Trust Wallet : fonctionnement, sécurité et limites du portefeuille crypto

Portefeuille chaud, portefeuille froid, portefeuille custodial

Un portefeuille de cryptomonnaies ne stocke pas les jetons eux-mêmes, qui restent inscrits sur leur blockchain. Il conserve les clés privées qui permettent de les dépenser. Trois grandes familles existent.

Le portefeuille froid garde les clés hors ligne, sur un appareil matériel dédié ou sur papier. Il limite l'exposition aux attaques en ligne, au prix d'un usage moins rapide.

Le portefeuille chaud est une application connectée à Internet, sur téléphone ou dans un navigateur. Il sert aux opérations courantes et à la connexion aux applications décentralisées. Sa connexion permanente l'expose davantage aux logiciels malveillants et à l'hameçonnage.

Le portefeuille custodial est tenu par un tiers, en général une plateforme d'échange. Le tiers détient les clés ; la sécurité des fonds dépend alors de lui.

Trust Wallet appartient à la deuxième catégorie : c'est un portefeuille chaud et non custodial. Selon la page sécurité de Trust Wallet, les clés privées ne quittent pas l'appareil et l'éditeur ne les stocke pas. Aucune inscription ni donnée personnelle n'est demandée pour créer un portefeuille.

Origine et propriété de Trust Wallet

Trust Wallet a été créé en 2017, d'après sa page de présentation. Son fondateur, le développeur Viktor Radchenko, l'avait d'abord conçu comme une application mobile pour Ethereum et les jetons ERC-20.

Le 31 juillet 2018, Binance a annoncé le rachat de Trust Wallet, sa première acquisition, pour un montant non communiqué payé en numéraire, en actions Binance et en BNB, selon TechCrunch. L'application devait rester indépendante après l'opération. Trust Wallet n'est donc pas le compte que Binance ouvre à ses clients sur sa plateforme : c'est un portefeuille distinct dont l'utilisateur garde les clés.

L'éditeur revendique aujourd'hui plus de 200 millions d'utilisateurs, d'après sa page de présentation. Ce chiffre est déclaratif et n'est pas vérifiable de façon indépendante.

Blockchains et plateformes prises en charge

Le site officiel annonce la prise en charge de plus de 100 blockchains et de millions d'actifs, parmi lesquels Bitcoin, Ethereum, BNB Chain et Solana. Le cœur technique du portefeuille est une bibliothèque publiée en open source, Wallet Core, distribuée sous licence Apache 2.0 et compatible avec plus de 130 blockchains selon sa documentation.

Trust Wallet existe sous deux formes :

• une application mobile pour iOS et Android, téléchargeable sur l'App Store et Google Play ;
• une extension de navigateur pour Chrome, Brave et d'autres navigateurs basés sur Chromium, synchronisable avec l'application mobile.

Il n'existe pas d'application de bureau autonome pour Windows ou macOS : sur ordinateur, l'accès passe par l'extension.

Les fonctions principales

D'après le site de Trust Wallet, l'application permet de recevoir, d'envoyer et de conserver des cryptomonnaies et des NFT, et d'échanger des jetons entre eux (swap) sans passer par une plateforme centralisée.

L'achat et la vente contre des euros ou des dollars passent par des prestataires tiers intégrés à l'application, qui appliquent leurs propres conditions, leurs propres frais et leurs propres vérifications d'identité.

Le portefeuille propose aussi le staking de certains actifs. Trust Wallet précise que les récompenses sont variables et non garanties. Le staking immobilise parfois les fonds pendant une période définie par le protocole concerné.

Enfin, Trust Wallet sert de passerelle vers les applications décentralisées : plateformes d'échange décentralisées, protocoles de prêt, places de marché de NFT. Chaque connexion à une application tierce donne à celle-ci la possibilité de proposer des transactions à signer, d'où l'importance de vérifier ce que l'on approuve.

Créer et sauvegarder un portefeuille

À la création d'un portefeuille, l'application génère une phrase de récupération, une suite de mots qui permet de reconstituer les clés privées sur n'importe quel appareil compatible. L'extension demande en plus un mot de passe local, qui chiffre les clés sur l'ordinateur.

La phrase de récupération est le seul moyen de retrouver ses fonds en cas de perte ou de panne de l'appareil. Quiconque l'obtient peut vider le portefeuille. Trust Wallet ne la conserve pas et ne peut pas la restaurer. L'application propose aussi une sauvegarde chiffrée dans le cloud, mentionnée sur sa page sécurité.

Le téléchargement doit se faire depuis le site officiel ou les boutiques d'applications, en vérifiant l'éditeur : de fausses applications et de fausses extensions imitant les portefeuilles connus circulent régulièrement.

Les frais

Le téléchargement et la création d'un portefeuille sont gratuits. Chaque transaction paie en revanche les frais de réseau de la blockchain utilisée, qui varient selon l'encombrement du réseau et ne sont pas fixés par Trust Wallet.

Les swaps peuvent inclure des frais propres au service ; la page Swap annonce des exceptions à 0 % pour certains stablecoins et actifs stakés, sans publier de barème général. Les achats par carte passent par des prestataires qui prélèvent leur propre commission.

Sécurité : audits et outils

Trust Wallet indique sur sa page sécurité avoir été audité par CertiK, Cure53, Halborn, Kudelski Security et Quantstamp, et disposer des certifications ISO 27001 et ISO 27701. L'application intègre un scanner qui signale les adresses et jetons suspects, et l'extension accepte un portefeuille matériel Ledger pour signer les transactions hors ligne. Un programme de récompense pour la découverte de failles est en place.

Les incidents de sécurité connus

Une faille de génération des phrases sur une ancienne version iOS

L'avis CVE-2024-23660, publié en février 2024, décrit une faille d'une version de 2018 de l'application iOS : les phrases mnémoniques étaient générées à partir de l'horodatage de l'appareil, une source d'aléa insuffisante. Un attaquant pouvait recalculer les phrases d'une période donnée. La faille a été exploitée en juillet 2023 contre des portefeuilles créés avec cette version. Sa gravité est classée élevée (CVSS 7,5).

L'extension piégée de décembre 2025

Selon le compte rendu publié par Trust Wallet, une version malveillante 2.68 de l'extension a été publiée sur le Chrome Web Store le 24 décembre 2025. Les attaquants avaient récupéré des identifiants de développeur exposés lors de l'attaque de la chaîne logicielle Sha1-Hulud en novembre 2025. Les utilisateurs qui se sont connectés à cette version entre le 24 et le 26 décembre ont été touchés : 2 520 adresses vidées, pour environ 8,5 millions de dollars d'actifs. L'application mobile et les autres versions de l'extension n'étaient pas concernées.

Une version saine 2.69 a été publiée le 26 décembre 2025. Trust Wallet a annoncé un remboursement volontaire des victimes ; l'entreprise indique avoir reçu plus de 5 000 demandes pour 2 520 portefeuilles vérifiés et traite les dossiers au cas par cas.

Points forts et limites

Trust Wallet réunit dans une seule application un grand nombre de blockchains, les swaps, le staking et l'accès aux applications décentralisées, sans compte ni vérification d'identité pour l'usage de base. Son code central est public.

Ses limites tiennent à sa nature de portefeuille chaud et non custodial. Les clés vivent sur un appareil connecté, exposé aux logiciels malveillants et aux fausses applications. L'incident de décembre 2025 montre qu'une mise à jour compromise peut atteindre directement les utilisateurs. La perte de la phrase de récupération est définitive. Pour des montants importants conservés sur la durée, un portefeuille matériel reste la solution la moins exposée ; Trust Wallet permet d'en connecter un.