Extensions de navigateur voleuses de portefeuille : quand une application sportive collecte votre phrase de récupération

Si vous utilisez un portefeuille crypto sous forme d'extension de navigateur, ouvrez dès aujourd'hui la liste de vos extensions. En août 2026, la société de sécurité Socket a révélé deux campagnes distinctes dans lesquelles des extensions pour Firefox, Chrome et Edge ont capté des phrases de récupération, des clés privées et des identifiants de connexion à des plateformes d'échange crypto. Le second de ces rapports a été mis en forme le 30 août : il date donc d'un jour. C'est précisément l'endroit où de nombreux investisseurs manipulent leur portefeuille au quotidien qui se trouve touché.

Une extension de navigateur est un petit programme complémentaire qui s'exécute dans le navigateur et dispose de l'autorisation de lire et de modifier le contenu des pages consultées. C'est cette même autorisation qui la rend utile aux éditeurs de portefeuilles et précieuse aux attaquants.

Extensions de navigateur voleuses de portefeuille : ce que Socket a trouvé en août 2026

Socket est une société de sécurité spécialisée dans les chaînes d'approvisionnement logicielles, qui analyse paquets et extensions à la recherche de code malveillant. Ses spécialistes ont publié en dix jours deux constats qui présentent le même schéma sans pour autant relever de la même affaire.

Le premier rapport date du 20 août 2026 et concerne la place de marché de Firefox : 77 identités d'extensions sont liées entre elles selon l'analyse de Socket, dont 40 confirmées malveillantes. Le second rapport a circulé du 28 au 30 août et concerne Chrome et Edge : 19 extensions, dont 18 pour Chrome et une pour Edge, embarquaient un videur de portefeuille. Un videur de portefeuille, ou wallet drainer, est un code malveillant qui transfère un solde vers une adresse tierce en une seule opération, au lieu d'en détourner des montants isolés.

Les deux affaires ont un point commun qui compte davantage pour vous que n'importe quel chiffre : les extensions se trouvaient sur les places de marché officielles des éditeurs de navigateurs. Ceux qui les ont installées n'ont rien fait de travers, n'ont téléchargé aucun fichier douteux et n'ont cliqué sur aucun lien reçu par courriel.

Offside Wallet Theft Factory : comment 77 extensions Firefox sont reliées

Socket nomme la campagne Firefox Offside Wallet Theft Factory et se refuse expressément à l'attribuer à un acteur connu. Les spécialistes n'écrivent pas non plus que le même exploitant se tienne derrière chaque extension ; ce qui les relie, c'est un code commun et une infrastructure commune.

Les 40 extensions confirmées se répartissent en quatre groupes. Sept se faisaient passer pour des produits crypto et servaient de chargeurs d'hameçonnage pilotés à distance, parmi lesquels une entrée nommée 0KX WEB3, qui employait un zéro à la place de la lettre O et imitait ainsi le nom de la plateforme OKX. Quinze portaient directement en elles le code de vol. Treize de ces quinze étaient des répliques modifiées du logiciel de portefeuille Rabby. Cinq autres collectaient des identifiants d'accès et le contenu du presse-papiers. Les 37 identités restantes sur les 77 se présentaient comme des outils VPN, des générateurs de mots de passe ou des applications sportives, et affichaient effectivement des scores de matchs.

Selon Socket, ce sont les interfaces d'OKX, de Rabby Wallet et de TronLink qui ont été imitées. Dans cette affaire, ces trois fournisseurs sont les lésés et non les responsables : leur nom et leur apparence ont servi d'appât sans leur concours.

La base technique reposait sur des projets hébergés chez le service de bases de données Supabase, qui faisaient office d'interrupteurs à distance, auxquels s'ajoutaient Cloudflare Workers et Pages pour les fausses interfaces ainsi que des serveurs de commande inscrits en dur dans le code. Ces serveurs de commande sont désignés dans le métier par le sigle C2, pour command and control ; ils reçoivent les données dérobées et renvoient de nouvelles instructions. Les données de signature des extensions couvrent la période du 9 mars au 3 août 2026, avec des concentrations en avril et à la fin du mois de juillet. Mozilla a retiré de sa place de marché les modules signalés après la publication du rapport.

