À retenir
L’empoisonnement d’adresse est une arnaque de portefeuille crypto : des attaquants envoient de petites transactions depuis des adresses factices ressemblant à celles que vous utilisez régulièrement, dans l’espoir que vous copiez la mauvaise adresse la prochaine fois.
Les escrocs utilisent des outils automatisés pour générer des adresses de portefeuille correspondant aux premiers et derniers caractères de vos adresses légitimes, en exploitant la façon dont les portefeuilles affichent des adresses abrégées.
Étant donné que les transactions blockchain sont irréversibles, envoyer des fonds à une adresse empoisonnée signifie qu’ils ne peuvent pas être récupérés.
La protection implique de vérifier l’adresse complète avant l’envoi, d’utiliser des listes d’autorisés via carnet d’adresses, et de faire de petits virements tests avant les envois importants.
Les améliorations des logiciels de portefeuille et des systèmes d’adresses lisibles par les humains, comme le Ethereum Name Service (ENS), peuvent réduire le risque de ce type d’attaques au fil du temps.
Introduction
L’empoisonnement d’adresse est l’une des arnaques les plus subtiles en crypto. L’attaquant ne pirate pas votre portefeuille et ne vole pas votre clé privée. À la place, il attend que vous fassiez une erreur en copiant une adresse. Cet article explique comment fonctionne l’empoisonnement d’adresse, à quoi ressemblent des attaques réelles, et ce que vous pouvez faire pour vous protéger.
L’attaque repose sur un fait simple : la plupart des gens ne vérifient pas chaque caractère d’une longue adresse de portefeuille. Les adresses sont des chaînes de 40 à 42 caractères composées de lettres et de chiffres, et les portefeuilles n’affichent souvent que les premiers et derniers caractères. Les escrocs exploitent cela en générant des adresses qui correspondent à ces caractères visibles, rendant une adresse factice plausible au premier coup d’œil.
Quelles sont les attaques d’empoisonnement d’adresse en crypto ?
L’empoisonnement d’adresse se produit lorsqu’un escroc crée une adresse de portefeuille qui ressemble fortement à une adresse que vous utilisez régulièrement. Il envoie ensuite une toute petite transaction depuis cette adresse factice vers votre portefeuille, de sorte qu’elle apparaisse dans votre historique de transactions. Le but est de vous amener à copier accidentellement l’adresse factice la prochaine fois que vous envoyez des fonds.
Les adresses de portefeuille sont longues et difficiles à mémoriser. De nombreux utilisateurs se fient à la copie des adresses depuis leur historique récent plutôt que de les saisir. Cette habitude crée une occasion pour l’attaquant d’insérer une adresse ressemblante qui pourrait passer inaperçue.
Comment les attaquants génèrent-ils des adresses similaires ?
Les escrocs utilisent des programmes qui génèrent des milliers d’adresses de portefeuille par seconde jusqu’à en trouver une où les premiers et derniers caractères correspondent à une adresse cible. Comme les portefeuilles n’affichent généralement que 4 à 6 caractères à chaque extrémité d’une adresse, un match aux deux extrémités suffit à tromper une vérification rapide.
Ce processus, parfois appelé génération d’adresses « vanity », est peu coûteux en calcul et peut être réalisé à grande échelle. Une seule campagne peut cibler des milliers de portefeuilles simultanément.
Étapes d’une attaque typique d’empoisonnement d’adresse
L’attaquant identifie un portefeuille cible ayant un historique de transactions régulières.
Il génère une adresse ressemblante dont le début et la fin correspondent aux caractères d’une adresse que la cible envoie fréquemment.
Ils envoient une toute petite transaction (souvent de valeur nulle ou un montant dérisoire) depuis l’adresse factice vers le portefeuille cible, ce qui l’ajoute à l’historique des transactions.
Lorsque la cible doit ensuite envoyer des fonds, elle fait défiler les transactions récentes et copie ce qui semble être la bonne adresse. Si elle choisit celle empoisonnée, les fonds vont à l’attaquant.
