Hameçonnage Trust Wallet : un faux site en .cam vise aussi Phantom et OKX Wallet

L’hameçonnage visant Trust Wallet a une nouvelle adresse : le faux site trastwallet[.]cam se fait passer pour Trust Wallet et vous invite à connecter votre portefeuille. La véritable adresse est trustwallet.com. Qui ne compare pas les deux adresses lettre par lettre aboutit sur une page dont le code lit les soldes et prépare des virements vers des destinataires inscrits en dur. Le fondateur de Binance, Changpeng Zhao, a mis en garde publiquement le 5 novembre, d’une formule lapidaire : « .cam is not .com ».

Pour vous, investisseur en cryptomonnaies en Allemagne, il s’agit de bien plus qu’une anecdote du milieu. Selon l’analyse, le site ne vise pas seulement Trust Wallet, mais aussi Phantom et OKX Wallet. Sont donc concernés les utilisateurs des trois portefeuilles logiciels les plus répandus pour Ethereum, BNB Chain et Solana. Si vous utilisez l’une de ces applications, vous devez savoir reconnaître la contrefaçon et ce que vous pouvez faire si vous avez déjà appuyé sur « Connecter ». Un panorama des applications sérieuses figure dans notre comparatif des portefeuilles logiciels.

Hameçonnage Trust Wallet : ce que l’on sait du site trastwallet[.]cam

Le site a été découvert par le chercheur en sécurité Anurag, qui publie sur X sous le nom de Malwarehunter. Selon les sources, il l’a repéré le 4 ou le 5 novembre. Il a mis en ligne des captures d’écran et des extraits du code JavaScript du site, et Zhao a relayé ces éléments auprès de ses abonnés peu après. Le site spécialisé crypto.news a décrit l’analyse en détail.

La page porte le titre « Review your wallet transfers », soit à peu près « Vérifiez les virements de votre portefeuille ». Elle affiche un design en forme de carte et un grand bouton pour connecter le portefeuille. Un service automatique vérifierait prétendument vos virements, avec une limite par actif de 1 à 5 000 dollars, des frais de réseau et une autorisation du portefeuille. Un tel service n’existe pas chez Trust Wallet. La mise en scène sert uniquement à justifier la demande de connexion.

Un point important pour situer l’affaire : lorsque le chercheur a examiné le site, la fonction de signature était désactivée. Le code contenait toutes les briques d’un vol, mais ne pouvait pas, dans cette version, faire exécuter les transactions préparées. On ignore si les exploitants étaient encore en phase de test ou comptaient activer la fonction plus tard. Aucun montant volé clairement imputable à ce site n’est établi à ce jour.

Trust Wallet, une cible prisée de longue date

Trust Wallet compte parmi les portefeuilles logiciels les plus utilisés et sert donc souvent de modèle aux contrefaçons. En décembre 2025, la version 2.68 de son extension Chrome contenait du code malveillant ; les utilisateurs avaient alors perdu environ 7 millions de dollars, et Zhao avait promis une indemnisation. Le 28 octobre 2026, Trust Wallet a en outre mis en garde contre un faux site de carte crypto sans aucun lien avec l’entreprise. Les performances du portefeuille au quotidien sont détaillées dans notre avis sur Trust Wallet.

Typosquatting : une lettre intervertie et l’extension .cam au lieu de .com

La technique derrière cette adresse s’appelle le typosquatting. Il s’agit d’un nom de domaine qui ressemble à s’y méprendre à une adresse connue et mise sur les fautes de frappe ou une lecture distraite. trastwallet[.]cam comporte deux écarts : le « u » de « trust » devient un « a », et l’extension .com devient .cam. Sur un petit écran de téléphone, aucun des deux ne saute aux yeux, surtout si vous touchez un lien reçu dans un message sans même lire la barre d’adresse.

