Trust Wallet est-il sûr ? Révoquer les approbations TRON

Trust Wallet est-il sûr en ce moment ?

Au 15 novembre 2026, aucune faille de l'application Trust Wallet n'est confirmée : Bitquery, qui a suivi la récente vague de vols d'USDT sur TRON, dit n'en avoir trouvé aucune preuve, sans pouvoir l'exclure ^[1]. Son rapport, aux chiffres vérifiés le 12 novembre, compte au moins 5,42 M$ en USDT pris sur 454 portefeuilles TRON entre le 5 octobre et le 11 novembre ^[1].

Le nom de Trust Wallet est associé à l'affaire parce que des victimes disent l'avoir utilisé et parce que le kit de piratage d'iPhone lié à certains vols le recherche, explique Bitquery ^[1]. La blockchain montre l'argent circuler entre adresses, pas le téléphone ni l'application derrière ; Bitquery n'a donc pu rattacher qu'un seul vol au récit publié d'un propriétaire d'iPhone ^[1].

Les conseils de Trust Wallet visent le téléphone, pas l'application. Dans un billet daté du 6 novembre, l'entreprise indique que deux kits d'exploitation, Coruna et DarkSword, ciblent les iPhone sous d'anciennes versions d'iOS, Coruna sur iOS 13.0 à 17.2.1 et DarkSword sur iOS 18.4 à 18.7, et que « les appareils sous la dernière version d'iOS n'en sont pas affectés » ^[2]. Le 11 novembre, elle a ajouté que ses utilisateurs iOS ne sont pas concernés par une autre faille appelée worse_query et qu'elle ne stocke jamais les phrases de récupération ni les clés privées en clair ^[8].

La réponse honnête est donc : rien ne prouve que l'application elle-même soit compromise, mais un portefeuille n'est jamais plus sûr que l'appareil et la phrase de récupération qui le portent. Pour la chronologie complète des vols, consultez le guide Pouyam Trust Wallet Hacked? How to Protect Your USDT on TRON. Ce guide traite la question suivante que se posent de nombreux lecteurs : révoquer les approbations de jetons les protège-t-il, et comment faire.

Qu'est-ce qu'une approbation de jeton sur TRON ?

Une approbation de jeton est une autorisation que vous signez et qui permet à un contrat intelligent de sortir un jeton TRC-20, comme l'USDT, de votre portefeuille jusqu'à une limite fixée, sans vous redemander ^[4][6]. Techniquement, votre portefeuille appelle approve(spender, amount) sur le contrat du jeton ; le contrat approuvé peut ensuite appeler transferFrom pour prendre des jetons dans cette limite ^[4].

Les approbations sont normales. Plateformes d'échange, applications de swap et de prêt sur TRON les demandent pour déplacer vos jetons quand vous tradez ^[5]. Le risque est qu'elles restent actives après que vous avez quitté l'application. Trust Wallet souligne que la plupart des utilisateurs ignorent que les approbations restent valables indéfiniment et qu'un contrat qui « devient malveillant plus tard » peut vider des jetons « sans autre confirmation » ^[3].

Beaucoup d'applications demandent un montant illimité pour vous éviter d'approuver à nouveau. Le centre d'assistance de TronLink avertit que ces approbations permettent à d'autres adresses et contrats de transférer des actifs « sans notification préalable », et conseille de vérifier qu'un produit est open source et audité avant de l'approuver ^[5]. TRON Guide décrit l'approbation illimitée comme celle où la limite est fixée à la valeur maximale possible, et qualifie ces approbations de plus grande surface d'attaque sur TRON ^[6].

Une approbation est aussi liée à un seul jeton. Révoquer votre approbation USDT pour une application n'annule pas celle donnée à la même application pour un autre jeton : chacune se vérifie et se révoque séparément ^[10].

Les approbations de jetons ont-elles causé les vols d'USDT sur TRON ?

Rien ne l'indique : selon Bitquery, les voleurs de la récente vague TRON détenaient déjà les clés des portefeuilles, ce qui diffère d'un site drainer qui vous pousse à céder vos jetons par signature ^[1]. C'est cette différence qui détermine ce qui vous protège.

Bitquery décrit le schéma qui lui a permis de trouver les victimes. Un portefeuille de frais, ou un collecteur qu'il finançait, envoyait quelques TRX à l'adresse de la victime pour payer les frais du réseau ; quelques secondes plus tard, tout le solde USDT partait en un seul paiement, puis le TRX restant suivait ^[1]. Dans un cas, le 25 octobre, 18 TRX sont arrivés et 519093 USDT sont partis 18 secondes plus tard ^[1]. Bitquery lit cette séquence comme l'œuvre de quelqu'un qui détenait déjà la clé privée ou la phrase de récupération ^[1]. Coindaro, rendant compte des premiers résultats de Bitquery, relève que Bitquery ne comptait un portefeuille comme victime que si un seul paiement vidait tout son USDT, « le schéma d'un vol par quelqu'un qui détient la clé privée » ^[7].

