Identification des portefeuilles utilisés par des escrocs
6
Opérateurs nommés
Résumé analytique
Cette enquête rend compte TrustWalletPanel — une opération de hameçonnage sophistiquée se faisant passer pour Trust Wallet via le domaine backend tttadmin.com. Candidat à la 14 mois (janvier 2025 – février 2026), l’opération visait les utilisateurs de cryptomonnaies par le biais d’un faux service d’assistance par chat, leur soutirant leurs phrases de récupération et leur réclamant des dépôts sous de faux prétextes tels que la « conformité à l’OFAC » et le « remplacement d’actifs ». Les 1 900 conversations des victimes ont toutes été extraites grâce à une vulnérabilité IDOR critique. L’identité du principal opérateur a été révélée.
Comment fonctionne l'arnaque : déroulement de l'attaque
Cette opération suit un processus en cinq étapes soigneusement élaboré afin de tirer le maximum de profit de chaque victime :
Étape 1
Découverte — Les victimes découvrent le domaine de phishing via des groupes Telegram, des arnaques sentimentales (sous le pseudonyme « Sofia ») ou les résultats des moteurs de recherche
Étape 2
Faux portefeuille — Un site de hameçonnage imite l'interface de Trust Wallet ; il récupère la phrase de récupération mnémonique et le mot de passe lors de la « création du portefeuille »
Étape 3
Déclencheur du chat en direct — Les tentatives de retrait échouent délibérément ; l'opérateur du chat apparaît sous le nom « Trust Wallet Support »
Étape 4
Ingénierie sociale — Des opérateurs affirment que des actifs ont été gelés en raison d’infractions aux réglementations de l’OFAC et de la lutte contre le blanchiment d’argent, et exigent des dépôts en cryptomonnaie à des fins de « remplacement » ou de « vérification »
Étape 5
Extraction répétée — Des demandes incessantes de paiements supplémentaires, accompagnées de manœuvres visant à créer un sentiment d’urgence et d’une pression liée aux délais
Préjudice financier : principales pertes confirmées
↔
Identifiant de discussion
Montant
Actif
Contexte
#1795
197 000 USDT
TRON (TRC-20)
Emprunté à mon ex-femme
#481
~45,77 ETH
Ethereum
Dépôts multiples
#965
environ 16 000 USDT
USDT
Dépôts successifs
#720
8 000 USDT
TRC-20
Transfert d'une journée
#1090
5 839 USDT
USDT
Mère célibataire, décès confirmé
#1430
environ 3 686 USDT
USDT
Deux dépôts distincts
#92
3 340,23 USDT
USDT
Montant exact confirmé
#1089
0,3201 BTC
Bitcoin
Depuis le portefeuille matériel Ledger
Les dégâts réels sont probablement bien plus importants
Il s'agit de déclarations non vérifiées issues de historiques de discussion. De nombreuses victimes n'ont jamais communiqué les montants concernés. La rotation des portefeuilles rend impossible le calcul des totaux sur la chaîne sans un suivi complet de la blockchain.
Membres de l'équipe identifiés dans les historiques de discussion
👤
Lyokha / Alexey
Opérateur de chat principal
👤
Dima
Opérateur (Chat n° 92)
👤
Maksim
Opérateur (Chat n° 446, 201 messages)
👤
Andrey
Opérateur (Chat n° 579)
👤
Aleksander
Recruteur sur Telegram
👤
Sofia
Personnage utilisé pour appâter les victimes d'escroqueries sentimentales
Techniques d'ingénierie sociale
↔
Tactique
Messages
Description
Usurpation d'identité de Trust Wallet
1,905
Se faisant passer pour le service d'assistance officiel de Trust Wallet
Réclamations relatives au gel ou au blocage d'un portefeuille
360
Prétend que son portefeuille a été bloqué en raison d’une « activité suspecte »
Offres de remplacement d'actifs
305
Promesse de « remplacer » les avoirs gelés après leur dépôt
Menaces de sanctions de l'OFAC
210
Fausses allégations concernant des sanctions du Trésor américain visant un portefeuille numérique
Demandes de dépôt en vue du déblocage
185
Exiger un dépôt en cryptomonnaie pour « débloquer » le portefeuille
Fausses offres de staking
161
Pools de staking avec taux APY personnalisés dans le panneau d'administration
Accusations relatives à la lutte contre le blanchiment d'argent et au financement du terrorisme
66
Accuser les victimes de blanchiment d'argent
L'ironie
Des escrocs russophones ciblant des victimes russophones (51 % des conversations se déroulent en russe) en les menaçant de Sanctions de l'OFAC (Bureau du contrôle des avoirs étrangers) du Trésor américain — un mécanisme réglementaire sans rapport géographique avec leur base de victimes. Une ingénierie sociale basée sur des modèles, et non sur une compréhension du contexte.
