Arnaques Trust Wallet : faux support, drainers d'autorisations et l'incident de l'extension de décembre 2025, d'après les pages de Trust Wallet
Trust Wallet, quelles sont les arnaques et l'appli a-t-elle été piratée ?
Les arnaques visant Trust Wallet cherchent presque toujours à obtenir la phrase de récupération ou une signature. Ses pages en citent cinq : fausses applis, faux support, faux airdrops, tokens copiés et drainers d'autorisations. L'exception est l'extension v2.68, publiée le 24 décembre 2025, qui a vidé 2 520 adresses pour environ 8,5 millions de dollars d'actifs.
Documents vérifiés le Relu par Rédaction de CryptoGuardz
Une arnaque Trust Wallet ne casse presque jamais le portefeuille : elle pousse l'utilisateur à livrer sa phrase de récupération ou à signer une transaction. Les pages sécurité de Trust Wallet, lues le 14 octobre 2026, décrivent cinq schémas : fausses applis, faux agents du support, faux airdrops, tokens copiés et drainers d'autorisations. L'exception est l'extension de navigateur v2.68, qui a vidé 2 520 adresses en décembre 2025.
La page de Trust Wallet sur la sécurité, datée d'août 2026, résume le premier point en une phrase : Phishing sites, fake "support" agents, and crypto drainers work by convincing you to hand over the phrase or sign a bad transaction.
Sites d'hameçonnage, faux « support » et drainers fonctionnent en vous convainquant de donner la phrase ou de signer une mauvaise transaction. La fiche du portefeuille, ses clauses de conservation et le dossier des incidents sont sur la page de fiabilité de Trust Wallet (en anglais).
Quelles arnaques Trust Wallet décrit-il lui-même ?
| Arnaque | Fonctionnement, selon Trust Wallet | Vérification indiquée par Trust Wallet |
|---|---|---|
| Fausse appli | Des applis et sites copiés aim to steal your secret phrase | Développeur affiché Trust Wallet dans la boutique d'applis |
| Faux support | Contact par e-mail, réseaux sociaux ou messagerie claiming to be from Trust Wallet support | Trust Wallet will never ask for your seed phrase |
| Faux airdrop | De faux sites demandent de connecter ou d'autoriser ; These transactions can instantly drain your wallet | Un token ou NFT non sollicité is usually a scam |
| Token copié | Même nom, autre adresse de contrat | Vérifier l'adresse du contrat |
| Drainer d'autorisations | Une autorisation signée permet à un contrat de déplacer les tokens | Révoquer les autorisations, limiter les montants |
En clair : la fausse appli vise la phrase secrète, le faux support se présente comme l'assistance officielle, le faux airdrop peut vider le portefeuille en une transaction, et un token ou NFT reçu sans l'avoir demandé est le plus souvent une arnaque.
Comment fonctionne l'arnaque au faux support Trust Wallet ?
Le message arrive d'abord, avant tout ticket réel. Le guide de Trust Wallet sur les fausses applis, mis à jour le 19 août 2026, décrit des escrocs qui contact you through email, social media, or chat applications, claiming to be from Trust Wallet support.
Ils écrivent par e-mail, sur les réseaux ou en messagerie en se disant du support. Le guide sur les arnaques précise où : ils pose as customer support representatives or community members on platforms like Discord and Telegram
et direct you to malicious websites under the guise of helping you resolve an issue.
Sur Discord et Telegram, ils se font passer pour le support ou pour des membres de la communauté, puis envoient vers des sites malveillants sous prétexte de régler un problème.
Le but final est la phrase. Trust Wallet l'écrit :
Remember: Trust Wallet will never ask for your seed phrase through an app or email. If you encounter such a request, it's a scam.