L’extension .cam est un domaine de premier niveau ordinaire, que chacun peut enregistrer. Visuellement proche de .com, elle n’a rien à voir avec Trust Wallet. Les escrocs exploitent le même principe avec des traits d’union (« trust-wallet-support »), des ajouts comme « -fix » ou « -verify », et des sous-domaines où la vraie marque figure en tête et le domaine réel seulement à la fin. Ce qui compte, c’est toujours la partie située juste avant la première barre oblique simple, c’est-à-dire le domaine enregistré avec son extension.

Une protection fiable : n’ouvrez jamais un site de portefeuille par un lien, mais uniquement par un favori que vous avez créé vous-même, ou directement dans l’application installée. Les annonces des moteurs de recherche ne sont pas une voie sûre, car de faux sites de portefeuilles y apparaissent régulièrement.

Wallet drainer : comment le script lit les soldes et prépare les virements

Techniquement, le site appartient à la famille des wallet drainers. Un wallet drainer est un programme hébergé sur une page web qui, une fois votre portefeuille connecté, lit vos soldes et vous soumet à la signature des transactions envoyant vos jetons aux attaquants. Selon l’analyse, le code de trastwallet[.]cam comprend précisément ces deux éléments : une interface qui interroge les soldes et un fichier qui établit la connexion avec Trust Wallet, Phantom et OKX Wallet.

Le déroulé est presque toujours le même sur ce type de site. Vous connectez d’abord le portefeuille, et le site voit votre adresse publique. Il relève ensuite les cryptomonnaies et jetons présents à cette adresse et les classe par valeur. Apparaît alors dans votre portefeuille une demande de signature, souvent déguisée en « vérification », « confirmation » ou « activation ». Signer autorise le virement vers les adresses de destination fixées dans le code. Que le site prenne en charge plusieurs portefeuilles et analyse les soldes au préalable laisse penser que ses exploitants veulent cibler les comptes les plus lucratifs.

Connecter son portefeuille et signer une transaction sont deux autorisations distinctes

Beaucoup d’utilisateurs considèrent que la connexion du portefeuille est déjà l’étape dangereuse. Ce n’est vrai qu’en partie. En vous connectant simplement, vous communiquez à un site votre adresse publique, une information que chacun peut de toute façon consulter dans un explorateur de blockchain. Le site ne peut rien déplacer avec elle. C’est fâcheux, car les exploitants savent désormais quelle adresse vaut la peine, mais ce n’est pas encore une perte.

Le danger survient avec la signature. Une signature est votre autorisation numérique au bas d’une transaction ou d’un message, générée avec votre clé privée. Sur Ethereum et BNB Chain, il peut s’agir d’une autorisation de jetons, un approval, par laquelle vous permettez à un smart contract tiers de déplacer des jetons depuis votre portefeuille. Sur Solana, plusieurs virements peuvent être regroupés dans une seule transaction. Depuis la mise à jour Pectra d’Ethereum s’ajoute une autre variante, la délégation selon l’EIP-7702, qui lie temporairement votre adresse à un code tiers. Les précautions à prendre sont expliquées dans notre article sur la délégation EIP-7702.

La règle qui en découle : lisez chaque demande de signature avant de confirmer. Si votre portefeuille affiche un virement, une autorisation illimitée ou une alerte sur un contrat inconnu alors que vous vouliez seulement « vérifier » quelque chose, annulez. Un site qui se contente prétendument de contrôler des virements n’a pas besoin de votre signature.

Phrase de récupération et clé privée : aucun véritable site de portefeuille ne les demande

La seconde grande forme d’hameçonnage visant les portefeuilles se passe de signature. La contrefaçon vous invite à connecter ou à « restaurer » votre portefeuille « manuellement » et affiche pour cela des champs de saisie pour la phrase de récupération ou la clé privée. La phrase de récupération, ou seed phrase, est la liste de 12 ou 24 mots dont dérivent toutes les clés de votre portefeuille. Qui la connaît possède vos cryptomonnaies, quel que soit l’appareil sur lequel il la saisit.

