L’extension de navigateur Fearless Wallet a dérobé les phrases de récupération des utilisateurs

La société de sécurité SlowMist met en garde contre un malware sérieux dans l’extension de navigateur Fearless Wallet pour Chrome. L’extension a contenu pendant près de vingt mois du code malveillant qui, lors du déverrouillage du portefeuille, transmettait automatiquement les phrases de récupération, les clés privées et les fichiers keystore vers un serveur externe. Environ 6 000 utilisateurs avaient installé l’extension. Toute personne ayant utilisé l’extension entre février 2025 et octobre 2026 doit partir du principe que son portefeuille est compromis.

En bref :

• Les versions 3.0.1 et 3.0.3 à 3.0.5 de l’extension Fearless Wallet contenaient du code malveillant qui volait les phrases de récupération et les clés privées.
• Les données volées étaient transmises via des requêtes chiffrées vers tonscanner.org, un domaine contrôlé par les attaquants.
• Les utilisateurs concernés doivent immédiatement créer de nouveaux portefeuilles et y transférer leurs fonds ; la simple suppression de l’extension ne suffit pas.

Un code malveillant actif de février 2025 à octobre 2026

Selon SlowMist, le malware était dissimulé dans les versions 3.0.1 et 3.0.3 à 3.0.5 de l’extension Chrome Fearless Wallet. Le code s’activait dès qu’un utilisateur déverrouillait le portefeuille et envoyait les données volées via une requête HTTP vers tonscanner.org.

Fait notable, les attaquants utilisaient une configuration externe leur permettant d’activer et de désactiver à distance le comportement malveillant. Ils pouvaient ainsi maintenir le malware actif sans être repérés ou le désactiver temporairement pour éviter la détection. La menace est restée active pendant plus de dix-neuf mois avant d’être découverte.

Que doivent faire les utilisateurs concernés ?

SlowMist conseille à toute personne ayant utilisé l’extension depuis février 2025 de créer immédiatement de nouveaux portefeuilles avec des clés privées entièrement nouvelles et d’y transférer tous les fonds restants. Il ne suffit pas de supprimer l’extension ou de modifier un mot de passe pour éviter d’autres dommages.

Il est également conseillé de passer en revue les transactions suspectes. L’extension Chrome avait l’ID nhlnehondigmgckngjomckngjomcpcefcdplmgc. Via sa plateforme MistEye, SlowMist propose un contrôle gratuit permettant aux utilisateurs de vérifier si les domaines, adresses IP ou paquets qu’ils utilisent sont sûrs.

Fearless Wallet est un portefeuille DeFi axé sur l’écosystème Polkadot, Ethereum et TON. Au moment de la découverte, l’extension Chrome comptait environ 6 000 utilisateurs actifs et une note de 4,8 étoiles dans le Chrome Web Store.