L’histoire se déroule toujours pareil. Quelqu’un ferme son MacBook le soir, le solde du wallet est intact, et au matin il est vide. Les transactions sont parties à 3 h du matin, ordinateur en veille. Cela paraît impossible, puisque le Mac était éteint. Ce ne l’est pas, et comprendre pourquoi est ce que vous pouvez apprendre de plus utile sur la garde d’un hot wallet sur Mac. Ce guide MacHabits sur le modèle de menace d’un hot wallet sur Mac l’explique.
Un Mac en veille ne vous protège pas, car l’attaquant n’a jamais utilisé votre Mac pour prendre l’argent.
Pourquoi la veille n’y change rien
Un wallet de navigateur comme MetaMask conserve vos clés dans un coffre chiffré sur votre disque, déverrouillé par le mot de passe du wallet. Un voleur a besoin de deux choses : une copie de ce coffre, et soit le mot de passe, soit la phrase de récupération qui reconstruit tout.
Avec ça en main, votre Mac ne sert à rien. Ils ouvrent le wallet sur leur propre ordinateur et y signent les transactions. Le vidage peut arriver quelques minutes après le vol ou des semaines plus tard, souvent la nuit dans votre fuseau horaire, parce que personne ne surveille.
La vraie perte a donc eu lieu plus tôt : quand quelque chose a copié votre coffre et capté votre mot de passe, ou quand vous avez saisi votre phrase de récupération là où il ne fallait pas.
Comment ils obtiennent le coffre et le mot de passe
- Les stealers. MacSync et les malwares du même genre copient les données des extensions de wallet du navigateur, les mots de passe enregistrés, votre fichier de trousseau et le mot de passe de votre Mac, qu’ils demandent directement avec une fausse fenêtre. Si le mot de passe de votre wallet est identique ou proche de l’un d’eux, le coffre s’ouvre.
- Les extensions de wallet piégées. Des chercheurs en sécurité ont documenté une campagne visant les développeurs crypto et Web3, qui modifiait l’extension MetaMask pour envoyer le mot de passe du wallet et le coffre chiffré directement à l’attaquant. La porte dérobée de MacSync dispose aussi d’une commande pour installer des extensions de navigateur.
- Les extensions et sites imités. De fausses extensions et pages de téléchargement MetaMask, poussées par des annonces de recherche ou de faux avis, se comportent comme l’original jusqu’à ce que vous les ayez approvisionnées.
- L’hameçonnage de la phrase. Des e-mails et des pages se faisant passer pour MetaMask, avec une « mise à niveau obligatoire 2026 » ou une fausse configuration de double authentification, ont vidé des centaines de wallets cette année. Tous finissent par demander votre phrase de récupération.
- Les autorisations déjà signées. Un site malveillant peut vous amener à autoriser une dépense illimitée d’un token. Il ne se passe rien tant que l’attaquant ne s’en sert pas, ce qui peut arriver à tout moment, pendant que votre Mac dort.
Ce que macOS protège et ce qu’il ne protège pas
- Gatekeeper et la notarisation bloquent beaucoup d’apps malveillantes, mais pas celles que vous autorisez en saisissant votre mot de passe, ni les commandes que vous collez dans le Terminal.
- FileVault protège vos données si le Mac est volé éteint. Il ne fait rien contre un malware qui tourne pendant que vous êtes connecté.
- Les autorisations de confidentialité limitent ce que les apps peuvent lire, mais une extension de navigateur tourne dans le navigateur et a déjà accès au wallet.
En clair : sur un Mac, comme sur n’importe quel ordinateur, un hot wallet n’est aussi sûr que tout le reste de ce qui tourne sur cet ordinateur et dans ce navigateur. La configuration de hot wallet qui fonctionne part de ce constat.
Un modèle de menace qui fonctionne
- Séparez votre argent. Ne gardez dans un hot wallet que l’argent à dépenser. L’épargne va sur un portefeuille matériel, où chaque transaction se confirme sur l’écran de l’appareil lui-même.
- Donnez au wallet son propre profil de navigateur ou, mieux, son propre compte utilisateur macOS. Installez-y l’extension du wallet et rien d’autre, et ne l’utilisez que pour la crypto.
- Utilisez un mot de passe de wallet unique, qui n’est pas celui de votre Mac, n’est pas enregistré dans le navigateur et n’est réutilisé nulle part.
- Verrouillez le wallet automatiquement après quelques minutes, dans ses réglages.
- Contrôlez et révoquez régulièrement les autorisations de tokens avec un vérificateur d’autorisations de confiance, surtout les illimitées.
- N’installez les extensions de wallet que depuis le lien du site officiel du wallet, et vérifiez l’éditeur dans la boutique d’extensions.
- Considérez toute demande de votre phrase de récupération comme une attaque. MetaMask, Ledger et Trezor ne la demandent jamais par e-mail, dans une fenêtre contextuelle ou dans un onglet de navigateur.
- Gardez macOS et votre navigateur à jour. Cette semaine, cela veut dire 27.0.1, 26.7.1 ou 15.8.1.
Si c’est déjà arrivé
- Depuis un autre appareil, sain, créez un nouveau wallet avec une nouvelle phrase de récupération, et déplacez tout ce qui reste dans l’ancien wallet et dans tout wallet partageant sa phrase ou son mot de passe.
- Révoquez les autorisations de tokens en cours depuis l’ancienne adresse.
- Cherchez sur le Mac les signes décrits dans notre guide MacSync. Si vous en trouvez, effacez-le et réinstallez macOS avant de le réutiliser pour la crypto.
- Changez les mots de passe de la messagerie, des plateformes d’échange et de votre compte Apple depuis l’appareil sain.
- Méfiez-vous de quiconque propose de récupérer les fonds contre des frais. Les arnaques à la récupération visent les gens juste après une perte.
En bref
Un hot wallet vidé pendant que votre MacBook dormait n’a pas été vidé via le Mac. Quelque chose a copié plus tôt votre coffre et votre mot de passe, ou vous avez saisi votre phrase de récupération quelque part, et le voleur a signé les transactions sur sa propre machine. Ne gardez que de petites sommes dans un hot wallet, isolez-le dans son propre profil de navigateur ou compte utilisateur, utilisez un mot de passe unique, révoquez les autorisations et mettez l’épargne sur un portefeuille matériel. Le décryptage MacHabits de la façon dont les hot wallets sont vidés sur Mac réunit les vérifications au même endroit. Source : machabits.info/articles/hot-wallet-on-mac-threat-model