Aperçu des incidents de sécurité du portefeuille plugin : fréquemment confronté à des logiciels frauduleux et à des attaques de phishing, peu de vulnérabilités directes officielles

12 décembre, ce matin, Trust Wallet, le portefeuille cryptographique non custodial le plus utilisé par les utilisateurs, a publié une alerte de sécurité officielle confirmant qu’une vulnérabilité de sécurité existait dans la version 2.68 du plugin navigateur. L’enquêteur de la chaîne ZachXBT a révélé que plusieurs centaines de Trust Wallet ont été victimes de vol de fonds, avec une perte d’au moins 6 millions de dollars. Trust Wallet a été téléchargé plus de 200 millions de fois, avec environ 17 millions d’utilisateurs actifs mensuels, représentant environ 35 % de part de marché. Cet incident de sécurité a un impact étendu. Voici un aperçu des incidents de sécurité rencontrés par plusieurs plugins de navigateurs principaux : Trust Wallet a également été victime d’une vulnérabilité WebAssembly en novembre 2022, affectant uniquement les nouvelles adresses de portefeuille créées entre le 14 et le 23 novembre 2022. Environ 170 000 dollars ont été volés, mais Trust Wallet a découvert le problème via un programme de récompense pour bug, a corrigé la vulnérabilité et a indemnisé intégralement les utilisateurs affectés. MetaMask a connu une vulnérabilité « Demonic » en 2022, affectant les versions antérieures à 10.11.3, où la clé privée pouvait être exposée dans la mémoire du navigateur, mais aucun vol massif de fonds n’a été signalé. Par la suite, entre 2023 et 2025, le portefeuille officiel de MetaMask a fonctionné en toute sécurité, mais il a été fréquemment ciblé par des extensions frauduleuses. Le rapport de Chainalysis indique qu’en 2025, les incidents de vol anormaux des utilisateurs de MetaMask ont fortement augmenté, principalement en raison de logiciels malveillants et de phishing, plutôt que de failles de sécurité du plugin lui-même. MetaMask publie un rapport de sécurité mensuel à ce sujet, mais en tant que portefeuille populaire basé sur Ethereum, il reste une cible principale pour les contrefaçons. Phantom (le principal plugin de portefeuille Solana) a également été affecté par la vulnérabilité « Demonic » en 2022, sans perte de fonds à grande échelle connue. Au début de 2025, une controverse de sécurité impliquant le plugin Phantom a éclaté, un utilisateur ayant perdu 500 000 dollars, en raison du stockage non crypté de la clé privée en mémoire par Phantom, ce qui a permis une attaque de hackers, entraînant une action collective devant la Cour du district sud de New York. La déclaration officielle de Phantom a fermement nié toutes les accusations, affirmant que le procès était « sans fondement » et soulignant que Phantom est un portefeuille non custodial, la sécurité des fonds étant la responsabilité de l’utilisateur. Rabby Wallet (plugin convivial pour DeFi) a été victime en 2022 d’un vol d’environ 200 000 dollars en cryptomonnaies via une vulnérabilité de Rabby Swap, cette faille ne provenant pas du plugin lui-même mais de la fonctionnalité Swap intégrée. La méthode la plus courante de vol des portefeuilles de navigateur est le téléchargement d’applications contrefaites. En 2025, plusieurs incidents de ce type ont éclaté dans le magasin Firefox, affectant plusieurs portefeuilles cryptographiques populaires tels que MetaMask, Phantom, Trust Wallet, etc. En revanche, les vulnérabilités directement liées aux plugins officiels sont rares. Il est conseillé aux utilisateurs de ne télécharger qu’à partir du Chrome Web Store officiel pour garantir la sécurité de leurs fonds.