trastwallet.cam : un faux site Trust Wallet veut votre signature, pas votre phrase de récupération
Un nouveau site de phishing se fait passer pour Trust Wallet : trastwallet[.]cam. Le chercheur en sécurité Anurag, connu sur X sous le nom de Malwarehunter, l'a découvert le 4 ou le 5 novembre. Le cofondateur de Binance, Changpeng Zhao, a relayé l'alerte d'une phrase courte : « .cam is not .com ». La véritable adresse est trustwallet.com. Le faux site ne demande pas votre phrase de récupération. Il veut quelque chose qui paraît anodin : une connexion et une signature.
Comment fonctionne l'arnaque
Le domaine diffère de l'original à deux endroits. Le « u » de « trust » devient un « a », et l'extension .com devient .cam. Sur un petit écran de smartphone, la différence passe facilement inaperçue. Cette technique s'appelle le typosquatting.
La page s'intitule « Review your wallet transfers ». Elle prétend proposer un service automatique qui vérifie vos transferts, avec des limites par actif de 1 à 5 000 dollars. Ce service n'existe pas chez Trust Wallet. Les visiteurs sont invités à connecter leur portefeuille. Le code prend en charge Trust Wallet, Phantom et OKX Wallet.
Une fois la connexion établie, le site lit vos soldes et trie vos actifs par valeur. Il demande ensuite une signature, présentée comme une vérification, une confirmation ou une activation. En réalité, cette signature autoriserait des transferts vers des adresses contrôlées par les opérateurs.
Quelqu'un a-t-il perdu de l'argent ?
Pour l'instant, aucune perte confirmée n'est liée à ce site. Lorsque le chercheur l'a analysé, la fonction de signature était désactivée : les transferts préparés ne pouvaient donc pas être exécutés. Mais le code est là et pourrait être activé à tout moment. Selon Crypto Briefing, le site fait partie d'une campagne plus large contre les utilisateurs de Trust Wallet, avec plusieurs domaines sosies et de fausses pages de support. Nous avons déjà parlé des faux e-mails de vérification Trust Wallet après le piratage de Binance.
Une autre affirmation circule sur X : 1,1 million de dollars auraient été volés à des utilisateurs de Trust Wallet via une faille de l'iPhone. Elle n'est pas confirmée et, selon les informations actuelles, n'a rien à voir avec le site en .cam.
Pourquoi une signature suffit
Beaucoup d'utilisateurs savent qu'ils ne doivent jamais communiquer leur phrase de récupération. Les sites de phishing se sont adaptés. Un « drainer » n'a pas besoin de votre phrase de récupération : une seule signature peut suffire pour déplacer des fonds ou donner à un contrat un accès illimité à vos jetons. Un site qui se contente de « vérifier » des transferts n'a jamais besoin de votre signature.
Comment vous protéger
- Lisez l'adresse de droite à gauche : d'abord l'extension (.com), puis le nom. Le cadenas indique seulement une connexion chiffrée, pas un site authentique.
- Utilisez des favoris ou l'application : ouvrez les sites de portefeuille uniquement depuis un favori que vous avez créé vous-même ou depuis l'application installée, jamais via des liens reçus par message, des publicités ou des publications.
- Lisez chaque demande de signature : annulez si vous voyez un transfert inattendu, une autorisation illimitée ou un contrat inconnu.
- Séparez vos fonds : utilisez un portefeuille avec un petit solde pour les nouveaux sites et gardez les montants importants sur un portefeuille matériel.
- Ne communiquez jamais votre phrase de récupération : aucun véritable fournisseur de portefeuille ne la demande.
Si vous avez déjà signé
Si vous avez seulement accordé une autorisation, révoquez-la avec un outil de révocation dont vous tapez vous-même l'adresse. Si vous avez saisi votre phrase de récupération, considérez le portefeuille comme compromis et transférez les fonds restants vers un nouveau portefeuille avec une nouvelle phrase. Méfiez-vous des « experts en récupération » qui vous contactent ensuite : ce sont souvent les prochains escrocs. Notre guide pour reconnaître et éviter le phishing détaille les signaux d'alerte.
Sources
