En l’espace de quelques heures, des fonds provenant de centaines de portefeuilles ont été transférés de manière suspecte en raison d’une vulnérabilité dans l’extension Chrome de Trust Wallet, entraînant des pertes d’au moins 6 millions de dollars. Les attaquants ont injecté un script PostHog JS afin de collecter des informations sur les portefeuilles des utilisateurs, et la version corrigée n’a pas encore totalement éliminé ce risque.
En 2025, les pertes liées à la sécurité Web3 se sont envolées pour atteindre environ 3,35 milliards de dollars, avec une tendance marquée par "moins d’incidents mais des pertes unitaires plus importantes".
01 Aperçu de l’incident
Trust Wallet, l’un des principaux portefeuilles crypto non-custodiaux avec près de 17 millions d’utilisateurs actifs mensuels et environ 35 % de parts de marché, a été largement affecté par cette faille de sécurité.
À la suite de l’attaque, l’enquêteur on-chain ZachXBT a détecté et révélé l’incident. Des centaines d’utilisateurs de Trust Wallet ont signalé des sorties de fonds anormales depuis leurs adresses de portefeuille au cours des dernières heures.
Plus préoccupant encore, des experts en sécurité ont souligné que même la mise à jour vers la version corrigée ne supprime pas totalement le risque, le script PostHog JS incriminé étant toujours présent dans la mise à jour.
02 Nature de la vulnérabilité
Un cas d’école d’attaque sur la chaîne d’approvisionnement. Selon les experts en sécurité de SlowMist, le problème principal réside dans l’utilisation de moyens techniques par les attaquants pour implanter un code malveillant dans l’extension. Les auteurs de l’attaque devaient avoir une connaissance approfondie du code source de l’extension du portefeuille pour mener à bien leur action.
Des risques de sécurité persistants pour les portefeuilles sous forme de plugin. Il ne s’agit pas du premier incident de sécurité pour Trust Wallet. Déjà en novembre 2022, son extension navigateur avait révélé une vulnérabilité WebAssembly ayant conduit au vol d’environ 170 000 dollars.
Limites des correctifs officiels. Bien que Trust Wallet ait publié une version corrigée, les experts en sécurité mettent en garde contre la persistance des risques. Cela illustre la complexité et les délais souvent associés à la correction des failles sur les portefeuilles sous forme de plugin.
03 Panorama de la sécurité dans l’industrie
La sécurité Web3 demeure un défi cette année. Selon le rapport de CertiK, les pertes liées aux piratages, escroqueries et vulnérabilités ont atteint environ 3,35 milliards de dollars en 2025, contre 2,446 milliards de dollars en 2024.
Les attaques tendent vers "moins d’événements mais des pertes plus lourdes par incident". CertiK précise qu’en excluant l’incident majeur de Bybit (environ 1,447 milliard de dollars), le montant total des fonds dérobés est inférieur à celui de l’année précédente, révélant ainsi une tendance à la diminution du nombre d’attaques mais à l’augmentation des pertes par événement.
Les attaques sur la chaîne d’approvisionnement deviennent la norme. Le rapport 2025 montre que ce type d’attaque a généré les pertes totales les plus élevées, tandis que le phishing reste l’incident le plus fréquent.
04 Historique des vulnérabilités sur les principaux portefeuilles
Les portefeuilles sous forme de plugin constituent depuis longtemps un maillon faible de l’écosystème crypto, plusieurs portefeuilles majeurs ayant connu des incidents de sécurité. Voici quelques cas marquants de ces dernières années :
Vulnérabilité "Demonic" de MetaMask : En 2022, MetaMask a fait face à une vulnérabilité baptisée "Demonic", affectant les versions antérieures à la 10.11.3, où les clés privées pouvaient être exposées dans la mémoire du navigateur. Heureusement, aucune perte massive de fonds n’a été recensée.
Controverse sur la sécurité de Phantom : Début 2025, l’extension du portefeuille Phantom a été au centre d’une controverse de sécurité. Un utilisateur a perdu 500 000 dollars, la faute à des clés privées stockées en mémoire sans chiffrement. Cela a conduit au dépôt d’un recours collectif devant le tribunal du district Sud de New York.
