Sécurité des extensions crypto : rester en sécurité

La sécurité des extensions de navigateur crypto est la surface d'attaque la plus exploitée pour les utilisateurs de self-custody en 2026. Les faux clones MetaMask, les approbations de tokens malveillants et les extensions qui détournent le presse-papiers ont collectivement volé des centaines de millions de dollars des portefeuilles — la plupart de manière irréversible. Ce guide vous montre exactement comment vérifier les extensions légitimes, renforcer votre environnement de navigateur, reconnaître les sites draineur et vous rétablir après une compromission.

Pourquoi les fausses extensions de portefeuille sont si dangereuses

Le Chrome Web Store et la place de marché des modules complémentaires Firefox permettent à n'importe quel développeur de publier une extension. Google et Mozilla appliquent une analyse automatisée et un examen manuel, mais aucun n'est en temps réel ou infaillible. Les acteurs malveillants téléchargent régulièrement des clones quasi identiques de MetaMask, Phantom et Coinbase Wallet en utilisant des logos volés, des descriptions copiées et des titres remplis de mots-clés comme « MetaMask Pro » ou « MetaMask – Official Wallet 2026 ».

Une fois installée, une fausse extension peut :

L'attaque est asymétrique : une seule installation imprudente peut vider un portefeuille contenant des années d'économies en moins d'une minute.

Comment les attaquants placent les extensions devant vous

Les annonces des moteurs de recherche sont le mécanisme de livraison principal. Les attaquants achètent des Google Ads pour des requêtes comme « téléchargement MetaMask » et lien vers des pages d'hameçonnage convaincantes qui hébergent l'extension fausse ou redirigent vers une liste Chrome Web Store armée. Une liste clonée peut survivre pendant des heures ou des jours avant suppression — plus que suffisant pour récolter des milliers d'installations.

Les vecteurs secondaires incluent :

Vérifier une extension légitime avant l'installation

La vérification prend moins de trois minutes et élimine complètement le vecteur d'attaque le plus courant.

Étape 1 : Allez directement vers le site Web officiel de l'éditeur

Ne recherchez jamais une extension de portefeuille dans Google et ne cliquez pas sur le premier résultat. Accédez directement au domaine officiel du projet — tapez-le vous-même ou utilisez un signet que vous avez créé manuellement.

Chaque site fait un lien vers la liste exacte et vérifiée du store. Suivre ce lien garantit que vous arrivez sur la bonne page.

Étape 2 : Confirmez le nom de l'éditeur dans le store

Sur la liste du Chrome Web Store, regardez directement sous le nom de l'extension le nom du développeur. Il apparaît en texte gris plus petit. Pour MetaMask, l'éditeur doit lire exactement Consensys Software Inc. — pas « Consensys », pas « MetaMask Team », pas de variation. Si le nom de l'éditeur diffère d'un seul caractère, fermez l'onglet.

Pour Phantom sur Chrome, l'éditeur est Phantom Technologies Inc. Pour Brave Wallet (intégré, pas une extension), il n'y a pas de liste du store du tout — il est livré avec le navigateur.

Étape 3 : Vérifiez l'ID de l'extension

Chaque extension Chrome a un ID permanent et immuable — une chaîne de 32 caractères en minuscules visible dans l'URL du store et dans chrome://extensions une fois installée.

IDs légitimes connus (à partir de 2025-06) :

Extension ID Chrome Web Store
MetaMask nkbihfbeogaeaoehlefnkodbefgpgknn
Phantom bfnaelmomeimhlpmgjnjophhpkkoljpa
Coinbase Wallet hnfanknocfeofbddgcijnmhnfnkdnaad
Rabby Wallet acmacodkjbdgmoleebolmdjonilkdbch

Recoupez cet ID avec le référentiel GitHub officiel du projet ou la documentation. L'ID de MetaMask est publié dans leur documentation officielle. Si l'ID sur votre extension installée ne correspond pas, supprimez-la immédiatement.

Étape 4 : Vérifiez les permissions avant d'accepter

Cliquez sur « Add to Chrome » mais lisez la boîte de dialogue des permissions avant de cliquer sur « Add extension ». Les extensions de portefeuille légitimes nécessitent des permissions comme :

Les permissions qui doivent susciter une inquiétude immédiate :

Si les permissions semblent plus larges que prévu, annulez l'installation et vérifiez que vous êtes sur la bonne liste.

Renforcer votre environnement de navigateur

L'installation d'une extension légitime est nécessaire mais insuffisante. Votre environnement de navigateur lui-même est une surface d'attaque.

Utilisez un navigateur dédié ou un profil pour les crypto

La stratégie d'isolation la plus efficace consiste à exécuter toute l'activité crypto dans un navigateur complètement séparé sans aucune autre extension installée. Deux approches pratiques :

Option A — Navigateur Brave (recommandé) : Brave bloque les publicités et les suivi par défaut, inclut un portefeuille crypto intégré et n'a pas d'autres extensions pré-installées. Utilisez Brave exclusivement pour l'activité de portefeuille, MetaMask et les interactions avec dApps. Utilisez un navigateur différent (Chrome, Firefox, Safari) pour tout autre navigation quotidienne.