Ce qu'une extension de navigateur est réellement autorisée à faire

Une extension autorisée à lire et à modifier les données de tous les sites web se situe techniquement au même niveau que la page elle-même. Elle voit ce que vous saisissez, elle voit ce que la page vous affiche, et elle peut modifier l'un comme l'autre avant qu'ils ne parviennent à leur destinataire. Pour une extension de portefeuille, c'est le cas normal et inévitable. Pour une extension qui débloque le clic droit ou affiche des résultats de football, cela ne l'est pas.

Du score sportif au collecteur de phrase de récupération : pourquoi la mise à jour est plus dangereuse que l'installation

La partie la plus instructive du constat Firefox n'a d'abord rien à voir avec la crypto. Neuf des extensions malveillantes confirmées ont commencé leur existence comme de paisibles applications sportives et affichaient des résultats de football, de basket-ball et de football américain. Ce sont des mises à jour ultérieures qui ont remplacé cette fonction par du code de vol de portefeuille, et ce sous le même identifiant. La version malveillante a ainsi hérité de l'intégralité du parc installé et des avis positifs accumulés par sa devancière inoffensive. C'est à cette astuce que la campagne doit son nom.

Pour votre pratique, cela signifie que la vérification effectuée au moment de l'installation ne vaut pas indéfiniment. Les avis, le nombre d'utilisateurs et l'ancienneté d'une extension décrivent son passé. Une mise à jour peut remplacer intégralement le code, et les mises à jour d'extensions s'exécutent automatiquement dans les réglages par défaut, sans que l'on vous demande votre avis.

Pour cinq des 19 extensions Chrome et Edge, le déroulement a été comparable, à une étape près : selon l'analyse de Socket, il s'agissait d'extensions authentiques, déjà publiées par d'autres développeurs, qui ont été reprises puis transformées. Les 14 autres, les attaquants les avaient construites eux-mêmes de bout en bout.

Répliques modifiées de Rabby : comment le trousseau s'échappe avant le chiffrement

Les treize répliques modifiées de Rabby constituent la partie techniquement la plus délicate du constat Firefox. Rabby est un logiciel de portefeuille à code ouvert ; son code peut être copié et modifié en toute légalité. Les attaquants ont réécrit exactement une fonction, celle qui enregistre durablement le trousseau. Un trousseau, appelé keyring dans le code, est l'enregistrement où un portefeuille conserve ensemble ses clés privées et la phrase de récupération.

Dans la version d'origine, ce trousseau est converti en texte puis chiffré avec votre mot de passe avant d'atterrir sur le disque dur. Dans les versions modifiées, il est expédié, selon l'exposé de Socket, précisément au moment où il se présente sous forme de texte, donc avant le chiffrement. Votre mot de passe de portefeuille ne protège plus rien à cet endroit, puisqu'il n'interviendrait qu'ensuite. Les mêmes versions interceptent aussi la phrase de récupération lors de la création et lors de l'importation d'un portefeuille.

19 extensions Chrome et Edge : le videur qui reproduit les pages Ledger et Trezor

Le second constat est le plus récent et concerne, avec Chrome et Edge, deux places de marché supplémentaires. Selon l'analyse de Socket, les 19 extensions contenaient un videur capable de servir plusieurs chaînes à la fois : les portefeuilles sur Ethereum et sur tous les réseaux compatibles, les portefeuilles sur Solana et les portefeuilles sur Tron.

S'y ajoutaient des pages de récupération et de mise à jour reconstituées, qui ressemblaient aux interfaces officielles des fabricants de portefeuilles matériels Ledger et Trezor. Leur unique finalité était de collecter la phrase de récupération. Là encore, les deux fabricants sont victimes de contrefaçon. Qui utilise un portefeuille matériel et se demande quels modèles existent et ce qui les distingue trouvera le panorama dans notre comparatif des portefeuilles matériels crypto.

