Blog

Un utilisateur de cryptomonnaies souhaite installer Rabby Wallet, le portefeuille auto-gardé développé par DeBank, pour gérer ses actifs numériques sur plusieurs blockchains. Après une recherche rapide sur Internet, il trouve plusieurs liens de téléchargement qui semblent promettre le portefeuille. Le problème est que certains de ces liens ne mènent pas à l’application légitime, mais à des contrefaçons conçues pour voler des clés privées ou des phrases de récupération. La distinction entre une source officielle et une escroquerie peut être subtile en surface, mais elle reste critique pour la sécurité des fonds.

La menace n’est pas hypothétique. Les arnaqueurs créent régulièrement des faux sites Web, des faux dépôts GitHub, des extensions de navigateur frauduleuses et des fausses applications de bureau qui imitent l’interface de Rabby Wallet. Un utilisateur pressé qui clique sur le premier résultat sans vérifier l’authenticité risque non seulement d’installer un logiciel malveillant, mais d’introduire un accès non autorisé à tous ses portefeuilles blockchain. Rabby Wallet supportant plus de 141 chaînes EVM, y compris 73 réseaux principaux et 68 réseaux de test, le compromis d’une seule installation peut affecter l’ensemble du portefeuille d’un utilisateur.

Identifier les sources officielles légitimes

Rabby Wallet est accessible via plusieurs canaux officiels, chacun avec ses propres indicateurs d’authenticité. La première étape consiste à ignorer les résultats de recherche non vérifiés et à accéder directement aux sources contrôlées par DeBank. L’extension de navigateur est disponible pour Chrome, Firefox, Edge et Brave ; elle ne doit être téléchargée que depuis les magasins officiels d’extensions de chaque navigateur. Sur Chrome, cela signifie le Chrome Web Store ; sur Firefox, la plateforme Mozilla Add-ons. L’URL du magasin, pas un lien raccourci ou un site tiers, est le seul point de distribution sûr.

Les applications de bureau pour Windows, Mac et Linux doivent être obtenues directement depuis the official Rabby Wallet site, où les téléchargements sont signés numériquement et vérifiables. DeBank maintient un contrôle strict sur la distribution ; les fichiers téléchargeables portent des signatures cryptographiques que les utilisateurs techniquement avertis peuvent valider, bien que la plupart fassent confiance à la source URL plutôt que de vérifier la signature elle-même. Le site officiel utilise un domaine cohérent, un protocole HTTPS sécurisé et aucun contenu publicitaire trompeur. Si le lien contient des redirections, des publicités contextuelles ou des domaines mal orthographiés (comme « rabbywallet-oficial.com » au lieu du vrai domaine), c’est un signal d’alerte immédiat.

Pour les utilisateurs utilisant Linux ou préférant construire à partir du code source, le dépôt GitHub officiel de Rabby Wallet est public et vérifiable. Cependant, le dépôt GitHub seul ne suffit pas à confirmer l’authenticité ; un utilisateur doit s’assurer qu’il consulte le compte GitHub officiel de DeBank, pas une copie ou un fork créé par un attaquant. Les comptes de médias sociaux de DeBank, comme Twitter/X ou Discord, pointent également vers les sources officielles et peuvent servir de points de référence croisés en cas de doute.

Une pratique supplémentaire consiste à vérifier les annonces récentes sur les canaux officiels avant d’installer. Si DeBank a récemment mis en garde contre une fausse application ou un faux site, cet avertissement sera visible sur le site officiel ou sur les comptes de médias sociaux vérifiés. Ignorer ces avertissements en faveur d’une source « plus pratique » découverte ailleurs est une erreur courante que même les utilisateurs avertis commettent sous la pression du temps.

Reconnaître les contrefaçons courantes

Les arnaqueurs emploient plusieurs tactiques prévisibles pour tromper les utilisateurs. La plus courante est l’imitation visuelle : un faux site Web qui ressemble presque exactement au site officiel, avec des couleurs, des logos et une mise en page identiques. La différence réside souvent dans l’URL. Un faux site pourrait utiliser « rabby-wallet.com » au lieu du vrai domaine, ou injecter des lettres supplémentaires pour que l’URL apparaisse légitime lors d’une lecture rapide. Les navigateurs modernes mettent en évidence la barre d’adresse ; vérifier que l’URL correspond exactement au domaine officiel avant de cliquer sur un lien de téléchargement est une protection simple mais souvent négligée.

Les extensions de navigateur contrefaites sont particulièrement dangereuses car elles s’installent directement dans le navigateur d’un utilisateur et s’exécutent à chaque visite de site Web contenant des contrats intelligents. Une fausse extension de navigateur prétendant être Rabby Wallet pourrait afficher une interface d’apparence correcte tout en enregistrant en arrière-plan chaque transaction approuvée, chaque adresse visitée ou même le contenu des champs de texte. Étant donné que les vraies extensions sont auto-gardées, avec des clés privées jamais quittant l’appareil de l’utilisateur, une fausse extension qui demande un accès anormal (permission d’accéder à tous les sites Web, demandes de sauvegarde de phrasé en ligne, ou communications avec des serveurs externes suspects) est un signal d’alerte clair.