Exemples concrets
En mai 2024, un trader crypto a envoyé par accident environ 68 millions de dollars en bitcoin enveloppé (WBTC) à une adresse Ethereum d’un escroc. L’attaquant avait généré une adresse correspondant aux six premiers caractères de l’adresse du destinataire prévu. Les fonds ont finalement été retournés après des négociations, et l’escroc aurait conservé environ 3 millions de dollars grâce à la hausse de prix.
Les campagnes d’empoisonnement d’adresses se poursuivent à grande échelle ces dernières années. Des chercheurs en sécurité ont documenté des campagnes en cours ciblant des portefeuilles avec de gros soldes, utilisant des dizaines de milliers d’adresses factices. Les attaques visent généralement des portefeuilles actifs dont les schémas de transactions sont visibles publiquement sur les explorateurs blockchain.
Qui sont les victimes ?
Les utilisateurs crypto actifs ayant des soldes plus élevés sont les cibles les plus fréquentes, car les attaquants privilégient les portefeuilles dont un vol réussi apporterait un retour significatif. Toutefois, toute personne qui envoie régulièrement de la crypto est potentiellement exposée. Vous pouvez lire des informations sur des arnaques crypto courantes pour mieux comprendre le paysage des menaces.
La plupart des tentatives d’empoisonnement échouent. Les utilisateurs vérifient soigneusement les adresses, ne se servent pas de l’historique récent des transactions pour copier les adresses, ou n’envoient qu’à des contacts enregistrés. Mais comme ces campagnes sont menées à grande échelle, même un faible taux de réussite peut entraîner des pertes importantes sur de nombreuses cibles.
Comment prévenir les attaques d’empoisonnement d’adresse
Vérifiez l’adresse complète avant l’envoi
Ne vous fiez jamais uniquement aux premiers et derniers caractères. Avant de confirmer une transaction, faites défiler l’adresse complète et comparez-la caractère par caractère avec celle du destinataire prévu. C’est particulièrement important pour les virements importants.
Copiez les adresses directement à partir de sources officielles, et non depuis votre historique de transactions. Si vous envoyez à un contact habituel, demandez-lui de renvoyer son adresse via un canal sécurisé plutôt que de la récupérer depuis une ancienne transaction.
Utilisez un carnet d’adresses ou une liste d’autorisés
La plupart des portefeuilles (wallets) vous permettent d’enregistrer des adresses de confiance avec des libellés. Utiliser une entrée de carnet d’adresses nommé supprime le besoin de copier des adresses depuis l’historique des transactions. Pour les paiements récurrents, enregistrer l’adresse une fois et réutiliser l’entrée enregistrée réduit considérablement le risque d’empoisonnement.
Commencez par des virements tests
Pour les virements importants, envoyez d’abord un petit montant et vérifiez qu’il arrive correctement avant d’envoyer le montant total. Cette étape ajoute de la friction, mais peut éviter de grosses pertes si une adresse a été empoisonnée.
Utilisez des systèmes d’adresse lisibles par les humains
Des services comme Ethereum Name Service (ENS) vous permettent d’envoyer des crypto à un nom lisible par les humains, comme « votrenom.eth », au lieu d’une longue chaîne hexadécimale. Cela supprime le risque de copier la mauvaise adresse, à condition que le nom lui-même soit correctement vérifié.
Améliorations du portefeuille et des protocoles
Certains portefeuilles signalent ou masquent désormais les transactions de valeur nulle et les « dust transactions » (petits montants), couramment utilisées dans des attaques d’empoisonnement. Les portefeuilles qui affichent davantage de caractères d’une adresse, ou qui vous alertent lorsque une adresse ressemble à une autre de votre historique, peuvent aussi réduire le risque. Les protocoles qui augmentent le coût de génération d’un grand nombre d’adresses de portefeuille peuvent limiter l’ampleur des campagnes futures.