Sur la portée, on dispose d'un chiffre individuel solide et d'une estimation. Solide est le cas de l'extension nommée Enable Right Click & Copy, Smart Unlock + OCR : elle comptait plus de 70 000 utilisateurs sur Chrome et plus de 10 000 sur Edge lorsqu'elle est devenue malveillante. Pour l'ensemble de la campagne, une publication spécialisée avance environ 80 000 utilisateurs touchés. La date de départ fait elle aussi l'objet d'indications divergentes : BleepingComputer écrit que l'opération pourrait être en cours depuis le début de l'année 2024, tandis qu'une autre exploitation de la même analyse de Socket parle d'environ six mois d'activité et retient février 2024 comme début probable. Les deux lectures coexistent, et aucune n'est confirmée.

Au moment de la publication, selon BleepingComputer, aucune des extensions n'était plus disponible sur le Chrome Web Store. La version pour Edge, elle, l'était encore.

En-tête CSP supprimé : ce qu'une extension peut faire sur chaque page consultée

Le déroulement du cas Chrome et Edge mérite d'être parcouru posément, car il explique pourquoi une seule mauvaise extension porte aussi loin. Après l'installation, elle établit une connexion permanente chiffrée vers un serveur de commande, une connexion dite WebSocket. Par cette liaison, elle télécharge des briques JavaScript isolées qui ne figuraient nullement dans le paquet déposé sur la place de marché. Un contrôleur qui n'examine que le paquet soumis n'y trouve donc pas grand-chose.

Elle supprime ensuite l'en-tête CSP de chaque page que vous ouvrez. La Content Security Policy est une consigne de protection par laquelle un site web indique au navigateur depuis quelles sources des scripts peuvent être exécutés. Si elle disparaît, le navigateur accepte aussi du code étranger. Ce code est alors injecté dans la page au moyen d'éléments HTML masqués.

Le résultat est d'une concrétude désagréable. La banque, la plateforme d'échange et l'interface de portefeuille que vous ouvrez dans le même navigateur ne sont plus, à partir de cet instant, les pages que le prestataire délivre. Elles sont ce que l'extension en fait. C'est précisément pour cette raison qu'une autorisation d'apparence anodine à l'écran peut signifier tout autre chose en arrière-plan. La manière de lire une telle autorisation dans le détail est exposée dans notre article consacré à ce que vous accordez réellement en confirmant.

Jeton de session plutôt que mot de passe : pourquoi la double authentification ne protège pas ici

Selon Socket, le videur ne s'attaque pas seulement aux portefeuilles, mais aussi aux comptes ouverts chez les places de négociation. Sont cités Coinbase, Binance, Kraken, OKX, MEXC, KuCoin et Bybit, ainsi que le portefeuille MetaMask. Sont collectés à cette occasion des identifiants d'accès, des jetons de session, l'historique de navigation, des informations de compte provenant de Facebook et de LinkedIn, et des saisies de formulaires sur différents sites web.

La notion de jeton de session mérite une explication à part, car c'est elle qui fait la différence avec un vol de mot de passe ordinaire. Un jeton de session est le laissez-passer qu'un site web délivre à votre navigateur après une connexion réussie, afin que vous n'ayez pas à saisir de nouveau mot de passe et deuxième facteur à chaque clic. Qui détient ce jeton est déjà connecté aux yeux du site. La double authentification a alors déjà eu lieu et n'est pas demandée une seconde fois.

C'est pourquoi, en cas de soupçon, changer le mot de passe ne suffit pas. Vous devez en outre mettre fin à toutes les sessions actives. La plupart des places de négociation proposent cette fonction dans leurs réglages de sécurité sous des libellés tels que appareils actifs, sessions ou appareils connectés. Quels prestataires entrent en ligne de compte pour les clients allemands et quelles fonctions de sécurité ils apportent, la vue d'ensemble des plateformes d'échange crypto le montre.