Trust Wallet ne demande jamais la phrase par appli ou par e-mail, et toute demande de ce type est une arnaque. Les conditions, telles qu'enregistrées au registre, vont dans le même sens : Trust Wallet not gain or retain your wallet password, encrypted private key, unencrypted private key, or secret phrase
, il n'obtient ni ne conserve mot de passe, clé privée ou phrase secrète. Aucun vrai agent n'a donc quoi que ce soit à restaurer, et celui qui propose de le faire est l'arnaque. Le fonctionnement de la phrase est expliqué dans qu'est-ce qu'une seed phrase (en anglais).
Comment un drainer vide-t-il un Trust Wallet ?
Par une autorisation que l'utilisateur a signée. Le guide de Trust Wallet sur les drainers indique que Approvals can be limited to a specific amount of tokens or set as "unlimited"
, une autorisation pouvant être plafonnée ou illimitée, et que les autorisations illimitées remain active indefinitely unless revoked, even if you stop using the dApp.
Elles restent actives sans limite de durée tant qu'elles ne sont pas révoquées, même si vous n'utilisez plus la dApp. Se déconnecter n'y change rien : Even after disconnecting from a dApp, token approvals remain active on the blockchain.
Toujours selon le guide, les drainers arrivent through phishing attacks or fraudulent dApps
, par hameçonnage ou via de fausses dApps, déguisés en investment opportunities, NFT minting sites, or token airdrops
(opportunités d'investissement, sites de mint de NFT, airdrops), et peuvent utiliser des off-chain signatures (like EIP-2612)
, des signatures hors chaîne qui ne demandent aucune transaction d'autorisation sur la blockchain. Les parades citées : n'autoriser que le montant nécessaire, révoquer les autorisations inutilisées avec des outils comme Revoke.cash ou le Token Approval Checker d'Etherscan via WalletConnect, et lire l'avertissement du Security Scanner. Trust Wallet décrit lui-même ce scanner comme a prompt to look closer, not a guarantee.
, une invitation à regarder de plus près, pas une garantie.
Que s'est-il passé avec l'extension Trust Wallet en décembre 2025 ?
Une version malveillante, pas un message d'arnaque. Le billet de Trust Wallet sur l'incident, publié le 30 décembre 2025 et mis à jour le 17 juillet 2026 :
On December 24, 2025, an unauthorized and malicious version of the Trust Wallet Browser Extension (version 2.68) was published to the Chrome Web Store outside of our standard release process (without mandatory review).
Le 24 décembre 2025, une version 2.68 non autorisée et malveillante a donc été publiée sur le Chrome Web Store hors du circuit de publication habituel, sans la revue obligatoire. Trust Wallet la relie, avec high confidence
(un haut degré de confiance), à l'incident de chaîne d'approvisionnement npm Sha1-Hulud de novembre 2025, qui a exposé des secrets GitHub de développeurs, dont the Chrome Web Store (CWS) API key
. La période touchée va du 24 au 26 décembre 2025, pour les utilisateurs de la v2.68 qui ont ouvert l'extension et s'y sont connectés. Les utilisateurs de l'appli mobile n'ont pas été touchés. Trust Wallet identified 2,520 wallet addresses that were affected by this incident and drained by the attackers, with approximately $8.5 million in assets impacted
: 2 520 adresses vidées, environ 8,5 millions de dollars d'actifs touchés, liées à 17 adresses d'attaquants qui, note Trust Wallet, ont aussi vidé des portefeuilles sans rapport avec l'incident. Le correctif a été un retour en arrière : verified clean version 2.67, released as 2.69.
La version saine 2.67 a été republiée sous le numéro 2.69. Trust Wallet decided to voluntarily reimburse the affected users.
, a décidé de rembourser de lui-même les utilisateurs touchés.
Ce n'est pas le premier incident de l'extension. La CVE-2023-31290, enregistrée au registre, concerne des versions dont la génération de phrase n'utilisait que 32 bits d'entropie, as exploited in the wild in December 2022 and March 2023.
, faille exploitée en conditions réelles en décembre 2022 et en mars 2023.
Qui a ciblé le remboursement de la v2.68 ?