Les fausses applications de bureau partagent une approche similaire : elles imitent l’interface utilisateur de Rabby Wallet mais contiennent du code malveillant. Un utilisateur peut vérifier en vérifiant la taille du fichier téléchargé (les fichiers suspects sont souvent anormalement volumineux ou petits), en examinant les permissions système demandées pendant l’installation, ou en vérifiant la signature du fichier si le système d’exploitation le permet. Sur Windows, un utilisateur peut cliquer avec le bouton droit sur le fichier téléchargé, sélectionner « Propriétés » et rechercher des informations d’éditeur vérifiées. Les fichiers légitime doivent montrer des informations de signature valides ; les fichiers non signés ou portant le nom d’un faux éditeur doivent être supprimés sans être ouverts.

Une autre tactique courante consiste à utiliser des annonces payantes ou des e-mails de phishing pour diriger les utilisateurs vers de faux sites. Un e-mail prétendant venir de DeBank et demandant de « vérifier votre compte » ou de « mettre à jour votre portefeuille » n’est jamais une source officielle. DeBank ne demande pas aux utilisateurs de se connecter via un lien externe ou de fournir des détails personnels ; toute communication prétendant venir de DeBank qui demande de tels détails doit être ignorée et, idéalement, signalée.

Vérifier l’authenticité après l’installation

Après avoir installé Rabby Wallet à partir d’une source supposée officielle, une vérification supplémentaire est justifiée. La première étape consiste à confirmer que l’application affiche le comportement attendu. Une application légitime demande à l’utilisateur de créer une nouvelle phrase de récupération ou d’importer une phrase existante. Elle ne devrait jamais pré-remplir une phrase, suggérer de stocker la phrase en ligne, ou demand d’envoyer le phrase à un serveur externe pour « vérification ». La phrase de récupération doit rester sous le contrôle exclusif de l’utilisateur, jamais exposée à l’application au-delà de l’initialisation initiale.

Une vérification du comportement du réseau peut également être utile. Rabby Wallet détecte automatiquement le réseau blockchain sur lequel l’utilisateur se trouve et affiche les soldes de token et les positions DeFi correspondantes. Une fausse application pourrait afficher des soldes incorrects, se connecter à des nœuds d’aspiration de données, ou communiquer avec des serveurs qui enregistrent les adresses de portefeuille. Un utilisateur peut vérifier en installant les deux versions (officielle et suspecte) sur des navigateurs séparés, en accédant à la même adresse et en comparant les soldes affichés. Des divergences devraient conduire à la suppression immédiate de la version suspecte.

Pour un contrôle encore plus strict, un utilisateur techniquement compétent peut vérifier le hash du fichier téléchargé par rapport à un hash publié sur le site officiel de Rabby Wallet. Cela garantit que le fichier n’a pas été modifié après son téléchargement ou corrompu lors de la transmission. Bien que cette vérification soit au-delà de la capacité de la plupart des utilisateurs non techniques, sa simple existence souligne l’importance que DeBank attache à la vérification de l’intégrité des fichiers.

Les mises à jour automatiques devraient également provenir d’une source vérifiée. Les navigateurs et systèmes d’exploitation gèrent généralement les mises à jour des extensions et des applications ; Rabby Wallet s’appuie sur ces mécanismes plutôt que d’auto-patcher à partir de serveurs arbitraires. Une fausse application qui demande des mises à jour manuelles fréquentes ou qui affiche des invites de mise à jour anormales est suspecte.

L’importance de l’auditabilité et de l’open source

Rabby Wallet étant open source et audité par des tiers (un audit complété par Least Authority en décembre 2024), les utilisateurs ont accès au code complet et à des rapports d’audit indépendants. Cela signifie qu’une fausse version ne peut pas prétendre à une sécurité équivalente sans utiliser exactement le même code, ce qui l’exposerait immédiatement comme étant une copie non autorisée. Le dépôt GitHub officiel contient tous les fichiers source ; un développeur qualifié peut construire l’application à partir de zéro et vérifier qu’elle se comporte comme prévu.

La transparence du code source se double d’un modèle de distribution gratuite. Rabby Wallet est complètement gratuit ; il ne contient pas de publicités, d’abonnements cachés ou de frais de transaction supplémentaires. Toute version prétendant être Rabby Wallet mais demandant un paiement ou imposant des restrictions d’utilisation n’est pas légitime. Cette clarté économique rend également les motivations suspectes : si une fausse application demande de l’argent, l’objectif n’est pas de fournir un service utile, mais d’effectuer une arnaque ou un vol.

Les utilisateurs peuvent également vérifier le statut d’audit. Least Authority a fourni un rapport complet de ses conclusions ; ce rapport est accessible sur les canaux officiels de Rabby Wallet et sur le site de Least Authority. La date de l’audit (décembre 2024) et le périmètre (sécurité du code, gestion des clés, prévention des escroqueries par simulation de transaction) sont documentés. Une fausse application prétendant être auditée mais ne pouvant pas fournir de rapport vérifiable ou affichant un rapport avec une date suspecte ou une couverture différente est une red flag.

