## Chrome recherche en tête de liste de faux portefeuilles et escroqueries : comment utiliser la blockchain pour dissimuler le vol de phrases de récupération

Les utilisateurs de cryptomonnaies font face à une menace insidieuse mais mortelle : des extensions de navigateur soigneusement déguisées qui figurent en tête des résultats de recherche sur le Chrome Web Store. Une extension nommée "Safery : Ethereum Wallet" s’était classée quatrième dans les résultats, avec une apparence suffisamment crédible pour tromper la majorité des débutants. Les analyses d’organismes de sécurité comme Socket révèlent une vérité choquante : cet outil d’arnaque utilise la blockchain Sui comme canal secret, encodant les phrases de récupération volées dans de petites transactions apparemment anodines.

### Comment une fausse identité sophistiquée échappe à la vérification de Chrome

La ruse de "Safery" réside dans le fait qu’elle ne copie pas des marques connues comme MetaMask ou Phantom. Au contraire, elle crée une identité totalement indépendante, avec une icône propre, une description fonctionnelle officielle, et de nombreux faux avis cinq étoiles. Cette approche élimine les signaux d’alerte classiques qui trahiraient une contrefaçon.

L’algorithme de classement du Chrome Web Store ne peut rien contre cela. Il privilégie principalement la correspondance des mots-clés, la croissance du nombre d’installations, la vitesse d’accumulation d’avis et la fraîcheur des uploads. Lorsqu’une nouvelle extension obtient rapidement un grand nombre d’avis (souvent dupliqués ou générés artificiellement), et que ses concurrents mettent du temps à se mettre à jour, l’algorithme de classement la propulse rapidement en tête. "Safery" exploite cette faille en achetant ou en générant automatiquement de faux avis, pour grimper rapidement dans un créneau peu concurrentiel.

Le processus de vérification des nouvelles extensions par Google reste faible. La plupart du temps, seul un scan automatique sommaire et une analyse statique de base sont effectués. Ce n’est que lorsque l’application demande des accès sensibles — onglets, presse-papiers, système de fichiers ou historique — qu’une vérification humaine plus stricte est déclenchée. Les applications de portefeuille évitent généralement ces contrôles en s’exécutant dans des iframes ou en utilisant des API approuvées. "Safery" emploie la même stratégie, en demandant l’exécution sur "tous les sites" (courant pour les portefeuilles décentralisés), sans autres demandes d’autorisations suspectes.

### Mécanisme de vol dissimulé dans les transactions Sui

Le vrai crime se joue au moment où l’utilisateur entre sa phrase de récupération. Contrairement aux chevaux de Troie classiques qui envoient des données à un serveur malveillant, "Safery" adopte une stratégie plus furtive : il divise la phrase en fragments, les encode en adresses de portefeuille aléatoires, puis dissimule ces fragments dans des transactions sur la blockchain Sui.

Concrètement, l’extension envoie de petites transactions de tokens SUI, qui ne suscitent pas d’alerte. Les adresses contrôlées par l’attaquant servent de destinataires. Les fragments de phrase volés sont dissimulés dans les notes de transaction ou dans des adresses obscures. Une fois enregistrés sur la blockchain, ces données restent visibles en permanence, permettant à l’attaquant de les récupérer, de les reconstituer, et ainsi de vider le portefeuille sans jamais toucher l’appareil de la victime.

Cette méthode offre un avantage tactique : l’extension n’a pas besoin d’envoyer de requêtes à des serveurs externes, évitant ainsi toute fuite de commandes ou de signaux de contrôle via HTTP ou WebSockets, ce qui rend la détection par les antivirus ou les outils de sécurité plus difficile. La charge utile quitte l’appareil sous forme de transactions blockchain apparemment normales, utilisant la faible coût et la rapidité de confirmation de la chaîne Sui. En réalité, les escrocs utilisent la blockchain Sui comme canal de communication invisible.

Socket a tracé plusieurs de ces transactions, confirmant le lien de causalité entre la saisie de la phrase et la perte finale des fonds. Bien que le vol de fonds puisse finalement se produire sur Ethereum ou une autre couche L1 où les fonds sont stockés, l’ensemble de l’attaque est dissimulé dans des données visibles sur la chaîne publique.

