Le 17 septembre 2026, HP Wolf Security a détaillé une campagne. Un faux outil de trading dopé à l’intelligence artificielle installe Needle Stealer, capable de modifier l’environnement d’un wallet crypto. Le danger ne vient pas d’une faille de blockchain, mais de l’ordinateur utilisé pour accéder aux fonds.
La campagne avait déjà été documentée par Malwarebytes le 22 avril 2026. La nouvelle analyse précise le mode opératoire. L’attaque remplace localement l’extension habituelle par une copie frauduleuse pour tromper l’utilisateur.
Points clés sur la sécurité liée au wallet crypto :
- Needle Stealer peut substituer une extension de portefeuille sur un ordinateur infecté.
- La campagne s’appuie sur TradingClaw, un faux service de trading lié à l’IA.
- Les sources ne fournissent aucun total vérifié de victimes ni de cryptomonnaies dérobées.
Un wallet crypto visé depuis Windows
Le point central est simple : l’attaque ne pirate pas MetaMask ni Coinbase Wallet. Elle compromet l’accès de l’utilisateur. Le malware attaque le poste de travail, puis l’interface du wallet crypto utilisée pour préparer et signer des opérations.
Cette nuance évite une lecture trompeuse de l’affaire. Les éléments publiés décrivent une compromission locale visant des portefeuilles crypto. Ils ne confirment aucune intrusion dans les infrastructures de MetaMask, de Coinbase Wallet, ni dans celles d’une blockchain.
Une extension imitée à l’identique
Selon HP, Needle Stealer recherche des extensions de wallet crypto installées dans le navigateur, notamment MetaMask et Coinbase Wallet. Il peut ensuite les remplacer par des versions malveillantes qui reproduisent leur apparence.
La victime peut donc ouvrir ce qu’elle croit être son wallet crypto habituel. La fausse extension peut demander des informations sensibles dans cette fenêtre. L’opérateur de la campagne peut alors intercepter toute donnée saisie.
Le problème est particulièrement sérieux parce que l’alerte visuelle peut être faible. Une extension qui ressemble au bon produit ne prouve pas l’intégrité d’un wallet crypto. La chaîne de confiance comprend aussi le navigateur, le système et les fichiers stockés sur la machine.
Le faux agent IA comme porte d’entrée
L’appât s’appelle TradingClaw. Le site frauduleux tradingclaw.pro se présentait comme un assistant de trading IA utilisant TradingView. Aucun lien n’est établi avec TradingView ni avec le service légitime associé au domaine tradingclaw.chat.
La promesse d’un agent IA capable d’améliorer les décisions de trading sert ici de levier d’ingénierie sociale. Les analyses disponibles ne montrent pas que Needle Stealer emploie lui-même une IA avancée pour voler des cryptomonnaies. L’intelligence artificielle est avant tout l’argument qui pousse au téléchargement.
Les traces laissées par TradingClaw
HP Wolf Security fonde sa publication sur une télémétrie recueillie entre avril et juin 2026. Cette période montre que la campagne s’inscrit dans la durée. Le rapport de septembre apporte une analyse supplémentaire, sans révéler une menace née ce jour-là.
Malwarebytes et HP s’accordent sur la nature du logiciel. Il s’agit d’un infostealer modulaire qui collecte des données et adapte ses modules à la cible.
Une infection en plusieurs étapes
Après le téléchargement d’une archive distribuée par le faux site, l’attaque ne commence pas dans une extension. La campagne recourt notamment au DLL hijacking, une technique qui conduit un programme légitime à charger du code contrôlé par l’attaquant.
Needle Stealer est ensuite injecté dans un processus Windows. HP indique aussi l’usage d’un programme légitime signé par Microsoft pour faciliter l’exécution du code malveillant. La signature du programme exploité ne transforme donc pas l’opération en logiciel fiable.
Une fois actif, le stealer peut récupérer des données de navigation, des cookies et des sessions connectées. Il peut aussi viser des fichiers et des données d’applications. Il peut également réaliser des captures d’écran, surveiller des pages Web et injecter du contenu dans la navigation.
Plusieurs portefeuilles concernés
Les modules décrits par Malwarebytes ne se limitent pas aux extensions. Leur panneau de contrôle cite aussi Ledger, Trezor et Exodus, en plus de MetaMask et Coinbase Wallet. La présence de ces noms indique un ciblage potentiel de logiciels présents sur un ordinateur.