Des demandeurs qui n'étaient pas des victimes. La mise à jour de Trust Wallet indique avoir received over 5,000 claims, indicating a significant number of duplicate or false submissions likely attempting to take victims’ reimbursements
, plus de 5 000 demandes pour 2 520 adresses vérifiées, beaucoup en doublon ou fausses, sans doute pour capter les remboursements des victimes. Consigne aux vraies victimes : passer uniquement par le formulaire officiel sur be-support.trustwallet.com, Please be cautious of impersonators
(méfiez-vous des usurpateurs), et Trust Wallet will never ask for your private keys, seed phrases, or passwords.
Trust Wallet ne demandera jamais clés privées, phrases ou mots de passe.
C'est le schéma qui suit tout siphonnage public : faux portails de réclamation et faux « agents de récupération ». L'autorité américaine de protection des consommateurs, la FTC, rappelle que les paiements en crypto typically are not reversible
, ne sont en général pas réversibles. Les offres payantes de récupération sont traitées, avec les voies officielles, sur la page d'aide après une arnaque (en anglais). Les dispositifs français de signalement n'ont pas été lus pour cet article : non vérifié.
Réponses rapides
Le chat du support Trust Wallet est-il une arnaque ?
Un agent qui vous contacte en premier, ou qui demande votre phrase de récupération, est une arnaque selon la définition même de Trust Wallet : il will never ask for your seed phrase through an app or email.
Page de fiabilité de Trust Wallet (en anglais).
Trust Wallet a-t-il été piraté ?
L'extension de navigateur v2.68, oui. Une version malveillante publiée le 24 décembre 2025 a vidé 2 520 adresses, pour environ 8,5 millions de dollars d'actifs répartis sur 17 adresses d'attaquants ; l'appli mobile n'a pas été touchée, et Trust Wallet dit rembourser les victimes.
Comment arrêter un drainer ?
Révoquer les autorisations inutilisées, autoriser des montants limités et ne jamais signer sur un site atteint par un lien non sollicité. Le guide de Trust Wallet rappelle que les autorisations restent actives even if you stop using the dApp.
Check-list de l'auto-conservation (en anglais).
Trust Wallet peut-il annuler une transaction frauduleuse ?
Non. Il ne détient aucune clé, et la FTC note que les paiements en crypto typically are not reversible.
Voir la page d'aide après une arnaque (en anglais).
Sources
- Trust Wallet blog, Browser Extension v2.68 Incident, An Update to Our Community, published 30 December 2025, updated 17 July 2026, retrieved 14 October 2026
- Trust Wallet support, Security Notice, Browser Extension Version 2.68 Vulnerability, last updated 29 December 2025, retrieved 14 October 2026
- Trust Wallet blog, How to Avoid Fake Trust Wallet Apps, updated 19 August 2026, retrieved 14 October 2026
- Trust Wallet blog, How to Spot and Avoid Crypto Wallet Scams in 2025, updated 19 August 2026, retrieved 14 October 2026
- Trust Wallet blog, Token Approvals and Wallet Drainers, updated 9 June 2025, retrieved 14 October 2026
- Trust Wallet blog, Is Trust Wallet Safe, 13 August 2026, retrieved 14 October 2026
- GitHub Advisory Database, CVE-2023-31290, as recorded on the wallet register 2026-09-22
- Trust Wallet terms of service, as recorded on the wallet register 2026-09-22
- FTC, What To Know About Cryptocurrency and Scams, retrieved 14 October 2026
- CryptoGuardz Trust Wallet safety page
- CryptoGuardz crypto scam recovery page
À propos de cet article
Rédigé par la rédaction de CryptoGuardz à partir des sources ci-dessus. La recherche et le premier jet sont assistés par IA puis relus par un rédacteur nommé avant publication. Rien ici n'est une incitation à jouer. Si un chiffre ou une lecture est faux, signalez-le (en anglais) : la correction est publiée.