Trust Wallet souligne lui-même ne jamais demander votre phrase de récupération, ni dans l’application ni par courriel. Il en va de même pour Phantom, OKX Wallet et tout autre fournisseur sérieux de portefeuille en auto-conservation. L’auto-conservation signifie que vous seul détenez les clés et qu’aucune entreprise ne les garde pour vous. C’est précisément pourquoi aucun agent du support ne peut remplacer une phrase perdue ou annuler un virement. Pourquoi la phrase de récupération n’a sa place ni dans un nuage ni dans un champ de navigateur, vous le lirez dans notre article sur les trois erreurs les plus fréquentes lors de la configuration de Trust Wallet.

Les signes qui trahissent une contrefaçon

• Le site crée un sentiment d’urgence, par exemple avec une prétendue faille de sécurité, un blocage ou un délai.
• Le site exige une signature pour une opération qui n’en requiert aucune, comme une « vérification » ou une « synchronisation ».
• Le site propose un champ pour la phrase de récupération, la clé privée ou un fichier keystore.
• Vous êtes arrivé par un message, une annonce ou une publication sur les réseaux sociaux, et non par votre favori.

Vérifier l’URL dans le navigateur : la barre d’adresse trahit la contrefaçon avant la connexion

La barre d’adresse est votre outil le plus important. Sur téléphone, touchez-la une fois pour afficher l’adresse complète et lisez-la de droite à gauche : d’abord l’extension, puis le nom qui la précède. Pour Trust Wallet, il doit être écrit trustwallet.com, sans trait d’union, sans ajout et sans autre extension. Le cadenas ne prouve rien, car les sites frauduleux disposent eux aussi d’un certificat de chiffrement valide.

L’Office fédéral allemand de la sécurité des technologies de l’information, le BSI, expose dans son guide pour reconnaître l’hameçonnage les mêmes règles de base, valables aussi pour les cryptomonnaies : se méfier des liens reçus par message, saisir soi-même les adresses et ne jamais entrer d’identifiants sur une page que l’on n’a pas ouverte soi-même. Les portefeuilles présentent une particularité supplémentaire. Sur un compte bancaire, un virement frauduleux peut parfois être annulé ; sur une blockchain, une transaction confirmée est définitive.

Une séparation simple aide également. Utilisez, pour tester de nouveaux sites et applications, un portefeuille distinct doté d’un faible solde, et conservez les montants plus importants à part, idéalement sur un portefeuille matériel. Un portefeuille matériel est un petit appareil qui stocke vos clés privées hors ligne et affiche chaque transaction sur son propre écran avant que vous ne la confirmiez. Là aussi, vous devez lire ce que vous signez, mais les clés ne quittent jamais l’appareil. Nous présentons des modèles adaptés plus bas.

La prétendue faille d’iOS : l’information sur 1,1 million de dollars n’est pas confirmée

Le jour même de l’avertissement de Zhao, le compte X Emperor.SOL a affirmé qu’un attaquant inconnu avait dérobé environ 1,1 million de dollars à des utilisateurs de Trust Wallet grâce à une vulnérabilité d’iOS 18.5, en extrayant les phrases de récupération des appareils. La publication montrait des captures de virements en USDT de 500 000, 100 000 et 190 000 Tether vers des adresses de dépôt chez Binance. Selon ce compte, le support de Trust Wallet aurait conseillé de mettre à jour iOS sans attendre.

Peu d’éléments sont avérés. Les captures ne montrent pas le lien entre ces virements et une faille de l’iPhone, et les articles spécialisés présentent l’affirmation comme non confirmée. En l’état des connaissances, elle n’a rien à voir avec le faux site en .cam. Quoi qu’il en soit, un système d’exploitation à jour est toujours judicieux : les mises à jour comblent les failles de sécurité, et d’anciennes versions d’iOS ont effectivement été visées par le passé par des attaques contre des applications crypto. Un portefeuille installé sur un téléphone qui ne reçoit plus de mises à jour n’est pas un bon endroit pour des montants importants.

