Trust Wallet revient sur le « piratage de Noël » de ses portefeuilles de cryptomonnaies
Trust Wallet est revenu, le 30 décembre 2025, sur la cyberattaque subie le 24 décembre, qui a conduit au vol de l’équivalent 8 millions de dollars (6,85 millions d’euros) répartis sur 2 520 portefeuilles de cryptomonnaies. L’origine du piratage remonte à novembre 2025, lorsque Trust Wallet a été touché par Sha1-Hulud, une attaque massive sur la chaîne d’approvisionnement impliquant des paquets NPM compromis.
Des cybercriminels en ont profité pour dérober le code source de l’extension de navigateur de Trust Wallet et, surtout, sa clé API du Chrome Web Store. Cette dernière leur a donné un contrôle total sur la publication des mises à jour de l’extension. Les cybercriminels ont alors injecté dans sa version 2.68 du code malveillant permettant de prendre le contrôle des portefeuilles connectés.
Sans le savoir, Trust Wallet a publié cette mise à jour piégée le 24 décembre au soir. Rapidement alertée par des utilisateurs dont les portefeuilles avaient été vidés, la firme a remplacé, dès le 25 décembre, la version 2.68 compromise par une mise à jour 2.69, identique à la version 2.67 saine. Trust Wallet a immédiatement appelé l’ensemble de ses utilisateurs à installer cette dernière.
Dans son message du 30 décembre, la firme a précisé qu’elle allait rembourser toutes les victimes de ce « vol de Noël ».