Rabby Wallet est-il sûr ?

La réponse courte

Le vrai Rabby Wallet, installé depuis les stores officiels, est un choix solide pour un usage EVM quotidien, et ses contrôles avant signature le rendent en pratique plus sûr que beaucoup de portefeuilles. La sécurité dépend davantage de votre usage que du portefeuille : un faux téléchargement, une phrase de récupération tapée sur un site web ou une approbation illimitée accordée à un contrat drainer videront n'importe quel portefeuille. Pour des montants importants, associez Rabby à un hardware wallet.

Comment Rabby protège vos clés

• Auto-garde. Votre phrase de récupération et vos clés privées sont générées sur votre appareil et stockées chiffrées avec votre mot de passe. Les serveurs de Rabby ne les détiennent pas.
• Mot de passe local. Le mot de passe ne fait que déverrouiller le portefeuille sur cet appareil. Ce n'est pas un mot de passe de compte et il ne permet pas de récupérer vos fonds ailleurs. Si vous l'oubliez, vous restaurez le portefeuille à partir de la phrase de récupération (voir mot de passe Rabby oublié).
• Option hardware wallet. Avec un Ledger, un Trezor, un Keystone ou un appareil similaire, les clés ne touchent jamais votre ordinateur ou votre téléphone ; Rabby se contente de préparer les transactions que l'appareil signe. Voir les hardware wallets dans Rabby.
• Contrôles avant signature. Rabby simule chaque transaction et affiche les variations de solde attendues, et il signale les approbations risquées, les destinataires inconnus et les contrats suspects. Voir la simulation des transactions.

Open source

Le code source de l'extension est public sur GitHub sous licence MIT, et le code de l'application mobile est public dans un dépôt séparé (sans fichier de licence, selon CryptoSlate, octobre 2026). Un code public permet aux chercheurs de vérifier comment les clés sont stockées. Cela ne prouve pas à lui seul que la version distribuée sur le store correspond au code : c'est pourquoi les audits et un long historique comptent aussi.

Audits

Rabby conserve ses rapports d'audit dans le dossier audits de son dépôt GitHub, et Least Authority publie ses rapports sur son propre site.

Sources : pages d'audit de Least Authority ; dossier d'audits GitHub de Rabby ; avis de CryptoSlate (mis à jour le 24 octobre 2026). Nous n'avons pas résumé les conclusions des rapports de 2026 car nous n'avons pas pu les lire en entier. Un audit est un examen du code à un instant donné, pas une garantie. Des points non résolus signifient que les auditeurs ont identifié des améliorations possibles que Rabby n'avait pas encore adoptées à la publication du rapport ; cela ne signifie pas que des fonds étaient menacés par une faille connue.

Le piratage de Rabby Swap en octobre 2022

Rabby Swap a été lancé le 14 septembre 2022. Le 11 octobre 2022, un attaquant a exploité une faille du contrat de swap qui lui permettait de déplacer les jetons des utilisateurs qui l'avaient approuvé, sur plusieurs chaînes (The Block, 11 octobre 2022). Les pertes signalées s'élevaient à environ 114 ETH et 179 BNB, soit à peu près 200 000 dollars US à l'époque (Web3 Is Going Great ; CryptoSlate). Le contrat avait été audité par PeckShield, qui n'avait pas repéré la faille.

Rabby a demandé à toutes les personnes ayant utilisé Swap de révoquer toutes leurs approbations sur toutes les chaînes, et a précisé que les portefeuilles n'ayant jamais utilisé Swap n'étaient pas concernés. Les clés privées n'ont pas été touchées. Certains avis ultérieurs affirment que les victimes ont été remboursées, mais nous n'avons pas trouvé la déclaration originale de Rabby à ce sujet. L'ancien contrat ne peut pas être mis en pause : toute approbation qui pointe encore vers lui reste donc risquée. La leçon vaut pour tous les portefeuilles : une approbation accordée à un contrat reste ouverte tant que vous ne la révoquez pas. Vérifiez les vôtres avec le décodeur d'approbations et révoquez les anciennes approbations. D'autres événements figurent dans l'historique de sécurité de Rabby.

Bug de signature silencieuse, août 2026

En août 2026, le chercheur en sécurité V12 a révélé une faille dans l'extension : un site malveillant auquel vous vous étiez déjà connecté pouvait obtenir une signature sans que vous la voyiez, mais seulement si votre verrouillage automatique était réglé sur 10 minutes. Le correctif de Rabby garantit qu'une demande de signature en attente ne peut plus être approuvée simplement en déverrouillant le portefeuille. L'extension corrigée est sortie le 11 août 2026 ; l'application mobile n'était pas concernée et aucune exploitation n'a été signalée (TechFlow, 20 août 2026 ; GitHub de Rabby). Gardez Rabby à jour.