### Failles structurelles du système de classement des navigateurs

Le succès de "Safery" a révélé une faille profonde dans la logique de classement du Chrome Web Store. L’algorithme de recherche dépend fortement d’indicateurs quantitatifs — correspondance des mots-clés, taux d’augmentation des activités, courbe de croissance des évaluations — qui peuvent facilement être manipulés par de faux avis et des installations coordonnées.

Dans une catégorie peu concurrentielle comme celle des portefeuilles, une nouvelle application avec un grand nombre d’avis peut grimper en tête en quelques jours. De plus, Google ne réalise pas de vérification humaine systématique pour les nouvelles extensions. Les escrocs peuvent donc tester leurs techniques en secret avant la publication, pour s’assurer qu’elles ne déclenchent pas d’alerte lors de l’analyse statique ou en sandbox.

Il existe un décalage temporel entre le signal d’un utilisateur signalant une extension et sa suppression effective. C’est structurel : Chrome ne traite pas immédiatement les applications signalées, sauf si un consensus écrasant ou des caractéristiques malveillantes connues sont identifiées. La charge utile de "Safery" — JavaScript obfusqué et encodage blockchain — contourne précisément ces méthodes de détection classiques. Même si des utilisateurs sur Reddit ou Telegram signalent des comportements suspects, "Safery" peut continuer à occuper une position élevée.

### Comment les utilisateurs peuvent-ils se protéger et détecter ces menaces

La sécurité doit être abordée à plusieurs niveaux. Avant d’installer une extension cryptographique, l’utilisateur doit suivre une check-list : vérifier l’historique et l’identité du développeur, examiner si les avis contiennent beaucoup de textes identiques, confirmer si le site fournit un lien vers un dépôt GitHub officiel, et vérifier si la page des permissions n’est pas floue ou excessive.

Même après infection, il existe une fenêtre de remède. Désinstaller rapidement l’extension, révoquer toutes les autorisations de tokens, transférer les actifs vers un nouveau portefeuille depuis un appareil propre, surveiller les adresses associées — ces étapes limitent efficacement la perte. Mais pour ceux qui ne détectent pas à temps ou stockent beaucoup d’actifs dans un portefeuille chaud, la récupération des fonds est quasiment impossible.

### Solutions à long terme au niveau systémique

Les chercheurs en sécurité appellent à renforcer la détection heuristique dans Chrome, en marquant automatiquement toute extension contenant une UI pour la saisie de phrases de 12 ou 24 mots. Une autre proposition est d’exiger que les éditeurs de portefeuilles vérifient leur identité, en fournissant une preuve de contrôle vérifiable via une base de code de marque connue. Une révision plus stricte des permissions liées aux portefeuilles est également nécessaire, même si ces permissions ne comportent pas d’accès évident à des modes dangereux.

Les développeurs de portefeuilles reconsidèrent aussi leur stratégie de distribution. Certains ne recommandent plus l’installation via le Chrome Web Store, privilégiant les applications mobiles ou les clients desktop. D’autres mettent en garde contre l’installation depuis des sources non vérifiées.

L’affaire "Safery" reflète une problématique fondamentale : la distribution des extensions est hautement dispersée, et la majorité des utilisateurs de cryptomonnaies ne peuvent pas distinguer efficacement un portefeuille officiel d’une contrefaçon sophistiquée. L’environnement navigateur est intrinsèquement risqué, vulnérable aux manipulations par extensions, aux détournements de session, au vol de presse-papiers, et désormais à la fuite furtive de données blockchain. Lorsqu’un portefeuille exploite la faille de l’algorithme de classement pour grimper en tête des résultats, la frontière entre confiance et sécurité devient floue. Un nom propre, une haute note ou une apparence officielle ne sont plus des indicateurs fiables. Les utilisateurs de cryptomonnaies doivent prendre conscience que la promesse d’autogestion Web3 peut, entre de mauvaises mains, devenir un danger totalement inverse.