L'infrastructure du panneau de contrôle de l'arnaque était truffée de failles qui rendaient l'extraction complète des données d'une simplicité enfantine :
11 Points de terminaison API sans authentification
# IDOR - enumerate all 1,900 chats by sequential ID POST /chat/get → Transcription intégrale de la conversation, sans authentification# Returns latest victim session data POST /session/get → Fuite de la phrase mnémonique et du mot de passe# Inject messages into any victim chat POST /message/save → Aucune authentification requise# Create fake victim sessions POST /session/init → Enregistre les phrases de récupération# Full system config POST /system/get → swap_percent, status_support# All token/network config (174KB) POST /network/get → Données complètes sur le réseau POST /token/info/get/all → Cours en temps réel sur CoinMarketCap POST /stake/get/all → Configurations des pools de staking# Admin login - no rate limiting POST /admin/sign-in → Force brute illimitée
IDOR sur /chat/get
Les 1 900 discussions sont toutes accessibles sans authentification
Les cartes sources dévoilées
339 fichiers source (3,4 Mo) récupérés
Configuration incorrecte du CORS
Reflète n'importe quelle origine disposant d'informations d'identification
Pas de limitation du débit
Attaques par force brute illimitées sur la connexion administrateur
Fonctionnalités du panneau d'administration (analyse du code source)
339 fichiers source ont été récupérés à partir de cartes de source de production exposées (main.3924229a.js.map). Au programme de cette table ronde :
Gestionnaire de portefeuille
Afficher/modifier tous les portefeuilles des victimes à l'aide de phrases mnémoniques
Chat en direct (sondage de 1 seconde)
Discussion en temps réel avec les victimes sous le nom de « Trust Wallet Support »
Contrôle des transactions
Modifier le statut, insérer de fausses transactions
Pools de staking
Taux APY personnalisés, périodes de blocage, rendements fictifs
Détection d'une activité de recherche menée par un tiers
Une charge utile de shell inversé détectée dans la conversation n° 1
Une charge utile de shell inversé encodée en Base64 a été détectée, injectée via le canal non authentifié /message/save point de terminaison sur 6 mai 2025 — environ 10 mois avant le début de cette enquête. Cela signifie que ces vulnérabilités pouvaient être exploitées publiquement depuis longtemps et qu'un autre chercheur les avait découvertes bien avant nous.
Calendrier de l'opération
janvier 2025
Les premières sessions des victimes apparaissent (845 messages). Infrastructure hébergée sur des adresses IP moscovites.
mai 2025
Un chercheur indépendant découvre une vulnérabilité IDOR et injecte une charge utile de shell inversé
novembre 2025
Période de pointe : 959 messages en un seul mois. Renouvellement des certificats SSL.
février 2026
Dernier certificat émis. Le service est toujours actif, de nouvelles sessions sont créées.
1er mars 2026
Publication de l'enquête sur PhishDestroy. Les 1 900 conversations ont toutes été extraites et analysées.
Recommandations à l'intention des utilisateurs
Ne communiquez jamais vos phrases de récupération par chat, par e-mail ou via tout autre canal d'assistance — Trust Wallet ne vous demandera jamais ces informations
Vérifier les coordonnées du service d'assistance uniquement via les canaux officiels de Trust Wallet
Identifier les menaces liées à l'OFAC et à la lutte contre le blanchiment d'argent (AML) comme prétextes courants utilisés par les escrocs — les services légitimes ne bloquent pas les portefeuilles via le chat
Signaler des domaines de hameçonnage à l'équipe de sécurité de Trust Wallet et PhishDestroy
Utilisez des portefeuilles matériels pour la signature des retraits, afin d'empêcher les virements non autorisés
Vérifier l'état du portefeuille via l'historique des transactions de la blockchain, et non via une interface « d'assistance » quelconque
Rapport technique complet avec les historiques de discussion
Données complètes issues de l'enquête, comprenant l'intégralité des transcriptions des conversations, les adresses de portefeuilles, l'analyse des opérateurs et les visualisations interactives
