Avis sur Trust Wallet

Installez Trust Wallet sur un téléphone si vous voulez une seule application pour le bitcoin et une longue liste d'autres chaînes, et considérez l'extension de navigateur comme un produit distinct avec un risque distinct. Les deux ont des historiques d'incidents très différents, et cette différence constitue l'essentiel de cet avis.

Le 24 décembre 2025, un attaquant a mis en ligne une version falsifiée 2,68 de l'extension de navigateur Trust Wallet directement sur le Chrome Web Store, en utilisant une clé d'API de publication divulguée pour contourner la vérification interne de Trust Wallet. Cette version référençait du code sur un domaine d'apparence similaire que l'attaquant avait enregistré, et elle pouvait lire les données du portefeuille et signer des transactions sans rien demander. La mise à jour de Trust Wallet elle-même mentionne 2 520 adresses de portefeuille touchées et environ 8,5 millions de dollars d'actifs qu'elle peut rattacher à 17 adresses d'attaquants, et ajoute que ces mêmes adresses ont vidé des portefeuilles sans aucun lien avec Trust Wallet. Seuls les utilisateurs de l'extension qui l'ont ouverte et se sont connectés entre le 24 et le 26 décembre 2025 ont été touchés ; l'entreprise déclare clairement que les utilisateurs de l'application mobile n'ont pas été affectés et que toute personne connectée après 11 h 00 UTC le 26 décembre était hors de cause. Le correctif a consisté en un retour en arrière : la version saine 2.67 a été republiée sous le numéro 2.69.

La voie d'entrée n'était pas le code de Trust Wallet. Son enquête rattache la compromission avec un haut degré de confiance à Sha1-Hulud, l'incident de chaîne d'approvisionnement npm qui a touché tout le secteur en novembre 2025, lequel a exposé des secrets GitHub de développeurs, dont la clé du Chrome Web Store. Trust Wallet a choisi de rembourser volontairement les utilisateurs touchés et indique avoir reçu plus de 5 000 réclamations pour 2 520 adresses vérifiées ; l'entreprise examine donc la propriété au cas par cas et n'a publié aucune date d'achèvement. Si vous avez été touché, le formulaire de réclamation et les instructions de migration sont tous deux liés depuis sa mise à jour.

L'incident mis à part, il s'agit d'un portefeuille chaud classique. Les clés sont générées sur votre appareil, les conditions de Trust Wallet le décrivent comme un logiciel non dépositaire plutôt qu'un compte, et l'achat est assuré par des passerelles d'accès tierces dont la couverture par pays leur est propre. Sa fonctionnalité Earn, qui verse des rendements de staking, est indisponible dans 33 pays et territoires, dont les États-Unis, le Royaume-Uni, Hong Kong et la majeure partie de l'Espace économique européen. Il s'agit d'une restriction sur une fonctionnalité, pas sur le portefeuille : les habitants des 33 pays peuvent détenir du bitcoin dans Trust Wallet normalement.