Le problème de débit ‘inconnu’ de Trust Wallet a une signature unique – et c’est cette signature qui détermine qui doit payer.

C’était un rapport court et vague, ce qui rendait les utilisateurs de Trust Wallet anxieux. Les utilisateurs de Trust Wallet se sont plaints que leurs téléphones avaient été vidés en une nuit. Plusieurs messages soulignaient un point important :Les fonds provenant de différentes victimes étaient transférés à un adresse non identifiée.À l’heure de la publication, personne n’a attribué une étiquette officielle à cette affaire. Le rapport indique simplement que « la cause reste inconnue ».

Ces trois mots ont une fonction particulière. Ils incitent à la pire interprétation possible : que le logiciel de carte bancaire ait échoué, sans que rien ne soit fait, et que l’argent soit perdu. C’est cette interprétation qui détermine qui est responsable de la perte. C’est aussi l’interprétation qui contredit les données inscrites sur la chaîne blockchain.

L’adresse est la clé.

Ce que partagent les rapports effectués pendant la nuit, c’est quelque chose qui mérite d’être vérifié en premier. Les fonds des victimes distinctes se rassemblant vers un seul adresse de réception constitue une preuve de coordination. Un dysfonctionnement aléatoire du logiciel, ou une série de phrases de sécurité volées individuellement, ne permettent pas que tous les biens des victimes soient envoyés vers une seule adresse. Un point de collecte représente donc le signe d’un opérateur qui exploite ce système de distribution : un attaquant, un registre de paiement, et beaucoup de traces.

Ce schéma devrait être important pour ceux qui possèdent des cryptomonnaies autonomes, car il change la donne : on passe de l’hypothèse « le portefeuille est tombé en panne » à l’hypothèse « quelqu’un a mené une campagne coordonnée contre les utilisateurs de portefeuilles ». Et les campagnes documentées au cours de l’année dernière montrent que aucune d’elles n’avait besoin que le portefeuille tombe en panne.

Les mécanismes ne nécessitent pas de erreur.

L’entreprise de recherche en matière de sécurité Cyfirma a identifié une campagne active contre les utilisateurs de Trust Wallet. Cette campagne se base sur un simple code QR partagé via Telegram. En l’scanant, le système de navigation profonde de Trust Wallet redirige discrètement vers une page similaire hébergée sur Netlify, intitulée “Envoyer USDT”. L’utilisateur entre le destinataire et la somme à envoyer, connecte son portefeuille et approuve l’opération. Ce qui semble être une transmission d’un montant de 1 dollar est en réalité…Un contrat d’approbation qui donne à l’adresse contrôlée par l’attaquant un pouvoir de dépense illimité.Un seul signataire suffit pour que l’opérateur puisse retirer intégralement le solde en USDT – ainsi que tout ce qui a été déposé par la suite – sans que l’utilisateur doive approuver quoi que ce soit. Le verdict du rapport est :“Aucune exploitation nécessaire.”

C’est la norme, pas l’anomalie.La plupart des outils de dépannage de portefeuille ne volent pas la phrase de sécurité ; ils font en sorte que le propriétaire signe lui-même la retrait.La victime croit qu’il a été “piraté” ; la chaîne d’événements montre qu’il a signé un billet de sortie. Cet écart – entre ce que l’utilisateur pense avoir fait et ce qui a effectivement été autorisé par la transaction – est précisément pourquoi on dit “la cause reste inconnue” dans les titres de presse, même après que les détails ont été identifiés.

Qui en est la cause dépend du cas où le casse-feu se trouve.

La distinction est une question d’investissement, et non une note de police technique ; car elle détermine qui paie.

Il y a eu récemment un cas où la faute venait vraiment du portefeuille. En décembre 2025, une version malveillante de l’extension Trust Wallet pour Chrome a été utilisée.Il a été publié sur le store web Chrome grâce à une clé d’accès à la plateforme de publication qui a été divulquée.– C’est une partie de l’attaque du réseau de distribution “Sha1-Hulud” au niveau de l’industrie entière. Les utilisateurs qui ont ouvert leurs comptes et se sont connectés pendant Noël ont vu leurs phrases de sécurité être exportées. Trust Wallet en a compté.2 520 adresses de portefeuille vidées, pour un montant d’environ 8,5 millions de dollars.sur les actifs affectés. Il est important de noter que la société en était propriétaire : les utilisateurs mobiles n’ont pas été affectés. La mise à jour a été annulée, et la société a déclaré qu’elle allait…Remboursement volontaire des utilisateurs affectésFuite de logiciel, vérification côté fournisseur.

Les rapports indiquant que l’application mobile a été « épuisée pendant la nuit » ne se situent pas dans cette catégorie. Il n’y a aucune exploitation possible de l’application mobile qui fonctionne sans la signature de l’utilisateur ; les vecteurs documentés pour l’application mobile sont précisément des phishing ou des applications similaires décrits ci-dessus. Si des fonds sont perdus parce que le propriétaire a approuvé un contrat illimité, la perte appartient à celui qui en est responsable. Le principe de self-custody signifie que la signature constitue une forme de consentement, et donc la perte consentie n’est pas remboursée par le fabricant de la carte.

Quel est le coût réel de ce “inconnu” pour vous ?

Placez la balance à côté de cela : le rapport sur la sécurité CleanSky 2025–2026 compte340 millions de dollars volés des portefeuilles et des protocolesSur cette période, le problème de l’alphabétisation est important. Chaque nouvelle vague d’argent apportée entraîne une perte de valeur pour les opérateurs. C’est pourquoi la question « Mon portefeuille est-il sûr ? » n’est pas la bonne question à se poser. La garde autonome ne a pas échoué dans ces cas ; elle fonctionnait exactement comme prévu : celui qui détient la clé est le véritable gardien.

Cela rend le risque réversible et principalement possible de révoquer. En utilisant la chaîne de blocs, on peut examiner les autorisations des tokens d’un portefeuille et révoquer toute autorisation illimitée. Un portefeuille hardware évite que la clé soit sur le dispositif de signature. En considérant chaque demande d’autorisation comme une opération de retrait, plutôt que comme une simple formalité, on élimine donc le facteur essentiel sur lequel reposent ces campagnes.

La frontière honnête est la condition de rupture. Si un chercheur produit une exploitation de l’application mobile qui détruit un portefeuille sans signature du utilisateur et sans autorisation malveillante – c’est donc un bug réel, une situation inconnue – alors le risque change de nature. Lorsque l’exemple existant n’est pas disponible, les preuves documentées indiquent le contraire : la cause du problème est une signature, l’opérateur dispose d’une adresse, et la perte a été consentie pour une seule transaction à la fois.