Lorsqu’ils effectuent un transfert, beaucoup de gens copient depuis leur historique l’adresse utilisée la dernière fois, vérifient rapidement les premiers et derniers caractères, puis confirment. L’empoisonnement d’adresse exploite précisément cette habitude.

Jeton mentionné dans l’article : $ETH cours actuel : 2246.47 (24 h : -7.38 %).

— En quoi consiste l’empoisonnement d’adresse ? —

Les attaquants ciblent d’abord les adresses qui envoient et reçoivent fréquemment des stablecoins sur la blockchain. Ils génèrent ensuite automatiquement un grand nombre d’adresses et sélectionnent celles dont les premiers et derniers caractères correspondent à ceux d’une adresse que vous utilisez souvent.

L’attaquant vous envoie ensuite une très petite somme, voire un jeton sans valeur, depuis cette adresse similaire, afin qu’elle apparaisse dans votre historique de transactions. La prochaine fois que vous copierez une adresse depuis cet historique, vous risquez de copier la fausse.

— Quelques techniques courantes de camouflage —

Certains contrats de jetons autorisent les transferts d’un montant nul. Les attaquants en profitent pour inscrire sur la blockchain une transaction indiquant que « votre adresse a envoyé 0 jeton », ce qui donne l’impression que vous avez vous-même effectué un transfert vers cette adresse.

D’autres envoient des jetons contrefaits dont le nom est identique à celui d’un stablecoin populaire, pour un montant proche de ceux que vous transférez habituellement. La transaction paraît alors plus crédible.

— Pourquoi est-il facile de se faire piéger ? —

Une adresse est une longue suite de caractères. Une adresse Ethereum comporte 40 caractères hexadécimaux, et la plupart des gens ne vérifient que le début et la fin. Or, il n’est pas difficile de générer des adresses dont les premiers et derniers caractères sont identiques. Ne vérifier que ces caractères vous rend donc vulnérable.

Cette arnaque ne nécessite ni votre clé privée ni la signature d’une autorisation : elle repose simplement sur le fait que vous copiez une adresse au moment d’effectuer un transfert. Une fois confirmé, un transfert sur la blockchain ne peut pas être annulé. Les actifs envoyés à une adresse similaire sont pratiquement impossibles à récupérer.

— Comment s’en protéger ? —

Enregistrez les adresses de réception que vous utilisez souvent dans le carnet d’adresses de votre portefeuille ou de votre plateforme, ou dans la liste blanche des retraits. Sélectionnez-les toujours dans votre carnet d’adresses au lieu de les copier depuis l’historique des transactions. Avant un transfert, vérifiez l’adresse complète, y compris quelques caractères au milieu.

Pour un transfert important, commencez par envoyer une petite somme. Une fois que le destinataire vous a confirmé sa réception, envoyez le reste. Ignorez les petits transferts ou les transferts de montant nul dont l’origine est inconnue, et n’enregistrez pas l’adresse de l’expéditeur comme adresse habituelle.

Certains portefeuilles et explorateurs de blockchain signalent les transferts suspects de montant nul ou les masquent par défaut. Soyez attentif à ce type d’avertissement.

— En conclusion —

L’empoisonnement d’adresse n’exploite pas une faille technique, mais une habitude bien commode. Remplacez « copier depuis l’historique » par « sélectionner dans le carnet d’adresses » et vérifiez aussi quelques caractères au milieu : vous pourrez ainsi éviter le piège. Mieux vaut prendre son temps : rester dans le jeu compte bien plus que de gagner gros une seule fois.

Si vous connaissez un débutant, n’hésitez pas à lui faire lire ceci.