Option B — Un profil Chrome dédié : Dans Chrome, cliquez sur votre avatar → « Add » → créez un profil nommé « Crypto Only ». Installez MetaMask uniquement dans ce profil. N'installez jamais d'autres extensions dans ce profil. Ne vous connectez jamais à Google dans ce profil si vous voulez une séparation maximale.

Les deux options empêchent une extension généraliste compromise (un coupe-coupon, un outil de grammaire, un convertisseur PDF) de lire les données injectées par votre extension de portefeuille.

Désactivez ou supprimez les extensions que vous ne reconnaissez pas

Ouvrez chrome://extensions (ou brave://extensions) et auditez chaque entrée. Pour chaque extension, demandez-vous :

  1. Vous souvenez-vous l'avoir installée ?
  2. Savez-vous ce qu'elle fait ?
  3. Reconnaissez-vous le nom du développeur ?

Supprimez tout ce à quoi vous ne pouvez pas répondre « oui » à tous les trois. De nombreux utilisateurs découvrent 3-5 extensions qu'ils n'ont pas consciemment installées — souvent regroupées avec des installateurs de logiciels.

Gardez le navigateur et les extensions à jour

Les extensions obsolètes manquent les correctifs de sécurité. Activez les mises à jour automatiques dans Chrome (chrome://settings/help). Sur Brave, les mises à jour sont regroupées avec la mise à jour du navigateur. MetaMask publie un journal des modifications à chaque version dans leur référentiel GitHub — suivez-le pour savoir quand les mises à jour de sécurité critiques arrivent.

Utilisez un portefeuille matériel comme couche de signature

Même dans un navigateur parfaitement renforcé, une extension compromise pourrait afficher une transaction malveillante. Un portefeuille matériel — Ledger Nano X, Trezor Model T ou Coldcard — nécessite une confirmation physique de chaque transaction sur l'écran du dispositif lui-même. Le portefeuille matériel affiche l'adresse de destination réelle on-chain, pas ce que l'interface utilisateur du navigateur prétend être. Cela rend la manipulation des transactions au niveau du navigateur détectable avant que vous confirmiez.

Connectez MetaMask à un Ledger Nano X en naviguant vers MetaMask → sélecteur de compte → Ajouter un compte → Portefeuille matériel → Ledger. Vos clés privées ne quittent jamais le dispositif matériel.

Sites draineur et approbations de tokens malveillants

Même avec une extension légitime et non compromise installée, vous pouvez perdre des fonds en interagissant avec la mauvaise dApp.

Ce qu'un site draineur fait

Un site draineur est une interface de contrat intelligent conçue pour vous tromper et vous faire signer une transaction qui transfère des actifs à un attaquant. Les tactiques courantes incluent :

Comment détecter une approbation malveillante avant de signer

Avant de cliquer sur « Confirm » dans MetaMask, lisez le panneau des détails de la transaction :

  1. Développez les détails de la transaction. MetaMask affiche le nom de la fonction décodée. Si vous « mintez » un NFT mais que la fonction affichée est approve ou setApprovalForAll, arrêtez — vous n'êtes pas en train de minter.
  2. Vérifiez l'adresse du dépensier. Copiez l'adresse du contrat affichée dans l'approbation et collez-la dans Etherscan. Un protocole légitime aura un contrat vérifiée avec un nom connu. Un contrat non vérifiée sans nom et déployé récemment est un drapeau rouge.
  3. Vérifiez le montant de l'approbation. Une approbation pour 115792089... (le maximum uint256) signifie des dépenses illimitées. Un protocole légitime devrait soit demander un montant spécifique soit utiliser permit() avec une expiration.
  4. Ne signez jamais les demandes permit() sur les sites auxquels vous avez accédé via un lien d'annonce ou de message direct.

Révoquer les approbations de tokens avec Revoke.cash

Si vous avez déjà accordé des approbations — malveillantes ou non — vous pouvez les révoquer. Revoke.cash est l'outil standard pour cela. C'est open-source, non-dépositaire et ne vous oblige pas à entrer votre clé privée ou phrase de récupération.

Étapes pour auditer et révoquer les approbations :

  1. Naviguez vers revoke.cash directement (tapez l'URL — ne la cherchez pas).
  2. Connectez votre portefeuille en utilisant MetaMask ou collez votre adresse publique dans le champ de recherche pour une vue en lecture seule.
  3. Sélectionnez le réseau (Ethereum, Arbitrum, Base, Polygon, etc.).
  4. Passez en revue la liste des approbations actives. Chaque ligne affiche le token, l'adresse du dépensier approuvé et le montant approuvé.
  5. Cliquez sur « Revoke » sur n'importe quelle approbation que vous n'avez pas intentionnellement accordée ou dont vous n'avez plus besoin.
  6. Confirmez la transaction de révocation dans MetaMask. Chaque révocation coûte un petit frais de gaz.

