Rabby Wallet Extension : détection automatique de réseau – comment les arnaqueurs ajoutent des chaînes frauduleuses et comment vous protéger

Un utilisateur installe une extension de navigateur réputée, elle détecte automatiquement les réseaux disponibles et propose une connexion transparente à plusieurs blockchains EVM. Quelques jours plus tard, il constate que sa wallet affiche soudainement une chaîne inconnue, un token qu’il ne possède pas, ou une demande d’approbation suspecte pour un contrat qu’il n’a jamais touché. La détection automatique de réseau, présentée comme une commodité, est devenue un vecteur d’attaque. Comment une fonctionnalité de sécurité peut-elle aussi devenir une faille ?

Rabby Wallet, développée par DeBank, bénéficie d’une bonne réputation parmi les utilisateurs de cryptomonnaie grâce à sa simulation de transactions et ses alertes de sécurité proactives. Cependant, l’automatisation de la détection réseau pose une question fondamentale : à quel moment le gain de commodité crée-t-il une vulnérabilité exploitable ? Les arnaqueurs n’ont pas attendu la réponse officielle. Ils ont commencé à injecter des chaînes RPC malveillantes, à usurper des identités de validateurs, et à exploiter le fait que beaucoup d’utilisateurs ne vérifieraient jamais manuellement chaque chaîne ajoutée à leur portefeuille. Comprendre ce mécanisme n’est pas une théorie académique ; c’est une nécessité pratique pour quiconque utilise une rabby wallet extension / rabby wallet download / rabby wallet aujourd’hui.

Comment fonctionne la détection automatique de réseau dans Rabby Wallet

Rabby Wallet support plus de 141 chaînes EVM préconfigurées, parmi lesquelles Ethereum, Polygon, Arbitrum, Optimism, et d’autres encore. Cette infrastructure repose sur une détection automatique de réseau qui, en théorie, devrait simplifier l’expérience utilisateur. Au lieu de demander à chaque utilisateur de configurer manuellement les paramètres RPC (Remote Procedure Call), de copier des identifiants de chaîne, et de vérifier des URL de nœuds, l’extension rabby wallet analyse le contexte du site visité, détecte les appels Ethereum compatibles EVM, et propose automatiquement la chaîne appropriée.

Le processus est élégant sur le papier. Quand un dApp (application décentralisée) demande une connexion à une chaîne spécifique via l’objet window.ethereum, la wallet reçoit un signal. Elle identifie l’ID de la chaîne demandée, le compare avec sa liste de chaînes connues, et prépare la réponse. Si le réseau est déjà configuré, la connexion s’établit sans friction. Si le réseau n’existe pas dans la configuration prédéfinie, mais que son ID et son URL RPC semblent légitimes, l’extension peut proposer de l’ajouter dynamiquement.

C’est à ce stade que la vulnérabilité se manifeste. La détection ne se limite pas à reconnaître les dApps légitimes. Elle accepte aussi les demandes de chaînes fabriquées, tant que le format respecte les normes EVM. Un site malveillant peut demander l’ajout d’une chaîne fictive avec un faux RPC, un nom trompeur (par exemple, “Ethereum Mainnet (Secure)”), et une URL qui ressemble à celle d’un validateur réputé mais qui redirige en réalité vers un serveur contrôlé par des arnaqueurs. La plupart des utilisateurs, ne possédant pas l’expertise technique pour valider l’URL RPC ou l’ID de la chaîne, accepteront simplement la demande.

Rabby Wallet offre des alertes de sécurité pour de nombreux scénarios, mais la détection d’une chaîne RPC malveillante n’est pas toujours flagrante. Un faux RPC ne ressemble pas à du code malveillant exécuté immédiatement. C’est une redirection silencieuse vers un serveur imposteur. L’utilisateur croit communiquer avec Ethereum, Polygon, ou une autre chaîne légitime, alors qu’il envoie ses transactions à une infrastructure contrôlée par des arnaqueurs qui peuvent bloquer, modifier, ou mémoriser ces transactions.

Exemple réel : la chaîne « Ethereum Mainnet (Secure) » et les faux validateurs

Un scénario courant commence par une annonce sur Discord, Twitter, ou un site de phishing imitant un exchange réputé. L’annonce promet un airdrop, une revendication de token, ou une migration urgente de fonds. Elle dirige l’utilisateur vers un dApp qui affiche un contrat intelligent apparemment légitime, complet avec une adresse de contrat copié sur Etherscan ou une autre source publique. Mais quand l’utilisateur connecte sa wallet, le dApp demande une chaîne qui s’appelle « Ethereum Mainnet (Secure) » avec un ID de chaîne personnalisé et une URL RPC trompeuse.

