L’équipe de sécurité de Trust Wallet a confirmé qu’un site web faisant la promotion d’une carte de paiement en cryptomonnaie avec des avantages exceptionnellement généreux est frauduleux et a averti les utilisateurs de ne pas connecter leurs portefeuilles à la plateforme.
Résumé
- L’équipe de sécurité de Trust Wallet a confirmé qu’un site web faisant la promotion d’une carte de paiement en cryptomonnaie avec des avantages premium est frauduleux et a averti les utilisateurs de ne pas connecter leurs portefeuilles.
- Le faux site web promet une limite de dépenses de 100 000 $, un cashback pouvant atteindre 8 %, aucune exigence de KYC et l’accès aux salons d’aéroport, avec l’émission de la carte annoncée pour seulement 1 $.
- Le chercheur en sécurité Daniel a signalé le site web après avoir découvert qu’il utilisait l’image de marque de Trust Wallet pour promouvoir trois niveaux de carte et affirmait détenir des licences dans quatre pays.
- Trust Wallet a précisé que ses offres légitimes sont disponibles via son application et son site web officiels, avertissant les utilisateurs de ne pas approuver de demandes de connexion de portefeuille ou de signatures suspectes.
Le chercheur en sécurité crypto Daniel, connu sous le nom de @0xDani sur X, a signalé la fausse carte Trust Wallet dans une publication le 28 octobre, pointant du doigt un site web qui utilisait l’image de marque du fournisseur de portefeuille pour promouvoir une carte de paiement avec une limite de dépenses de 100 000 $, des récompenses de cashback pouvant atteindre 8 % et plusieurs avantages premium.
Le site web présentait la carte comme un moyen de dépenser des cryptomonnaies partout, avec la prise en charge d’Apple Pay et de Google Pay, zéro frais de change et aucune exigence de vérification d’identité.
James Bro, qui s’est présenté comme parlant au nom de l’équipe de sécurité de Trust Wallet, a répondu à l’avertissement et confirmé que le site web n’était pas associé à l’entreprise.
La fausse carte Trust Wallet promet des avantages premium pour 1 $
Selon les captures d’écran de Daniel, le site web frauduleux présentait ce qui semblait être une offre de carte de cryptomonnaie entièrement développée, avec plusieurs niveaux d’adhésion et une carte métal premium.
Son matériel promotionnel annonçait une limite de dépenses pouvant atteindre 100 000 $, ainsi que des récompenses de cashback atteignant 8 % pour les utilisateurs choisissant le niveau de carte le plus élevé.
L’offre comprenait l’accès aux salons d’aéroport, zéro frais de change, la prise en charge des services de paiement mobile et une carte métal physique, tout en affirmant que les utilisateurs n’auraient qu’à payer 1 $ pour faire émettre leur carte.
L’une des caractéristiques les plus inhabituelles était la promesse d’aucune vérification Know Your Customer, communément appelée KYC, bien que le site web annonce des services de paiement et affirme détenir des licences dans quatre pays.
Les captures d’écran partagées par Daniel montraient trois niveaux de carte, dont Lite, Signature et Metal, chacun portant le nom et le logo de Trust Wallet.
La carte Lite d’entrée de gamme promettait jusqu’à 3 % de cashback, tandis que la version Signature annonçait des récompenses atteignant 5 %, ainsi que zéro frais de change et un support prioritaire.
Pendant ce temps, le niveau Metal était promu avec 8 % de cashback, un accès illimité aux salons d’aéroport et des services de conciergerie 24 heures sur 24.
Cependant, l’offre exigeait que les utilisateurs connectent leurs portefeuilles de cryptomonnaies, ce que Daniel a identifié comme la partie dangereuse du stratagème.
L’équipe de sécurité de Trust Wallet nie tout lien avec le site web
En réponse à l’avertissement de Daniel sur X, James Bro a confirmé que le site web n’appartenait pas à Trust Wallet et a dirigé les utilisateurs vers l’application et le site web officiels de l’entreprise.
Il a expliqué que les offres légitimes de Trust Wallet sont disponibles via ses canaux officiels et a averti les utilisateurs de ne pas connecter leurs portefeuilles ni approuver des demandes suspectes pour obtenir une carte de paiement.
L’avertissement portait spécifiquement sur l’exigence de connexion du portefeuille du site web, qui était présentée comme faisant partie du processus d’accès aux avantages annoncés.
Bien que le site Web ait utilisé le nom de Trust Wallet, les modèles de cartes de paiement et le matériel promotionnel, la réponse de l’équipe de sécurité a établi que l’offre n’était pas un produit autorisé de l’entreprise.
Aucune perte financière confirmée, aucune adresse de portefeuille affectée ni aucun détail sur les opérateurs derrière le site Web frauduleux n’ont été fournis dans les publications.
Cet avertissement fait suite à des cas antérieurs où des criminels se sont fait passer pour Trust Wallet via des applications et des sites Web non officiels.
En juin 2024, crypto.news a rapporté que Trust Wallet avait averti les utilisateurs au sujet de versions contrefaites de son application apparaissant sur les boutiques d’applications Xiaomi et Amazon.
À l’époque, l’entreprise avait déclaré avoir demandé le retrait des applications frauduleuses et encouragé les utilisateurs à obtenir son logiciel de portefeuille via des canaux de téléchargement vérifiés.
Les faux sites Web de cryptomonnaies peuvent utiliser les approbations de portefeuille pour voler des fonds
Les sites Web frauduleux de cryptomonnaies tentent couramment d’obtenir l’accès aux actifs des utilisateurs en les persuadant d’approuver des transactions malveillantes ou de signer des autorisations qui semblent faire partie d’un service légitime.
Une simple connexion de portefeuille ne donne pas automatiquement à un site Web l’autorisation de transférer des cryptomonnaies. Toutefois, les attaquants peuvent utiliser des demandes de transaction ou des signatures ultérieures pour obtenir des autorisations de dépense sur des jetons spécifiques.
De telles autorisations peuvent permettre à un contrat intelligent contrôlé par un attaquant de transférer des actifs sans que la victime ait à révéler sa phrase de récupération.
En juillet, un utilisateur d’Ethereum aurait perdu près d’un million de dollars après avoir approuvé une transaction malveillante qui a permis aux attaquants de déplacer des cryptomonnaies depuis le portefeuille concerné.
L’incident a suivi un autre vol signalé d’environ 1,65 million de dollars, où une victime s’est connectée à un site Web d’échange frauduleux et a signé un contrat intelligent malveillant.
Des méthodes similaires ont été identifiées plus tôt ce mois-ci lorsque la société de sécurité blockchain Salus a lié des retraits non autorisés d’USDG à des signatures d’autorisation qui accordaient aux attaquants des permissions illimitées de dépense de jetons.
Selon les conclusions de l’entreprise, les attaquants ont utilisé ces autorisations pour transférer des fonds après avoir obtenu l’autorisation, sans avoir besoin d’accéder aux clés privées des victimes.