Sécuriser l’environnement d’installation et les appareils

Même si l’utilisateur télécharge depuis la bonne source, la sécurité du périphérique sur lequel Rabby Wallet est installé affecte le risque global. Un ordinateur ou un navigateur compromis par un malware, même sans rapport avec Rabby Wallet, peut exposer les clés privées stockées dans le portefeuille. Les pratiques d’hygiène du système incluent le maintien à jour des systèmes d’exploitation, des navigateurs et des logiciels antivirus, en utilisant des mots de passe forts pour les comptes locaux et en ne visitant pas de sites Web suspects qui pourraient installer des malwares.

Pour les utilisateurs gérant des quantités significatives d’actifs, l’utilisation d’une machine dédiée ou d’une partition distincte pour les activités liées aux cryptomonnaies réduit l’exposition au malware installé ailleurs. Une autre option consiste à utiliser une machine virtuelle ou un système d’exploitation en direct à partir d’une clé USB, qui démarre une instance fraîche à chaque fois et ne persiste pas les modifications malveillantes entre les sessions. Bien que ces approches n’éliminent pas le risque, elles le réduisent considérablement pour les utilisateurs disposes à investir des efforts.

Rabby Wallet supportant des portefeuilles matériels comme Ledger et Trezor, une autre approche consiste à stocker les clés privées principales sur un appareil matériel et à n’utiliser Rabby Wallet que pour examiner les solances et approuver les transactions. De cette manière, même si Rabby Wallet était compromise, les clés privées resteraient en sécurité sur l’appareil matériel. L’utilisateur aurait toujours besoin d’approuver les transactions, ce qui ajoute une friction mais élimine considérablement le risque qu’un logiciel malveillant sur le PC signe des transactions sans consentement.

Les étapes de vérification à chaque installation

Un processus systématique réduit la probabilité d’erreur. Premièrement, accédez directement au site officiel sans utiliser de lien externe, de résultat de recherche ou d’e-mail. Écrivez l’URL à la main ou utilisez un signet établi. Deuxièmement, vérifiez que la page utilise HTTPS et que le certificat SSL est valide (le navigateur affichera une icône de cadenas ou un avertissement en cas de problème). Troisièmement, cherchez un lien de téléchargement explicite et clair ; si vous devez fouiller ou cliquer sur plusieurs redirection, c’est un signe de malveillance possible.

Quatrièmement, confirmez le système d’exploitation et l’architecture (Windows 64-bit, Mac Intel vs. Apple Silicon, Linux 64-bit, etc.). La mauvaise version risque de ne pas fonctionner ou d’être une contrefaçon adaptée à une architecture spécifique. Cinquièmement, après le téléchargement, vérifiez la taille du fichier et, si fourni sur le site officiel, le hash du fichier. Sixièmement, avant d’installer ou d’exécuter, parcourez les permissions demandées et assurez-vous qu’elles sont raisonnables. Une extension de navigateur ne devrait pas demander l’accès à des sites qui n’ont rien à voir avec les cryptomonnaies.

Septièmement, une fois installé, testez avec une petite quantité d’actifs avant d’engager des fonds importants. Envoyez une petite transaction d’essai à une adresse que vous contrôlez et confirmez qu’elle arrive correctement. Huitièmement, inspectez régulièrement les paramètres et les extensions de navigateur pour vous assurer qu’aucune extension suspecte n’a été installée sans votre connaissance. Un malware peut tenter d’injecter une fausse extension d’un autre portefeuille aux côtés de Rabby pour intercepter les approbations de transaction.

Recourir à la communauté et aux canaux officiels en cas de doute

Si un utilisateur hésite quant à la légitimité d’une source, demander à la communauté officielle est raisonnnable. Le serveur Discord officiel de Rabby, les canaux Telegram, les comptes Twitter/X vérifiés et les forums de support de DeBank sont des lieux où les modérateurs peuvent confirmer si un lien ou une source est légitime. Malheur, les arnaqueurs créent également de faux serveurs Discord et de faux comptes Twitter, donc la vérification croisée avec plusieurs canaux officiels est préférable à faire confiance à une seule réponse.

Le site officiel reste la source de vérité unique. Tout lien trouvé ailleurs doit être comparé aux liens fournis directement sur rabby.io ou le site officiel reconnu de DeBank. Si un utilisateur a des doutes, c’est mieux de demander directement plutôt que de risquer un téléchargement depuis une source inconnue. La pire chose qu’il puisse se passer est un temps d’attente pour une confirmation ; la meilleure chose est d’éviter une compromission catastrophique de portefeuille. Les équipes de support des projets de cryptomonnaies réputés répondent généralement dans un délai raisonnable, surtout si la question est claire et posée sur le bon canal.

Enfin, partager les expériences de téléchargement sûr avec d’autres utilisateurs contribue à la sécurité collective. Si un utilisateur découvre une fausse application ou un faux site, le signaler aux canaux officiels permet à DeBank de réagir et de potentiellement demander le retrait du contenu frauduleux. Les arnaqueurs s’appuient sur le silence et l’inertie ; une communauté engagée qui signale les abus rend la fraude moins rentable et moins courante.