Exécutez cet audit au minimum tous les 90 jours et immédiatement après toute interaction avec une dApp nouvelle ou non familière.

Quand réinitialiser ou réinstaller votre extension de portefeuille

Parfois, la bonne réponse est de recommencer. La réinstallation de l'extension ne récupère pas les fonds d'un portefeuille compromise — mais elle peut arrêter une exfiltration en cours si l'extension elle-même est le composant compromise.

Signes que vous devriez réinstaller l'extension

Le processus de réinstallation sécurisée

  1. N'entrez jamais votre SRP dans l'extension compromise à nouveau. Supposez que la SRP est déjà connue de l'attaquant si l'extension est fausse.
  2. Sur un dispositif propre (ou après une réinstallation complète du système d'exploitation si la machine elle-même peut être compromise), téléchargez MetaMask depuis metamask.io.
  3. Vérifiez que l'ID de l'extension correspond à nkbihfbeogaeaoehlefnkodbefgpgknn avant de procéder.
  4. Déplacez les fonds vers un nouveau portefeuille avant de restaurer l'ancien. Si la SRP est compromise, la restaurer sur une nouvelle installation ne vous protège pas. Générez un nouveau portefeuille, obtenez son adresse, puis restaurez le portefeuille ancien sur un dispositif secondaire pour envoyer les fonds à la nouvelle adresse — faites cela aussi vite que possible.
  5. Révoquez toutes les approbations de tokens associées à l'ancien portefeuille en utilisant Revoke.cash avant de l'abandonner.
  6. Configurez un portefeuille matériel comme couche de signature pour le nouveau portefeuille à l'avenir.

Ce que la réinstallation ne corrige pas

FAQ

Q : Comment vérifier que l'ID de l'extension MetaMask est correct ?

Ouvrez chrome://extensions, activez le mode développeur (bascule en haut à droite) et trouvez MetaMask dans la liste. L'ID affiché sous le nom de l'extension doit être nkbihfbeogaeaoehlefnkodbefgpgknn. Recoupez cela avec la page d'assistance officielle de MetaMask pour confirmer. Tout autre ID signifie que vous avez un faux installé — supprimez-le immédiatement sans entrer de phrase de graine.

Q : Le navigateur Brave est-il vraiment plus sûr que Chrome pour les crypto ?

Brave bloque les publicités, les suivi tiers et l'empreinte digitale par défaut sans aucune extension supplémentaire, ce qui réduit la surface d'attaque de manière significative. Brave est construit sur le même moteur Chromium que Chrome, donc MetaMask et autres extensions se comportent identiquement. Le gain de sécurité vient du blocage par défaut de Brave des réseaux publicitaires les plus couramment utilisés pour distribuer les liens des sites draineur — pas de différence architecturale fondamentale. L'utilisation d'un profil Chrome dédié sans aucune autre extension réalise une isolation similaire si vous préférez Chrome.

Q : Quelle est la différence entre une approbation de token et une transaction ?

Une transaction déplace les fonds de votre portefeuille vers une autre adresse et vous oblige à payer du gaz. Une approbation de token accorde à un autre contrat intelligent ou adresse la permission de déplacer les tokens en votre nom dans les futures transactions — elle ne déplace pas les fonds immédiatement. C'est pourquoi les approbations sont dangereuses : une approbation malveillante ressemble à une action petite ou sans coût, mais elle donne à un attaquant un accès illimité et futur à ce type de token dans votre portefeuille jusqu'à révocation explicite.

Q : Un portefeuille matériel peut-il me protéger contre les approbations malveillantes ?

Partiellement. Un portefeuille matériel comme le Ledger Nano X affichera les données de la transaction sur son écran et exigera une confirmation physique par bouton, ce qui rend plus difficile pour une extension compromise de soumettre silencieusement des transactions. Cependant, si vous lisez l'écran du portefeuille matériel incorrectement ou êtes manipulé socialement pour confirmer une approbation malveillante, le portefeuille matériel la signe quand même. Le portefeuille matériel élimine le vol à distance mais pas les transactions mauvaises confirmées par l'utilisateur. Lisez toujours le nom de la fonction et l'adresse du dépensier sur l'écran du portefeuille matériel avant de confirmer.

Q : À quelle fréquence dois-je révoquer les approbations de tokens ?

Auditez vos approbations au minimum tous les 90 jours en utilisant Revoke.cash, et immédiatement après chacun de ces événements : interaction avec une dApp nouvelle ou non familière, clic sur un lien de Discord, Telegram ou Twitter qui vous a mené à une dApp, ou si vous soupçonnez que votre navigateur a pu être compromise. La révocation coûte un frais de gaz par approbation mais vaut le coup pour toute approbation illimitée ou ancienne accordée à un contrat que vous n'utilisez plus activement.

Étiqueté , , , , ,