La plupart des utilisateurs n’examineront pas l’URL RPC, surtout si elle contient des noms familiers comme « ethereum-rpc.io » ou « eth-node.secure ». Ils verront le mot « Ethereum » et le mot « Secure », et supposeront que c’est un service légitime auquel Rabby Wallet les connecte. En réalité, l’URL pointe vers un serveur appartenant aux arnaqueurs. Une fois que l’utilisateur approuve l’ajout de cette chaîne dans son extension rabby wallet, chaque transaction qu’il exécute est capturée par ce serveur imposteur.

Un scénario encore plus élaboré implique une chaîne avec un ID qui imite presque celui d’Ethereum. Ethereum Mainnet a l’ID 1. Les arnaqueurs peuvent utiliser l’ID 11, 10, 100, ou tout autre chiffre qui pourrait passer inaperçu en lecture rapide. Rabby Wallet affiche l’ID, mais peu d’utilisateurs ordinaires savent que l’ID correct d’Ethereum est 1, ou que Polygon est 137. Ils se fient au nom affiché. Et c’est là que réside la vulnérabilité : une extension rabby wallet fiable, même avec ses fonctionnalités de sécurité avancées, ne peut pas vérifier l’honnêteté d’une URL RPC simplement en regardant sa syntaxe.

Les arnaqueurs exploitent aussi le fait que beaucoup d’utilisateurs acceptent les demandes d’ajout de chaîne de manière réflexe. La confirmation dans Rabby Wallet est claire, mais elle repose sur la prémisse que l’utilisateur lira et comprendra chaque détail. Une fois la chaîne ajoutée, elle reste persistante dans la configuration de l’utilisateur, parfois même après réinitialisation ou mise à jour de l’extension.

Les mécanismes d’attaque : du faux RPC à l’usurpation d’identité validateur

Les arnaqueurs utilisent plusieurs variantes de cette approche. La première consiste à injecter un RPC malveillant qui enregistre silencieusement chaque transaction. Quand l’utilisateur envoie des tokens, approuve un contrat, ou signe un message, le serveur imposteur voit tout. Il peut ensuite analyser les approbations, identifier les wallets riches, ou même simuler des transactions pour découvrir des vulnérabilités exploitables dans le contrat intelligent cible.

La deuxième variante implique un faux validateur. Beaucoup de chaînes EVM fonctionnent avec des validators publics. Un arnaqueur peut enregistrer un validateur avec un nom officiel ou imiter l’adresse IP d’un véritable validateur en exploitant une faille réseau ou une misconfiguration du DNS. Quand Rabby Wallet demande l’état de la chaîne (hauteur du bloc, balance, etc.), le faux validateur répond avec des données falsifiées. L’utilisateur voit alors un solde incorrect ou des transactions validées alors qu’elles ne le sont pas.

La troisième variante utilise le message signing. Une dApp sur un faux RPC demande à l’utilisateur de signer un message, présenté comme une « vérification de sécurité » ou une « approbation ». L’utilisateur signe avec sa clé privée (qui reste toujours sur son appareil, une protection majeure de Rabby Wallet). Mais le message signé, combiné avec l’adresse de l’utilisateur visible sur la chaîne publique, peut être utilisé pour usurper son identité auprès d’une dApp tiers ou pour prouver une propriété d’actifs dans un contrat malveillant.

Fourthly, arnaqueurs exploitent l’approbation de token. Sur EVM, un utilisateur doit approuver un contrat avant de lui permettre de transférer des tokens de sa part. Une dApp malveillante hébergée sur un faux RPC peut demander une approbation illimitée, c’est-à-dire permettre au contrat de transférer n’importe quel montant de token. Une fois approuvé, même si l’utilisateur quitte la dApp, les arnaqueurs peuvent continuer à drainer les fonds. Bien que Rabby Wallet propose une révocation d’approbation par lot (batch approval revocation) pour annuler ces droits, cette action n’aide que si l’utilisateur la découvre à temps.

Pourquoi la simulation de transactions de Rabby Wallet ne détecte pas toujours les faux RPC

La simulation de transactions est l’une des caractéristiques les plus louées de Rabby Wallet. Avant de signer une transaction, l’extension la simule pour prédire le résultat. Si la simulation montre que vous êtes sur le point de perdre vos fonds, Rabby vous avertit. C’est une excellente défense contre les contrats intelligents manifestement malveillants. Cependant, la simulation dépend entièrement du RPC utilisé pour communiquer avec la chaîne.

Si le RPC est un faux, contrôlé par les arnaqueurs, la simulation est aussi fausse. Les arnaqueurs peuvent programmer le faux RPC pour simuler une transaction bénigne—par exemple, un simple transfert de token vers votre wallet—tandis que la transaction réelle qu’il exécute est tout à fait différente. Ou, plus subtilement, ils peuvent faire en sorte que la simulation retourne un résultat qui semble sûr, puis modifier le comportement réel en fonction de facteurs externes, comme la valeur du gas ou l’heure d’exécution.

