Beaucoup de personnes ont l’habitude de copier, lors d’un transfert, l’adresse utilisée la fois précédente dans leur historique, puis de vérifier rapidement les premiers et les derniers caractères avant de confirmer. L’empoisonnement d’adresse exploite précisément cette habitude.

Actif concerné : $ETH cours actuel : 2247.5 (+1.59 % sur 24 h).

— En quoi consiste l’empoisonnement d’adresse ? —

Les attaquants ciblent d’abord les adresses qui envoient et reçoivent fréquemment des stablecoins sur la blockchain. Ils génèrent ensuite automatiquement un grand nombre d’adresses et sélectionnent celles dont les premiers et les derniers caractères ressemblent à ceux d’une adresse que vous utilisez souvent.

L’attaquant vous envoie ensuite une très petite somme depuis cette adresse similaire, ou un jeton d’une valeur nulle, afin que la transaction apparaisse dans votre historique. La prochaine fois que vous copierez une adresse depuis cet historique, vous risquez de copier la fausse.

— Quelques méthodes courantes de camouflage —

Certains contrats de jetons autorisent les transferts d’un montant nul. Les attaquants en profitent pour inscrire sur la blockchain une transaction indiquant que « 0 jeton a été envoyé depuis votre adresse », ce qui donne l’impression que vous avez vous-même transféré des jetons à cette adresse.

D’autres envoient des jetons contrefaits dont le nom est identique à celui d’un stablecoin connu, avec un montant proche de ceux que vous transférez habituellement, pour rendre la transaction plus crédible.

— Pourquoi est-il facile de se faire piéger ? —

Une adresse est une longue suite de caractères. Une adresse Ethereum comporte 40 caractères hexadécimaux, et la plupart des gens ne vérifient que le début et la fin. Or, il est facile de générer des adresses dont les premiers et les derniers caractères correspondent : vérifier uniquement ces caractères crée donc un angle mort.

Cette arnaque ne nécessite ni votre clé privée ni la signature d’une autorisation : elle repose uniquement sur une copie effectuée au moment du transfert. Une fois confirmé, un transfert sur la blockchain ne peut pas être annulé, et les actifs envoyés à une adresse similaire sont pratiquement irrécupérables.

— Comment s’en protéger ? —

Enregistrez les adresses de réception que vous utilisez souvent dans le carnet d’adresses de votre portefeuille ou de la plateforme, ou dans la liste blanche de retrait. Sélectionnez-les toujours dans votre carnet d’adresses au lieu de les copier depuis l’historique. Avant un transfert, vérifiez l’adresse complète, y compris les caractères du milieu.

Pour un transfert important, commencez par envoyer une petite somme. Une fois que le destinataire vous a confirmé sa réception, envoyez le reste. Si vous voyez un petit transfert ou un transfert de montant nul provenant d’une source inconnue, ignorez-le et n’enregistrez pas l’adresse de l’expéditeur parmi vos adresses habituelles.

Certains portefeuilles et explorateurs de blockchain signalent les transferts suspects de montant nul ou les masquent par défaut. Soyez attentif à ces avertissements.

— En résumé —

L’empoisonnement d’adresse n’exploite pas une faille technique, mais une habitude commode. Remplacez « copier depuis l’historique » par « sélectionner dans le carnet d’adresses » et vérifiez aussi les caractères du milieu pour vous en protéger. En matière de sécurité de votre portefeuille, adopter de bonnes habitudes est bien plus efficace que d’essayer de réparer les dégâts après coup.

Quel sujet aimeriez-vous découvrir dans le prochain numéro ? Les contrats ou autre chose ?