidage immédiat du portefeuille.

Allégations de code malveillant Trust Wallet et d'exfiltration de données

Les développeurs examinant l'extension allèguent qu'un fichier JavaScript ajouté dans la mise à jour contient une logique déguisée en analytique. 

Le code serait activé spécifiquement lorsqu'une seed phrase est importée. Il transmet ensuite silencieusement des données liées au portefeuille vers un domaine externe conçu pour ressembler à l'infrastructure officielle de Trust Wallet.

Le domaine référencé dans les rapports aurait été enregistré il y a seulement quelques jours et est depuis hors ligne. 

Les chercheurs soutiennent que sa création récente et le timing de la mise à jour de l'extension soulèvent des inquiétudes concernant une attaque coordonnée de la chaîne d'approvisionnement plutôt qu'un phishing côté utilisateur.

Les utilisateurs signalent des vidages de portefeuilles suite à l'importation de seed phrases

Plusieurs utilisateurs ont signalé que leurs portefeuilles avaient été vidés peu après l'importation de seed phrases dans l'extension de navigateur Trust Wallet. 

Les estimations publiquement partagées suggèrent que plus de 2 millions de dollars auraient pu être perdus. Bien que ces chiffres n'aient pas été vérifiés de manière indépendante.

Les analystes indiquent que les fonds ont été acheminés via plusieurs adresses, un modèle plus couramment associé à une exploitation automatisée qu'à une erreur utilisateur isolée.

La portée semble limitée à l'extension de navigateur

À ce stade, rien n'indique que les applications mobiles de Trust Wallet soient affectées. 

Les avertissements circulant en ligne se concentrent spécifiquement sur l'extension de navigateur. C'est là que les mécanismes de mise à jour et les dépendances tierces présentent un risque plus élevé pour la chaîne d'approvisionnement.

Il est conseillé aux utilisateurs de ne pas importer de seed phrases dans l'extension de navigateur Trust Wallet jusqu'à ce que des éclaircissements supplémentaires soient fournis.

Aucune réponse officielle de Trust Wallet pour l'instant

Au moment de la rédaction, Trust Wallet n'a publié aucune réponse publique, clarification ou avis de sécurité concernant les allégations. 

Il n'y a eu ni confirmation ni démenti des allégations, ni aucune annonce de retrait d'extension, de restauration ou de correctif d'urgence.

Enquête en cours

Les chercheurs ont souligné que la situation fait toujours l'objet d'une enquête active. Les conclusions ne doivent pas être tirées tant que le code de l'extension et l'activité on-chain connexe n'ont pas été entièrement examinés.

Si elle est confirmée, l'incident représenterait une compromission grave de la chaîne d'approvisionnement.

Il s'agit d'une classe d'attaque qui diffère considérablement du phishing ou des erreurs côté utilisateur. De plus, elle a historiquement entraîné des pertes rapides et à grande échelle dans tout l'écosystème crypto.

Réflexions finales

• Les allégations pointent vers un risque potentiellement grave pour la chaîne d'approvisionnement affectant les extensions de portefeuille, soulignant comment les mises à jour de code peuvent devenir un vecteur d'attaque critique si elles sont compromises.
• Sans réponse de Trust Wallet pour l'instant, les utilisateurs et les chercheurs doivent s'appuyer sur une enquête indépendante alors que l'examen de l'incident se poursuit.