Safery : Extension Chrome pour portefeuille Ethereum

Des chercheurs en cybersécurité ont identifié une extension Chrome dangereuse se faisant passer pour un portefeuille Ethereum légitime. Nommée Safery : Ethereum Wallet, cette extension prétend offrir un « portefeuille sécurisé pour gérer la cryptomonnaie Ethereum avec des paramètres flexibles ». Elle a été initialement mise en ligne sur le Chrome Web Store le 29 septembre 2025 et sa dernière mise à jour date du 12 novembre. Malgré son apparence de portefeuille Ethereum (ETH) simple et sécurisé, elle dissimule un logiciel malveillant sophistiqué conçu pour voler les phrases de récupération des utilisateurs.

Comment fonctionne le logiciel malveillant

L'extension malveillante contient une porte dérobée qui exfiltre les phrases mnémoniques des portefeuilles en les encodant dans de fausses adresses Sui. Elle diffuse ensuite des microtransactions depuis un portefeuille Sui contrôlé par un acteur malveillant, permettant ainsi à ce dernier d'extraire des informations sensibles sans serveur de commande et de contrôle (C2) traditionnel.

Le flux de travail est le suivant :

• L'extension encode la phrase de récupération d'un utilisateur sous forme d'adresse Sui.
• Il envoie de minuscules microtransactions (0,000001 SUI) à ces fausses adresses depuis le portefeuille de l'attaquant.
• L'attaquant surveille la blockchain et décode les adresses des destinataires pour reconstituer les phrases de récupération originales.
• Une fois le système reconstitué, l'attaquant peut vider le portefeuille de la victime de ses actifs.

Cette méthode permet à l'attaquant de faire passer clandestinement des données sensibles via des transactions blockchain en apparence normales, en contournant les mécanismes de détection traditionnels.

Défis liés à la détection des menaces

Cette technique d'attaque est particulièrement furtive car elle permet aux acteurs malveillants de changer facilement de chaîne et de point de terminaison RPC. Par conséquent, les défenses reposant uniquement sur les domaines, les URL ou des identifiants d'extension spécifiques peuvent s'avérer inefficaces. Les appels RPC inattendus à la blockchain provenant du navigateur, surtout lorsque le produit prétend fonctionner sur une seule chaîne, doivent être considérés comme des signaux de risque élevé.

Stratégies d'atténuation recommandées

Pour se protéger contre cette menace, les experts en cybersécurité conseillent les précautions suivantes :

Pour les utilisateurs : Installez uniquement les extensions de portefeuille provenant de sources fiables et vérifiées. Évitez les extensions récemment publiées ou ayant peu d’avis.

Pour les administrateurs : analysez les extensions de navigateur afin de détecter les comportements malveillants tels que les encodeurs de phrases mnémoniques, les générateurs d’adresses synthétiques et les phrases de récupération codées en dur. Bloquez toute extension qui tente d’écrire des transactions sur la blockchain lors de la création ou de l’importation d’un portefeuille.

En appliquant ces précautions, les utilisateurs finaux et les équipes de sécurité peuvent réduire considérablement le risque de vol de la phrase de récupération et de retraits de fonds non autorisés.