Titre : CZ signale un faux site Trust Wallet alors que des chercheurs découvrent une arnaque en JavaScript — une allégation distincte fait état d’un exploit iOS de 1,1 million de dollars Le cofondateur de Binance, Changpeng « CZ » Zhao, a mis en garde les utilisateurs de cryptomonnaies contre un site d’hameçonnage usurpant l’identité de Trust Wallet, après que des chercheurs en sécurité ont découvert un JavaScript malveillant conçu pour inciter les visiteurs à connecter leurs portefeuilles. Cette alerte intervient parallèlement à une allégation distincte et non vérifiée selon laquelle des attaquants auraient dérobé environ 1,1 million de dollars à des utilisateurs de Trust Wallet en exploitant une faille iOS. Découvertes - Le chercheur en sécurité Anurag (Malwarehunter sur X/Twitter) a découvert le site frauduleux le 5 novembre. Il était hébergé à l’adresse trastwallet[.]cam. Le site imite Trust Wallet et propose un parcours « Vérifiez les transferts de votre portefeuille » qui demande aux visiteurs de connecter leurs portefeuilles. - Le JavaScript de la page est conçu pour s’intégrer à plusieurs portefeuilles — Trust Wallet, Phantom et OKX Wallet — et comporte deux éléments principaux : un point de terminaison d’analyse des portefeuilles et un fichier d’intégration JS qui gère les connexions aux portefeuilles. - Une fois le portefeuille connecté, le script peut interroger les soldes via une API en arrière-plan et préparer des transferts vers des adresses de destinataires codées en dur. Lorsqu’Anurag a inspecté le site, la signature des transactions était, selon les informations rapportées, désactivée, ce qui limitait la capacité immédiate de l’attaque à effectuer des transferts. L’avertissement de CZ - CZ a relayé les découvertes d’Anurag et appelé à la prudence, en soulignant l’astuce liée au nom de domaine : « .cam n’est pas .com. Soyez prudents ! » Sa publication insistait sur la nécessité de vérifier les adresses des sites Web avant d’y connecter un portefeuille. L’allégation d’un exploit iOS de 1,1 million de dollars - Le 5 novembre également, le compte X Emperor.SOL a affirmé qu’un attaquant non identifié aurait extrait des phrases de récupération d’appareils sous iOS 18.5 et dérobé environ 1,1 million de dollars à des utilisateurs de Trust Wallet. - La publication citait le service d’assistance de Trust Wallet, qui exhortait les utilisateurs à mettre immédiatement iOS à jour, et comprenait une capture d’écran montrant d’importants transferts (par exemple, 500 000 USDT, 100 000 USDT et 190 000 USDT) acheminés par des portefeuilles de dépôt et des portefeuilles chauds de Binance. La capture d’écran ne prouvait pas que les transferts étaient dus à l’exploit iOS allégué. - Il s’agit toujours d’une allégation relayée dans des publications sur les réseaux sociaux ; des chercheurs et des fournisseurs ont déjà documenté des exploits visant iOS susceptibles d’exposer les données des portefeuilles, et les fournisseurs recommandent généralement d’installer les correctifs et de mettre les appareils à jour. Contexte — incidents récents et antérieurs - En mars, des chercheurs (Google/Lookout/iVerify) ont découvert la chaîne d’exploitation DarkSword, qui utilisait des sites Web compromis pour cibler des iPhone vulnérables et exposer des informations sur les portefeuilles ; Apple avait alors corrigé le problème dans des mises à jour. - Des utilisateurs de Trust Wallet ont récemment signalé des pertes suspectes : le 4 novembre, un utilisateur a signalé la disparition de 3 830 USDT sans autorisation, et d’autres utilisateurs ont décrit des attaques d’ingénierie sociale (par exemple, des imposteurs malveillants sur Discord) ayant entraîné le vidage de leurs portefeuilles. - Trust Wallet avait précédemment signalé un faux site de carte crypto (fin octobre), qui attirait les utilisateurs avec des plafonds de carte généreux et du cashback, et exigeait la connexion d’un portefeuille ; le personnel de Trust Wallet a confirmé que le site était frauduleux. - Le fondateur de OneKey a également mis en garde le 1er novembre contre des vulnérabilités matérielles difficiles à corriger touchant les anciens iPhone (de l’iPhone 4S à l’iPhone 11, ainsi que l’iPhone SE de 2e génération). Il a recommandé aux utilisateurs ayant exposé leurs phrases de récupération sur ces appareils d’en générer de nouvelles et de transférer leurs actifs. Mesures à prendre dès maintenant - Vérifiez toujours les noms de domaine et utilisez les liens officiels publiés sur les canaux vérifiés des fournisseurs de portefeuilles. Méfiez-vous des fautes de frappe subtiles et des extensions de domaine inhabituelles (par exemple, .cam au lieu de .com). - Ne connectez pas votre portefeuille à des sites inconnus et ne signez pas de transactions que vous ne comprenez pas parfaitement. - Maintenez à jour le système d’exploitation mobile et les applications — installez rapidement les mises à jour iOS. - Si une phrase de récupération a pu être exposée, créez un nouveau portefeuille et une nouvelle phrase de récupération sur un appareil sécurisé, puis transférez les fonds. - Envisagez d’utiliser un portefeuille matériel pour les avoirs importants et appliquez les bonnes pratiques de sécurité habituelles (vigilance face à l’hameçonnage, sécurité renforcée des appareils et stockage minimal des phrases de récupération sur les appareils). À retenir La découverte d’une page d’hameçonnage compatible avec plusieurs portefeuilles montre comment les attaquants combinent tromperie visuelle et intégrations de portefeuilles pour obtenir un accès. Dans le même temps, les allégations d’un vol ciblant iOS — qui n’ont pas été vérifiées indépendamment dans des articles accessibles au public — rappellent les conseils de longue date : vérifiez les domaines, mettez vos appareils à jour, évitez de connecter vos portefeuilles à des sites non fiables et transférez vos fonds si une phrase de récupération a pu être compromise. Sources : le chercheur en sécurité Anurag (Malwarehunter sur X), le cofondateur de Binance Changpeng Zhao, Emperor.SOL (X), des signalements de la communauté et des recherches antérieures en sécurité (DarkSword). Lire davantage d’actualités générées par l’IA sur : https://app.chaingpt.org/news