Vérifier les extensions installées : comment accéder à la liste dans Firefox, Chrome et Edge

La vérification prend quelques minutes et ne coûte rien. Dans Firefox, vous ouvrez l'adresse about:addons et sélectionnez à gauche la rubrique Extensions. Dans Chrome, c'est chrome://extensions, dans Edge edge://extensions. Dans les trois navigateurs, chaque entrée permet d'ouvrir la vue détaillée, où figurent les autorisations, l'éditeur et la source d'installation.

Parcourez la liste de haut en bas et posez-vous deux questions pour chaque entrée : vous souvenez-vous encore de la raison pour laquelle vous avez installé cette extension ? Et l'avez-vous réellement utilisée ces dernières semaines ? Tout ce qui achoppe sur l'une des deux questions dégage. Une extension dont vous n'avez pas besoin n'en reste pas moins une porte ouverte que personne ne surveille.

À quoi reconnaître une extension reprise en main

Il n'existe malheureusement pas de signe distinctif net pour l'astuce de la mise à jour, et cela fait partie de la vérité. Il existe en revanche des indices qui, pris ensemble, valent quelque chose. Il est frappant qu'une extension à la fonction banale exige soudain des autorisations étendues, ou que le nom de l'éditeur ait changé. Il est frappant aussi de voir une colonne d'avis où d'anciennes voix enthousiastes côtoient des plaintes plus récentes sur un comportement modifié. Et il est frappant qu'une extension porte un nom identique à celui d'un produit connu à un seul caractère près, comme le zéro de l'entrée 0KX WEB3.

Lire les autorisations : quels droits d'accès sont normaux pour une extension de portefeuille

Une véritable extension de portefeuille a besoin de droits étendus, sans quoi elle ne pourrait pas remplir sa mission. L'accès aux données de tous les sites web n'est donc pas chez elle un signal d'alarme. La vraie question est ailleurs : pourquoi un outil de capture d'écran, un traducteur ou un déblocage du clic droit aurait-il besoin de la même autorisation ?

Concrètement, cela veut dire que vous triez vos extensions par finalité et non par éditeur. Toute extension qui peut lire et modifier toutes les pages alors que sa fonction ne sert que sur une seule page ou sur simple pression d'un bouton est une candidate à la suppression. Chrome et Edge permettent en outre de restreindre l'accès d'une extension à certaines pages ou de ne l'accorder qu'après un clic. Ce réglage vous coûte deux jours d'accoutumance et retire à une extension reprise en main la plus grande part de sa portée.

Portefeuille matériel ou portefeuille de navigateur : ce que la différence change en cas de coup dur

Les deux constats de Socket conduisent à une distinction que le quotidien estompe souvent. Avec un portefeuille sous forme d'extension de navigateur, la clé privée réside chiffrée sur l'ordinateur, et le logiciel du navigateur la déchiffre pour signer. Avec un portefeuille matériel, la clé ne quitte jamais l'appareil ; l'ordinateur envoie l'opération et récupère la signature achevée.

Cette différence décide de l'issue, pour vous, d'une attaque du type décrit. Contre un matériel de clé capté, le portefeuille matériel protège, parce qu'il n'y a tout simplement rien à capter. Contre une interface manipulée qui vous affiche une fausse adresse de destinataire, il ne protège que si vous lisez les indications sur l'écran de l'appareil et non sur celui de l'ordinateur. Et contre une page de récupération reconstituée qui vous invite à saisir votre phrase de récupération, aucune technique ne protège. Là, seule vaut la règle de ne jamais taper cette phrase où que ce soit. Quels portefeuilles logiciels existent pour l'usage quotidien et où se situent leurs limites, le comparatif des portefeuilles logiciels l'expose.