Vulnérabilité Swap de Rabby Wallet : En 2022, la fonctionnalité Swap de Rabby Wallet présentait une faille ayant permis à des pirates de dérober environ 200 000 dollars d’actifs numériques. Il est à noter que cette vulnérabilité provenait de la fonction Swap intégrée, et non de l’extension elle-même.
05 Recommandations de prévention et mesures d’urgence
Face à la complexification des menaces sur la sécurité crypto, les utilisateurs doivent adopter une série de bonnes pratiques pour protéger leurs actifs.
Mesures préventives essentielles : Commencez par vous déconnecter d’internet et transférez immédiatement vos actifs. Si vous utilisez une version potentiellement vulnérable du portefeuille, veillez à passer hors ligne avant d’exporter votre phrase mnémonique et de déplacer vos fonds.
Ensuite, vérifiez scrupuleusement la source des extensions. Ne téléchargez les extensions de portefeuille que depuis le Chrome Web Store officiel et évitez les plugins provenant de sources tierces.
Mises à jour régulières et sauvegardes sécurisées. Maintenez à jour tous vos logiciels liés aux cryptomonnaies et stockez vos phrases mnémoniques hors ligne, dans un endroit sécurisé.
Choix de plateformes sécurisées : Pour ceux qui recherchent un niveau de sécurité supérieur, conserver et échanger ses actifs sur des plateformes centralisées reconnues s’avère judicieux. Des plateformes comme Gate, qui mettent en œuvre plusieurs mécanismes de sécurité et séparent portefeuilles "chauds" et "froids", offrent une protection supplémentaire aux utilisateurs.
Les principales plateformes d’échange telles que Gate disposent généralement de fonds de sécurité et appliquent des systèmes stricts de surveillance des flux, jouant ainsi un rôle clé dans la protection des actifs des utilisateurs.
06 Réaction du marché et rôle de Gate
Le marché adopte une posture prudente. En raison des incidents de sécurité et des facteurs de liquidité de fin d’année, le marché crypto fait preuve de retenue. Les données indiquent que l’indice Crypto Fear & Greed s’établit aujourd’hui à 20, reflétant une situation de "peur extrême" sur le marché.
Performance des principales cryptomonnaies
Voici les derniers cours des principales cryptomonnaies sur les marchés publics. Veuillez noter que les prix en temps réel sur Gate peuvent différer ; reportez-vous aux données officielles de Gate pour plus de précision :
- Bitcoin (BTC) : environ 88 853,76 $, en hausse de 1,44 % sur 24 h
- Ethereum (ETH) : environ 2 969,15 $, en hausse de 1,02 % sur 24 h
- Solana (SOL) : environ 122,81 $, en hausse de 0,33 % sur 24 h
- Ripple (XRP) : environ 1,86 $, en baisse de 0,24 % sur 24 h
- Dogecoin (DOGE) : environ 0,1255 $, en baisse de 2,29 % sur 24 h
Il convient de souligner que l’incident de sécurité sur Trust Wallet met en lumière l’importance d’effectuer ses transactions sur des plateformes telles que Gate, qui appliquent des mesures de sécurité robustes.
Le secteur évolue vers une plus grande maturité. Le rapport sécurité 2025 montre que, bien que les pertes totales aient augmenté, le secteur DeFi affiche des signes de maturité accrue en matière de sécurité.
Cela laisse penser qu’avec l’amélioration continue des dispositifs de sécurité et la montée en compétence des utilisateurs, l’ensemble de l’écosystème crypto gagne en résilience et en fiabilité.
Perspectives
Sur le marché crypto, le meme coin WhiteWhale a atteint une capitalisation record sur Solana, bondissant de 33,82 % en 24 heures et dépassant les 18 millions de dollars. Cette frénésie spéculative contraste fortement avec le contexte sécuritaire exigeant.
Suite à la vulnérabilité de Trust Wallet, de plus en plus d’utilisateurs migrent vers des plateformes de référence mettant la sécurité au premier plan. Comme le rappellent les experts de SlowMist, il est recommandé de se déconnecter d’internet avant de transférer ses actifs, illustrant le niveau élevé de responsabilité requis pour la gestion personnelle de ses avoirs.