Révoquer les autorisations de jetons : après une signature accidentelle, chaque minute compte

Si vous avez déjà signé quelque chose sur un site suspect, agissez immédiatement. La première étape consiste à transférer les soldes restants vers un nouveau portefeuille sain, dont la phrase de récupération n’a jamais été en contact avec le site suspect. Si vous avez saisi la phrase de récupération elle-même, l’ancien portefeuille est définitivement perdu : toute adresse dérivée de cette phrase doit désormais être considérée comme compromise, même si elle détient encore des fonds.

Si vous avez seulement accordé une autorisation de jetons, vous pouvez la révoquer. Sur Ethereum et les réseaux compatibles, des outils comme Revoke.cash ou la rubrique des autorisations d’un explorateur de blockchain indiquent à quels contrats vous avez donné accès et vous permettent de retirer l’autorisation par une transaction propre. Cela coûte de modestes frais de réseau et ne vaut que pour l’avenir. La révocation ne restitue pas les jetons déjà partis. Important : n’ouvrez ces outils, eux aussi, qu’en saisissant vous-même l’adresse, car les escrocs contrefont également les sites de révocation.

Porter plainte en Allemagne : police, centres de consommateurs et BSI recueillent les cas d’hameçonnage

Si vous avez perdu de l’argent, portez plainte. Chaque Land allemand dispose d’un commissariat en ligne par lequel vous pouvez déposer plainte pour escroquerie ou fraude informatique. Préparez l’adresse du site d’hameçonnage, les identifiants de transaction, l’adresse de votre portefeuille touché et les adresses de destination. L’identifiant de transaction figure dans votre portefeuille ou dans l’explorateur de blockchain. Des captures d’écran du site et du message par lequel vous êtes arrivé aident aussi les enquêteurs.

Vous pouvez en outre signaler les faux sites et courriels au Phishing-Radar de la centrale des consommateurs, qui recense et publie les alertes. Si une plateforme vers laquelle les jetons volés ont été transférés est impliquée, un signalement à son équipe de sécurité, avec les identifiants de transaction, vaut la peine : les plateformes centralisées peuvent parfois geler les fonds entrants. Les plateformes crypto agréées MiCA disposent de canaux de signalement établis et d’un interlocuteur dans l’Union. Le registre public de l’Autorité européenne des marchés financiers, l’ESMA, indique si une plateforme détient cet agrément.

Prudence après le préjudice : peu après une perte, de prétendus services de récupération se manifestent souvent et promettent de récupérer les jetons contre un paiement d’avance. Il s’agit presque toujours d’une seconde vague d’escroquerie. Les enquêteurs et avocats sérieux ne demandent ni votre phrase de récupération ni un paiement en cryptomonnaie. Le détail de ces courriels d’hameçonnage consécutifs aux fuites de données est présenté dans notre guide pour reconnaître l’hameçonnage crypto après une fuite de données.

Hameçonnage Trust Wallet : trois réflexes contre les faux sites de portefeuilles

Le site trastwallet[.]cam n’est pas un cas isolé, mais un schéma qui se répète à chaque nouveau domaine. Des habitudes bien ancrées protègent mieux contre cette fraude que des outils spécialisés :

1. Une application vérifiée comme point de départ. Téléchargez votre portefeuille uniquement depuis la boutique officielle ou le site du fabricant, et ouvrez les applications depuis celui-ci. Les portefeuilles logiciels adaptés au quotidien figurent dans le comparatif des portefeuilles logiciels.
2. Les montants importants hors ligne. Ce dont vous n’avez pas besoin chaque jour doit se trouver sur un appareil dont les clés n’entrent jamais en contact avec un site web. Vous trouverez des appareils adaptés dans notre comparatif des portefeuilles matériels.
3. Acheter et vendre auprès de prestataires réglementés. Pour négocier, utilisez une plateforme agréée dans l’Union et ne transférez vers votre portefeuille que ce que vous souhaitez conserver vous-même. Une sélection figure dans la liste des plateformes crypto réglementées.

(Au 6 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)