Grand incident de piratage de l'extension Trust Wallet, de fausses demandes apparaissent lors de l'examen des compensations｜Sur environ 5 000 demandes, seules 2 600 sont reconnues comme des dommages légitimes

La crédibilité des demandes de compensation mise en question

La solution de portefeuille auto-géré « Trust Wallet » fait face à de nouveaux défis dans sa gestion des compensations. Selon une déclaration du PDG Ewin Cheng, concernant l’incident survenu le 25 décembre, où un code malveillant a été injecté dans une extension de navigateur, le nombre de demandes de compensation reçues s’élève à environ 5 000, tandis que le nombre réel de portefeuilles affectés est de 2 596.

Face à cette grande divergence, M. Cheng a commenté : « Il est très probable que de nombreuses demandes soient des fausses déclarations ou des demandes en double. » La société a adopté une politique privilégiant la précision plutôt que la rapidité, en instaurant un processus de vérification rigoureux afin de ne couvrir que les victimes légitimes.

Identification des victimes par forensic technique

L’équipe de Trust Wallet mène actuellement des travaux de vérification complexes. La méthode d’identification qu’elle utilise combine plusieurs points de données, tels que l’historique des transactions, la version de l’extension, la preuve de propriété du portefeuille, etc. M. Cheng a également souligné que des traces indiquent que l’attaquant connaissait en profondeur le code source de Trust Wallet, et une enquête forensic technique est en cours parallèlement.

Le montant total des pertes est estimé à environ 7 millions de dollars (environ 11 milliards de yens), et des représentants de la société mère ainsi que M. Champong Zhao ont déclaré qu’ils couvriront intégralement les pertes légitimes. Cependant, la société a clairement indiqué qu’elle procédera par étapes dans le traitement des remboursements, afin de prévenir toute fuite de fonds vers de faux demandeurs.

La réalité de la menace de sécurité

L’incident de hacking est dû à un code malveillant injecté dans l’extension Chrome (version 2.68). Suite à des alertes de chercheurs en cryptomonnaies, la société a publié en urgence une version corrigée (version 2.69) et a recommandé aux utilisateurs de désactiver l’extension.

Il est important de noter que les applications mobiles et autres versions d’extensions pour navigateurs ne sont pas affectées. La société a rapidement réagi pour limiter l’extension des dégâts, et le 27 décembre, elle a officiellement lancé la réception des demandes de victimes via son portail de support officiel.

Appel à la vigilance face aux tentatives de phishing

Avec le lancement des procédures de compensation, de nouveaux risques apparaissent. Des activités de phishing ont été détectées, où des escrocs incitent à remplir des formulaires suspects sous prétexte de compensation. Trust Wallet rappelle que ses utilisateurs ne doivent suivre aucune instruction en dehors de son site officiel de support.

Pour faire une demande de compensation, les utilisateurs doivent soumettre via un formulaire dédié leur adresse email, adresse de portefeuille, adresse de réception de l’attaquant, etc.

Avertissement à l’ensemble de l’industrie des portefeuilles auto-gérés

Cet incident a mis en lumière la faiblesse des portefeuilles auto-gérés. Alors que la popularité des portefeuilles basés sur des extensions de navigateur augmente, le canal de distribution des mises à jour logicielles (la chaîne d’approvisionnement) devient une nouvelle porte d’entrée pour les attaques.

Les acteurs du secteur soulignent que, même dans un portefeuille auto-géré où l’utilisateur détient sa clé privée, la dépendance à une distribution centralisée des applications et des mises à jour reste un risque. Les experts insistent sur l’importance d’utiliser des builds reproductibles, de renforcer la vérification d’intégrité, et de disperser la distribution des mises à jour pour améliorer la fiabilité. La révision des normes de sécurité dans l’industrie devient une priorité urgente.

La réponse de la société pourrait établir un précédent important pour la gestion des compensations et la vérification de la sécurité dans le secteur des portefeuilles d’actifs cryptographiques.