Un vol par approbation se présente autrement : le contrat de l'attaquant tire les jetons via transferFrom et paie lui-même ses frais, si bien que le portefeuille de la victime n'a pas besoin de TRX ^[4]. Le rapport de Bitquery le dit clairement : « Ici, le voleur détient déjà les clés » ^[1].

Bitquery montre aussi pourquoi cela compte. Un portefeuille a été vidé deux fois : il a perdu 19069 USDT le 26 octobre puis, après l'arrivée de nouveaux fonds, 4140 USDT de plus le 10 novembre ^[1]. « Un portefeuille vidé reste ouvert aux voleurs tant que sa phrase de récupération » est utilisée, indique le rapport ^[1]. Révoquer des approbations n'aurait pas fermé cette porte. Cela reste une bonne hygiène, et la liste de sécurité de Trust Wallet inclut la révocation des approbations inconnues ^[9], mais c'est une deuxième étape, pas le remède à une clé volée.

Comment révoquer les approbations de jetons dans Trust Wallet ?

Ouvrez la dernière version de Trust Wallet, sélectionnez l'onglet Approvals dans la section des actifs, passez la liste en revue et touchez Revoke à côté de toute application en laquelle vous n'avez plus confiance ^[3]. Selon Trust Wallet, la fonction enregistre les approbations quand vous les accordez, montre à quels jetons chaque application a accès et dans quelle mesure, signale les contrats liés à des arnaques connues et supprime l'approbation sur la blockchain quand vous la révoquez ^[3].

1. Mettez d'abord Trust Wallet à jour depuis l'App Store ou Google Play ; les étapes de Trust Wallet précisent la dernière version ^[3].
2. Sur l'écran d'accueil, ouvrez l'onglet Approvals dans la section des actifs ^[3].
3. Vérifiez chaque entrée : le jeton, l'application ou le contrat, et la limite. Surveillez surtout l'USDT et les approbations illimitées.
4. Touchez Revoke pour tout ce que vous ne reconnaissez pas, n'utilisez plus ou que le portefeuille signale comme risqué, puis confirmez la transaction ^[3].
5. Gardez un peu de TRX dans le portefeuille : sur TRON, une révocation est une transaction qui consomme de la bandwidth et de l'Energy ^[4].

Une limite : l'annonce de Trust Wallet ne dit pas quelles blockchains l'onglet Approvals couvre ^[3][10]. Si vos approbations TRON n'y apparaissent pas, ou si vous voulez un second avis, utilisez TronScan, qui liste toutes les approbations accordées par une adresse, comme le décrit la section suivante ^[4][6].

La révocation ne porte que sur les approbations. Elle ne peut pas annuler un transfert déjà effectué ni protéger un portefeuille dont quelqu'un d'autre connaît la phrase de récupération ^[10].

Comment révoquer les approbations TRC-20 sur TronScan ?

Recherchez votre adresse TRON sur TronScan, ouvrez la liste des approbations sur la page du compte, puis annulez chaque approbation indésirable et signez la transaction dans votre portefeuille ; la limite passe alors à zéro ^[4][6]. TronScan a ajouté cette fonction d'annulation le 14 mai 2021 et affiche aussi un historique des modifications d'approbation ^[4].

1. Tapez vous-même tronscan.org dans le navigateur ; ne suivez pas un lien venu d'un chat ou d'une publicité ^[10].
2. Collez votre adresse, qui commence par T, dans la barre de recherche ^[6].
3. Sur la page du compte, ouvrez l'onglet des approbations, nommé Approval ou List of Approval selon la mise en page ^[4][6].
4. Pour chaque entrée, regardez le jeton, le contrat qui a reçu l'approbation et le montant. Traitez en priorité les contrats inconnus ou non vérifiés et les approbations illimitées ; TRON Guide conseille de révoquer un contrat que vous ne pouvez pas identifier avec certitude ^[6].
5. Cliquez sur Cancel ou Revoke dans la ligne et connectez un portefeuille compatible, comme TronLink, pour cette adresse ^[6].
6. Lisez l'écran de signature : il doit appeler approve sur le contrat du jeton avec un montant de 0. S'il demande autre chose, arrêtez ^[10].
7. Actualisez la liste après confirmation ; sur TRON, cela prend généralement quelques secondes ^[6].

Les utilisateurs de TronLink peuvent faire de même dans le portefeuille : le centre d'assistance de TronLink indique Wallet Management, puis Approval Management, pour voir ou annuler les approbations ^[5]. Chaque annulation, et toute nouvelle approbation ultérieure, consomme de la bandwidth et de l'Energy ; sans Energy propre, le réseau brûle du TRX pour la payer ^[4].

Quelles approbations de jetons faut-il révoquer ?