En septembre 2025, lors d'une attaque massive contre des paquets JavaScript populaires, Rabby a indiqué que son portefeuille n'était pas touché car il fige les versions de ses dépendances (Rabby sur X, 9 septembre 2025, selon le résumé d'IQ.wiki).

Le vrai risque : les faux portefeuilles Rabby

L'usurpation d'identité cause bien plus de pertes liées à Rabby que les bugs :

• Fausse app sur l'App Store (février 2024). Une application nommée « Rabby Wallet & Crypto Solution » d'un développeur appelé « Solution Development » a volé des phrases de récupération avant la sortie de la vraie app iOS de Rabby. Rabby a averti ses utilisateurs le 16 février 2024 (ForkLog).
• Faux modules Firefox (2025 et 2026). Les chercheurs de Socket ont trouvé 13 versions modifiées de Rabby parmi 40 modules Firefox malveillants qui envoyaient les données des portefeuilles à des attaquants (The Hacker News, 20 août 2026), puis quatre autres clones de Rabby en octobre 2026. Rabby n'a aucun module Firefox officiel.
• Faux sites web. Les résultats de recherche pour Rabby regorgent de pages de téléchargement imitées sur des hébergeurs gratuits, des plateformes de cours et des sites piratés.

Détails et étapes de récupération : les arnaques aux faux portefeuilles Rabby.

Signaux d'alerte dans la fenêtre de signature

La fenêtre de Rabby vous donne l'information ; encore faut-il la lire. Arrêtez-vous et refusez si vous voyez l'un de ces signes :

• Des jetons qui sortent alors que vous ne vous y attendiez pas, par exemple un « free mint » ou un « claim » qui montre votre ETH ou vos stablecoins partir.
• Une approbation ou un permit pour un jeton que vous n'échangiez pas, surtout pour un montant illimité ou au profit d'un bénéficiaire que Rabby marque comme nouveau ou risqué.
• Une demande « set approval for all » pour une collection NFT sur un site que vous ne connaissez pas. Elle cède tous les NFT de cette collection.
• Une signature off-chain (permit) que vous ne comprenez pas. Signer un message peut autoriser un transfert sans qu'aucun gas ne soit dépensé à ce moment-là.
• Un destinataire signalé comme nouveau alors que vous pensiez avoir déjà utilisé cette adresse. C'est le signe classique d'un empoisonnement d'adresse ; comparez l'adresse complète avec le vérificateur d'adresse.
• Un site qui n'est pas celui que vous vouliez visiter. Vérifiez le domaine affiché dans la demande.

Limites, en toute honnêteté

• C'est un hot wallet. Les clés résident sur un appareil connecté à internet. Un malware sur votre ordinateur ou votre téléphone, ou une extension de navigateur malveillante, peut encore les voler.
• Risque lié au navigateur. Chaque autre extension installée peut lire et modifier les pages web, et certaines peuvent être prises en main par des attaquants. Limitez le nombre d'extensions.
• Les alertes peuvent être ignorées. Rabby vous laisse signer malgré ses alertes, et la signature à l'aveugle reste possible pour des transactions inhabituelles.
• La simulation a ses limites. Elle montre ce qui se passerait maintenant ; elle ne peut pas prédire ce que fera plus tard un contrat approuvé, et elle peut ne pas fonctionner sur tous les réseaux personnalisés.
• Un mot de passe faible affaiblit le chiffrement local. Utilisez un mot de passe long et unique.

Comment utiliser Rabby en toute sécurité

1. Installez uniquement depuis les stores officiels. Tapez rabby.io vous-même ou utilisez un favori, et vérifiez l'ID de l'extension acmacodkjbdgmoleebolmdjonilkdbch avec le vérificateur.
2. Notez votre phrase de récupération sur papier ou sur métal et gardez-la hors ligne. Voir la sauvegarde de la phrase de récupération.
3. Ne tapez jamais votre phrase de récupération sur un site web, dans un chat ou un formulaire. Rabby et DeBank ne la demandent jamais, et le vrai support ne vous écrit jamais en premier en message privé.
4. Lisez l'aperçu des variations de solde à chaque signature. Arrêtez-vous s'il montre des jetons qui sortent alors que vous ne vous y attendiez pas.
5. Évitez les approbations illimitées et révoquez régulièrement les anciennes.
6. Utilisez un hardware wallet pour votre épargne et ne gardez que l'argent courant sur un compte hot wallet.
7. Gardez votre navigateur et Rabby à jour, et supprimez les extensions dont vous n'avez pas besoin.

Questions fréquentes