TrustWallet, le portefeuille d’auto-conservation soutenu par Binance et l’un des plus populaires dans l’industrie crypto, a subi un piratage atypique. Des malfaiteurs ont réussi à intercepter des phrases de récupération, à restaurer des portefeuilles de façon autonome et à dérober plus de 7 millions de dollars en diverses cryptomonnaies.
Comment TrustWallet a-t-il été piraté et pourquoi cela a-t-il été si dévastateur
Aujourd’hui, le 26 décembre 2025, TrustWallet, un portefeuille crypto multichaîne grand public, a été la cible d’une attaque de hacker. Comme l’ont révélé des experts en cybersécurité, un code malveillant — un payload JavaScript — a été injecté dans la version v2.68.0 de l’extension navigateur TrustWallet pour Google Chrome.
TrustWallet a déployé l’extension Chrome infectée v2.68.0 le 24 décembre 2025. Peu de temps après, les utilisateurs qui ont importé ou accédé à leur phrase secrète via cette version ont commencé à perdre immédiatement leurs fonds.
Techniquement, le vecteur d’attaque était le suivant : l’élément logiciel malveillant était reconnu par le portefeuille comme un module d’analyse. À la place, il a réussi à accéder aux phrases de récupération et à les envoyer vers des domaines créés quelques jours auparavant.
Pour éviter que cela ne soit découvert, les domaines étaient masqués sous les noms « TrustWallet Metrics », « TrustWallet Metrics API » et des titres similaires. Parallèlement, dès que les mnémoniques étaient divulgués, les malfaiteurs restauraient (« importaient ») tout simplement les portefeuilles sur leur propre infrastructure et retiraient légitimement les fonds.
Cette conception a rendu le piratage extrêmement dangereux et discret ; avec des phrases secrètes détournées par les hackers, aucune approbation, autorisation ou même ouverture du portefeuille n’était nécessaire. C’est pourquoi la seule recommandation des experts en sécurité a été de déconnecter d’internet les ordinateurs sur lesquels TrustWallet était installé.
L’attaque a concerné des fonds sur Bitcoin (BTC), Solana (SOL), BNB Smart Chain (BSC) et sur un certain nombre de L2 de l’écosystème EVM.
L'équipe TrustWallet sort de son silence : les pertes seront-elles indemnisées ?
Le butin a été immédiatement envoyé vers ChangeNOW, FixedFloat, KuCoin et HTX. Au début, les utilisateurs n’étaient même pas en mesure de comptabiliser combien de cryptos avaient été volées.
Selon la déclaration officielle de TrustWallet, le montant total des pertes s’élève à 7 millions de dollars en équivalent. Les développeurs ont déjà publié la version v2.69.0 et encouragent tout le monde à effectuer la mise à jour.
L’équipe TrustWallet a assuré que chaque victime sera remboursée. Les détails exacts du programme d’indemnisation restent à annoncer.
Le prix du TWT a immédiatement chuté à 0,76 $, son plus bas niveau depuis la mi-septembre, perdant 8 % en un rien de temps. Au moment de la publication, les pertes ont été absorbées.