Révoquez toute approbation que vous ne savez pas expliquer, toute approbation illimitée accordée à une application que vous n'utilisez plus et tout ce qui a été accordé à un site d'airdrop, de « vérification » ou de location d'Energy ^[6][10]. Ne gardez que les approbations des services que vous utilisez et auxquels vous faites confiance, et réapprouvez si vous revenez vers l'un d'eux.

Le tableau ci-dessous résume les cas courants. Un test simple aide : si vous ne savez pas dire ce qu'est une adresse autorisée, elle ne doit pas pouvoir dépenser votre USDT ^[10].

Méfiez-vous des jetons imitations. Les approbations sur un faux « USDT » qui n'est pas le vrai contrat Tether ne peuvent pas toucher votre véritable USDT ^[10]. Le vrai contrat USDT sur TRON est TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t ; vérifiez cette adresse sur la page du jeton dans TronScan avant d'agir.

Bitquery a trouvé une ruse voisine dans les données des vols : plus de la moitié des adresses ayant payé un collecteur étaient des robots envoyant des montants infimes et de faux jetons depuis des adresses ressemblantes, une méthode appelée empoisonnement d'adresse, dans l'espoir que quelqu'un copie plus tard la mauvaise adresse ^[1]. Copiez toujours une adresse de destination depuis une source fiable, jamais depuis votre historique de transactions.

Que faire si ma phrase de récupération a pu être exposée ?

Considérez le portefeuille comme compromis : créez un nouveau portefeuille avec une nouvelle phrase de récupération sur un appareil à jour et sain, transférez ce qui reste et cessez d'utiliser l'ancien ^[1][10]. Selon Bitquery, quiconque détient la phrase de récupération détient l'argent, sans mot de passe ni accès au téléphone ^[1].

1. Mettez d'abord le téléphone à jour. Trust Wallet demande aux utilisateurs d'iPhone d'installer la dernière version d'iOS disponible pour leur appareil et d'activer Lockdown Mode si la mise à jour est impossible dans l'immédiat ^[2].
2. Créez le nouveau portefeuille et notez la nouvelle phrase de récupération sur papier. Ne la gardez pas dans des photos, captures d'écran ou notes, que les kits Coruna et DarkSword fouillent, selon Trust Wallet ^[2].
3. Envoyez un petit montant de test à la nouvelle adresse, puis transférez le reste. Gardez assez de TRX pour les frais.
4. Laissez l'ancien portefeuille vide. Si de nouveaux fonds y arrivent, les voleurs peuvent les reprendre, comme ce fut le cas pour un portefeuille suivi par Bitquery ^[1].
5. Si quelque chose semble anormal, contactez l'assistance de Trust Wallet avec l'adresse du portefeuille et le hash de la transaction ; Trust Wallet affirme ne jamais demander votre phrase de récupération et ne jamais écrire en premier ^[2].

Envisagez un portefeuille matériel pour les soldes importants, acheté directement auprès du fabricant. Si des fonds ont déjà été volés, signalez-le vite à Tether et à toute plateforme où l'argent est arrivé, car Bitquery note que l'USDT ne peut être gelé qu'avant d'être déplacé à nouveau ^[1]. Ignorez quiconque propose des services de récupération payants. Ceci est un conseil de sécurité général, pas un conseil financier.

Comment repérer un faux vérificateur d'approbations ?

N'utilisez que TronScan, TronLink ou l'onglet Approvals de votre propre portefeuille, en tapant l'adresse vous-même, car les faux sites de « vérification d'approbations » sont une ruse d'hameçonnage connue où le bouton Revoke signe une nouvelle approbation ^[10]. Une vraie révocation met toujours le montant à zéro.

• Aucun véritable outil de révocation ne demande votre phrase de récupération ou votre clé privée. Ne les collez jamais dans un site « tout révoquer ».
• Avant de signer, lisez la fonction et le montant : approve avec 0 est une révocation ; approve avec un grand nombre, un transfert ou un changement de permissions n'en est pas une ^[10].
• Méfiez-vous des sites de location d'« Energy bon marché » et d'airdrops : selon TronTransfer, certains vous demandent d'autoriser une location dont la signature est en réalité une approbation USDT illimitée ^[10].
• Vérifiez aussi les permissions du compte sur TronScan : certaines arnaques TRON changent qui contrôle une adresse, ce que la révocation des approbations ne défait pas ^[10].
• Ignorez les messages directs de quiconque se présente comme l'assistance de Trust Wallet ; Trust Wallet dit ne jamais écrire en premier ^[2].

Si vous avez perdu de l'argent au profit d'un faux agent d'assistance ou d'un service de récupération, signalez-le à la police ou à l'unité de cybercriminalité de votre pays et conservez une copie. Pour le contexte plus large de la sécurité de l'iPhone, lisez What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer, qui explique pourquoi la sécurité du téléphone protège désormais plus d'un compte.