Elle ne suffit pas à établir que chaque utilisateur de ces services a été atteint, ni que tous les modules ont été déployés contre toutes les victimes. Un module peut aussi intercepter certains téléchargements et tenter de les remplacer, ce qui élargit le risque après l’infection initiale.
Réagir face à un wallet crypto suspect
Le premier risque pratique concerne l’utilisateur qui a téléchargé TradingClaw ou un programme d’origine douteuse. Continuer à ouvrir son portefeuille depuis la même machine peut prolonger l’exposition, même si aucune transaction anormale n’apparaît encore.
La bonne lecture n’est pas de suspecter automatiquement le protocole ou la blockchain. Il faut d’abord considérer l’appareil comme potentiellement compromis et éviter d’y saisir une phrase de récupération, un mot de passe ou une validation sensible.
Ne pas déplacer les fonds depuis le poste infecté
En cas de doute crédible, des tiers peuvent observer ou altérer toute opération effectuée sur l’ordinateur concerné. Sécurisez les comptes et envisagez tout transfert depuis un appareil fiable. Vérifiez d’abord l’extension et son éditeur.
Un wallet crypto ne protège pas à lui seul contre un système infecté. Les utilisateurs peuvent contrôler les extensions présentes, supprimer celles dont l’origine est incertaine et télécharger les logiciels uniquement depuis les canaux officiels. Ces gestes réduisent l’exposition, sans fournir une garantie absolue face à une compromission déjà active.
Les détenteurs d’un portefeuille matériel doivent aussi distinguer la protection des clés et celle de l’ordinateur. Un appareil matériel peut limiter certaines signatures non désirées, mais il ne rend pas fiable un navigateur dont l’interface a été modifiée.
Une limite chiffrée majeure
HP ne publie ni nombre total confirmé de victimes ni montant global de cryptomonnaies dérobées. Malwarebytes ne fournit pas non plus de bilan financier consolidé. Affirmer que la campagne a causé plusieurs millions de dollars de pertes dépasserait donc les faits disponibles.
Des chercheurs ont observé la distribution de Needle Stealer par un faux outil de trading IA. Ils ont documenté ses capacités de vol de données et de ciblage de portefeuilles. Cette distinction compte autant pour mesurer le danger que pour éviter d’amplifier une estimation non vérifiée.
Le navigateur devient le maillon critique
Needle Stealer rappelle que la sécurité d’un wallet crypto ne s’arrête pas à la robustesse de la blockchain. Une transaction peut être techniquement valide et pourtant avoir été préparée depuis une interface détournée sur une machine infectée.
À ce stade, les rapports établissent les capacités du malware et le rôle de TradingClaw comme appât. Ils ne permettent pas de mesurer l’ampleur financière réelle de la campagne. Ce manque de données doit tempérer les affirmations les plus alarmistes.
Le prochain élément qui changerait l’évaluation serait une attribution documentée de portefeuilles volés, de victimes confirmées ou d’infrastructures de commande encore actives. Pour l’heure, l’alerte concerne moins une défaillance de MetaMask. Elle vise le contrôle du poste qui permet à l’utilisateur d’accéder à ses cryptomonnaies.
FAQ : Wallet crypto et risques opérationnels
Needle Stealer cible l’ordinateur qui donne accès au portefeuille. Le malware peut rechercher des extensions installées, récupérer des données de navigation et, selon HP, remplacer localement certaines extensions par des copies frauduleuses. Le risque porte donc sur l’interface utilisée par l’utilisateur, sans compromission nécessaire de la blockchain ou des serveurs du portefeuille.
TradingClaw servait de leurre de téléchargement pour la campagne étudiée. Malwarebytes a documenté le faux site tradingclaw.pro le 22 avril 2026, puis HP a analysé des données recueillies entre avril et juin. Le site promettait un assistant de trading fondé sur l’intelligence artificielle, sans lien établi avec TradingView ni tradingclaw.chat.
Aucun montant total de cryptomonnaies volées n’est confirmé dans les documents cités. HP ne donne pas de nombre consolidé de victimes, et Malwarebytes ne publie pas de bilan financier global. Les capacités du malware sont documentées, mais l’ampleur économique de cette campagne ne peut pas être chiffrée de façon fiable avec les informations publiques disponibles.
Disclaimer : Cet article est fourni à titre informatif et ne constitue pas un conseil en investissement. Les cryptomonnaies sont des actifs volatils. Faites vos propres recherches avant toute décision.