Surveillance en temps réel
Pour les portefeuilles de grande valeur, des outils de surveillance blockchain en temps réel peuvent vous alerter à l’arrivée de « dust transactions » pouvant indiquer une tentative d’empoisonnement. Les portefeuilles multisig ajoutent une couche de protection supplémentaire en exigeant plusieurs validations avant qu’une transaction sortante ne soit confirmée, ce qui réduit l’impact d’une erreur unique.
FAQ
Qu’est-ce que l’empoisonnement d’adresses dans la crypto ?
L’empoisonnement d’adresse est une arnaque où un attaquant envoie une petite transaction vers votre portefeuille depuis une adresse factice qui ressemble à une adresse que vous utilisez régulièrement. Le but est de vous amener à copier l’adresse factice depuis votre historique de transactions et à envoyer par erreur des fonds à l’attaquant.
Puis-je récupérer les fonds envoyés à une adresse empoisonnée ?
Dans la plupart des cas, non. Les transactions blockchain sont irréversibles. Une fois les fonds envoyés à la mauvaise adresse, ils ne peuvent pas être rappelés à moins que le destinataire ne les renvoie volontairement. C’est pour cela que vérifier l’adresse complète avant chaque transaction est si important.
Comment savoir si mon portefeuille a été ciblé ?
Vous pouvez consulter l’historique des transactions de votre portefeuille pour repérer de petites transactions entrantes provenant d’adresses qui ressemblent fortement à celles que vous avez déjà envoyées auparavant. Une tentative de phishing est souvent précédée ou accompagnée de ces transactions. Si vous repérez une transaction suspecte de faible montant (« dust »), évitez de copier toute adresse associée à celle-ci.
L’empoisonnement d’adresse ne touche-t-il que les portefeuilles Ethereum ?
Les attaques d’empoisonnement d’adresse ont été documentées sur plusieurs blockchains, notamment Ethereum, BNB Smart Chain et d’autres qui utilisent de longues adresses hexadécimales. Toute blockchain où les adresses de portefeuille sont longues et affichées souvent sous forme abrégée est potentiellement vulnérable.
Dernières réflexions
L’empoisonnement d’adresse est une arnaque peu sophistiquée mais efficace qui exploite les habitudes des utilisateurs plutôt que des vulnérabilités techniques. Comme les transactions crypto ne peuvent pas être inversées, une seule erreur peut entraîner une perte définitive. La meilleure protection consiste à vérifier soigneusement les adresses complètes, à utiliser des carnets d’adresses enregistrés et à effectuer des virements tests avant les gros montants.
Pour aller plus loin
Qu’est-ce que les arnaques multisig et comment les éviter ?
5 conseils pour sécuriser vos avoirs en crypto
Qu’est-ce que le Bitcoin enveloppé (WBTC) ?
5 arnaques courantes en crypto et comment les éviter
Types de portefeuilles crypto expliqués
Avertissement : ce contenu vous est fourni « en l’état » uniquement à des fins d’information générale et/ou d’éducation, sans aucune représentation ni garantie d’aucune sorte. Il ne doit pas être interprété comme un conseil financier, juridique ou autre conseil professionnel, et ne vise pas non plus à recommander l’achat d’un produit ou service spécifique. Vous devez demander votre propre avis à des professionnels compétents. Lorsque le contenu est fourni par un contributeur tiers, veuillez noter que les opinions exprimées appartiennent à ce contributeur tiers et ne reflètent pas nécessairement celles de Binance Academy. Les prix des actifs numériques peuvent être volatils. La valeur de votre investissement peut baisser ou augmenter et vous pourriez ne pas récupérer le montant investi. Vous êtes seul responsable de vos décisions d’investissement et Binance Academy ne pourra être tenue responsable de toute perte que vous pourriez subir. Pour plus d’informations, consultez nos Conditions d’utilisation, l’Avertissement relatif aux risques et les Conditions de Binance Academy.