Un exemple concret : un arnaqueur propose un airdrop de token sur une fausse chaîne. L’utilisateur connecte son extension rabby wallet, et celle-ci simule la réclamation. La simulation retourne un message positif : « Vous allez recevoir 1 000 nouveaux tokens ». L’utilisateur approuve. Mais le faux RPC a intercepté la transaction et, au lieu de envoyer des tokens, il a enregistré la signature de l’utilisateur et l’a utilisée pour approuver un contrat malveillant sans que l’utilisateur le sache. Le message signé sera réutilisé ultérieurement sur une véritable chaîne pour voler des fonds.

Rabby Wallet alerte également sur les contrats connus comme malveillants, mais cette liste est réactive, pas prédictive. Un nouveau contrat malveillant, ou un contrat temporaire hébergé sur un faux RPC, n’apparaîtra pas dans cette base de données. La simulation de sécurité fonctionne remarquablement bien contre les contrats réels et les transactions que vous voyez vraiment exécutées ; elle ne peut pas distinguer un RPC malveillant d’un RPC honnête basé sur le seul examen du réseau.

Comment identifier et vérifier une chaîne RPC suspecte

Avant d’ajouter une nouvelle chaîne à votre extension rabby wallet, posez-vous trois questions concrètes. Premièrement, le site me demande-t-il cette chaîne de manière inattendue ? Si vous visitez un site réputé comme Uniswap ou Aave, et qu’il vous demande de basculer vers Ethereum, Polygon, ou Arbitrum, c’est normal. Mais si un site inconnu ou un lien reçu par email ou chat vous demande d’ajouter une chaîne appelée « Ultra-Fast Ethereum » ou « Arbitrum Pro », c’est un signal d’alerte.

Deuxièmement, vérifiez l’ID de la chaîne. Ethereum Mainnet = 1, Polygon = 137, Arbitrum = 42161, Optimism = 10. Ces chiffres sont publics et immuables. Si vous êtes demandé d’utiliser une chaîne avec l’ID 11, 10, 100, ou autre chose, et qu’elle prétend être Ethereum, c’est un faux. Écrivez ces ID dans votre carnet. Consultez des sources de confiance comme Chainlist (chainlist.org) ou la documentation officielle de chaque réseau avant d’ajouter une chaîne inconnue.

Troisièmement, inspectez l’URL RPC de près. Une URL RPC authentic pour Ethereum ressemblera à « https://eth-mainnet.alchemyapi.io » (Alchemy), « https://mainnet.infura.io » (Infura), ou une URL d’un validateur public officiel. Si vous voyez « https://ethereum-rpc.io » ou « https://eth-node.secure.com », méfiez-vous. Allez sur le site officiel du projet (par exemple, ethereum.org) et trouvez les RPC recommandés. Comparez l’URL que le dApp vous demande d’ajouter avec celle de la source officielle. Si elles ne correspondent pas, n’ajoutez pas la chaîne.

Utilisez aussi une approche de test. Si vous devez absolument interagir avec une chaîne suspecte, commencez par envoyer une petite quantité de token—disons 0,01 ETH ou l’équivalent local—vers une adresse que vous contrôlez sur une autre chaîne vérifiée. Suivez la transaction sur un explorateur de blocs officiel (Etherscan pour Ethereum, Polygonscan pour Polygon, etc.). Si la chaîne suspecte n’apparaît pas sur cet explorateur officiel, c’est un faux. Si la transaction semble avoir disparu sans trace, c’est un autre signal d’alerte.

Les failles de la détection automatique et comment les arnaqueurs les exploitent systématiquement

La détection automatique de réseau, bien que commode, souffre d’une asymétrie fondamentale : elle facilite beaucoup l’ajout de fausses chaînes, mais elle rend difficile pour l’utilisateur moyen de vérifier que chaque chaîne est légitime. Un arnaqueur n’a besoin que d’une seule chaîne malveillante acceptée par la wallet pour capturer des transactions. Mais un utilisateur doit vérifier chaque chaîne potentiellement suspecte, ce qui exige une expertise technique que la plupart des gens n’ont pas.

Les arnaqueurs exploitent aussi le délai d’information. Entre le moment où une nouvelle chaîne malveillante est ajoutée aux configurations de Rabby Wallet et le moment où Debank (l’équipe derrière Rabby) en est informée et la supprime, des heures ou des jours peuvent s’écouler. Pendant ce temps, de nombreux utilisateurs pourraient être compromis. Les listes de blocage de contrats malveillants dans Rabby Wallet sont mises à jour régulièrement, mais les listes de chaînes malveillantes ne sont pas aussi agressives.