Après un soupçon : pourquoi désinstaller ne sauve rien à soi seul

Pour le cas Firefox, Socket formule une recommandation claire : qui a saisi une phrase de récupération ou une clé privée dans l'une de ces extensions doit considérer ces données comme durablement compromises et transférer son solde vers un portefeuille nouvellement créé. La raison est simple et volontiers négligée. Supprimer l'extension ne reprend rien de ce qui a déjà été transmis. Une phrase de récupération ne se révoque pas, elle se remplace.

L'ordre des opérations compte en cas de soupçon. Créez le nouveau portefeuille sur un appareil non touché, et ne transférez qu'ensuite. Qui crée le nouveau portefeuille dans le même navigateur contaminé ne fait que répéter l'opération avec des clés fraîches. Viennent ensuite les comptes ouverts chez les places de négociation : nouveau mot de passe, fin de toutes les sessions, reconfiguration du deuxième facteur et contrôle des adresses de retrait enregistrées.

Un mot sur la manière de gérer l'agitation que suscitent de telles annonces. C'est précisément dans les jours qui suivent la publication d'un incident que se multiplient les messages promettant de l'aide aux personnes touchées tout en réclamant la phrase de récupération. Ce procédé se pratique désormais aussi sur papier, comme le montre le cas de l'hameçonnage de portefeuille par courrier. Aucun prestataire sérieux et aucune administration ne demande jamais cette phrase.

Fiscalité et preuves : ce qu'il faut documenter après un vol de crypto

Si quelque chose s'est effectivement échappé, sécurisez les preuves avant de faire le ménage. En font partie le moment de la sortie de fonds, les adresses concernées, les identifiants de transaction issus de l'explorateur de blocs correspondant, le nom et l'identifiant de l'extension avec une capture d'écran de la page de la place de marché si l'entrée est encore accessible, ainsi que le numéro de dossier d'une plainte déposée auprès de la police.

La manière dont une telle perte se traduit sur le plan fiscal dépend du cas d'espèce et relève d'un conseiller fiscal ou d'une conseillère fiscale. Sans preuves complètes, cette question ne peut d'emblée pas être tranchée, et les preuves sont nettement plus difficiles à réunir des semaines plus tard que le lendemain. Un outil de suivi de portefeuille qui enregistre de toute façon vos mouvements vous épargne, le cas échéant, une reconstitution à la main.

Vérifier ses extensions de navigateur : ce qu'il faut en retenir

1. Faites le ménage dès aujourd'hui dans votre liste d'extensions. Ouvrez about:addons, chrome://extensions ou edge://extensions et supprimez tout ce que vous n'utilisez pas activement ou que vous ne parvenez plus à situer. Soyez particulièrement attentif aux entrées à fonction banale assorties d'autorisations étendues. Si vous tenez votre portefeuille dans le navigateur, vérifiez dans le comparatif des portefeuilles logiciels si votre organisation correspond encore à vos avoirs.
2. Séparez du navigateur les montants que vous ne bougez pas. La part de vos avoirs que vous ne touchez pas chaque semaine a sa place sur un appareil dont la clé ne voit jamais le navigateur. Les modèles et leurs différences figurent dans le comparatif des portefeuilles matériels crypto.
3. Mettez fin à vos sessions ouvertes chez les places de négociation. Un nouveau mot de passe ne suffit pas tant qu'un ancien jeton de session reste valable. Rendez-vous dans les réglages de sécurité de chaque compte, éjectez tous les appareils et reconnectez-vous. Quels prestataires offrent quelles fonctions de sécurité, la vue d'ensemble des plateformes d'échange crypto le montre.

Les deux constats du mois sont nés indépendamment l'un de l'autre et concernent les trois grands navigateurs. Ils disent la même chose : la place de marché d'un éditeur de navigateur est une présélection et non une garantie, et la vérification faite à l'installation vieillit plus vite que l'extension elle-même.

Les rapports originaux sont consultables chez Socket sur la campagne Firefox et dans la mise en forme de BleepingComputer sur le cas Chrome et Edge.

(Au 31 août 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)