Un autre angle d’attaque consiste à exploiter les mises à jour de Rabby Wallet. Quand l’extension est mise à jour, elle peut réinitialiser certains paramètres ou recharger les configurations de chaînes. Un arnaqueur peut injecter une chaîne malveillante dans une version non officielle ou modifiée de l’extension, puis la distribuer via un site de phishing imitant le dépôt de l’extension Rabby Wallet. Beaucoup d’utilisateurs, croyant télécharger la véritable extension rabby wallet, installent à la place une version compromise.

C’est pourquoi il est essentiel de télécharger Rabby Wallet uniquement depuis les magasins officiels : Chrome Web Store, Firefox Add-ons, Microsoft Edge Add-ons, et Brave Web Store. L’équipe DeBank a audité le code de Rabby Wallet via des tiers, mais cette audition ne peut pas empêcher les utilisateurs d’installer des fausses versions ou des extensions imitatrices.

Protections intégrées et contrôles manuels pour sécuriser votre portefeuille

Rabby Wallet offre plusieurs couches de sécurité intrinsèque. Le stockage chiffré des clés privées signifie que vos clés n’abandonnent jamais votre appareil. Les clés restent locales, même quand vous signez des transactions. Les alertes de sécurité proactives analyser les contrats cibles et vous avertissent des modèles suspects. La révocation d’approbation par lot vous permet d’annuler les droits accordés à plusieurs contrats en une seule opération, réduisant le risque d’un drain futur.

Cependant, ces protections intégrées ne suffisent pas seules. Vous devez ajouter vos propres contrôles. Maintenez une liste mentale ou écrite des chaînes EVM légitime que vous utilisez vraiment : Ethereum, Polygon, Arbitrum, Optimism, et peut-être une ou deux autres. Ne dépassez pas ce nombre sauf si vous avez une raison explicite. Chaque chaîne supplémentaire est une surface d’attaque potentielle.

Deuxièmement, régulièrement inspecter la liste des chaînes configurées dans votre extension rabby wallet. Allez dans les paramètres, cherchez la section « Réseaux » ou « Chaînes » et passez en revue chaque entrée. Si vous voyez une chaîne que vous ne reconnaissez pas, supprimez-la immédiatement. Ne vous demandez pas si elle pourrait être utile « un jour ». Une chaîne que vous n’utilisez pas ne peut être exploitée que contre vous.

Troisièmement, configurez des approvals restrictives par défaut. Quand un dApp vous demande d’approuver un contrat, approuvez seulement le montant que vous prévoyez de dépenser immédiatement. Si vous échangez 10 USDC, approuvez exactement 10 USDC, pas une approbation illimitée. Oui, cela signifie que vous devrez approuver à nouveau si vous faites un autre swap plus tard. Cet inconvénient mineur est un coût d’assurance raisonnable.

Mesures de détection et réaction en cas de compromission

Supposons que vous soupçonnez d’avoir ajouté une chaîne malveillante ou que vous avez signé quelque chose sur un faux RPC. Voici les étapes concrètes. Premièrement, identifiez la portée du dommage. Avez-vous seulement signé un message, ou avez-vous approuvé un contrat ? Avez-vous envoyé des fonds à une adresse contrôlée par les arnaqueurs, ou avez-vous simplement connecté votre wallet ?

Si vous avez seulement connecté votre wallet à un dApp sans approuver ni signer quoi que ce soit, le risque est faible. Les connexions seules ne compromettent pas vos fonds. Si vous avez approuvé un contrat, mais n’avez pas envoyé d’argent, vous devez révoquer cette approbation. Utilisez la fonction de révocation par lot dans Rabby Wallet ou visitez revoke.cash pour voir toutes vos approbations actives et annuler les suspectes.

Si vous avez envoyé des fonds à une adresse d’arnaqueur, malheureusement, il n’y a pas de solution facile. Les blockchains sont immuables. Les fonds envoyés à une adresse frauduleuse ne peuvent pas être « rapatriés » automatiquement. Vous pouvez signaler la transaction aux autorités, mais le recouvrement est improbable sauf si l’arnaqueur a une présence légale identifiable.

Enfin, changez votre phrase de récupération si vous soupçonnez un accès non autorisé à votre appareil. Si un arnaqueur a accès à votre ordinateur, il pourrait théoriquement voir votre phrase de récupération ou installer un logiciel qui capture les futures signatures. Créez une nouvelle wallet dans Rabby Wallet, générez une nouvelle phrase de récupération, transférez vos fonds vers cette nouvelle wallet, et oubliez l’ancienne. C’est un processus fastidieux, mais nécessaire si vous croyez que votre appareil lui-même a été compromis.