I. Qu’est-ce que l’ERC20 au juste
L’ERC20 est une norme technique de jetons introduite en 2015 pour la blockchain Ethereum. Elle définit quelles interfaces les jetons doivent implémenter (transferts, consultation du solde, autorisation, etc.). Elle permet à des jetons du monde entier de fonctionner ensemble selon un même protocole : USDT, USDC et toutes sortes de jetons DeFi l’utilisent.
En soi, ce n’est qu’une spécification technique, ce n’est pas une arnaque. Mais elle a un design qui peut être détourné —
II. Le vrai « mal » de l’ERC20 : le phishing via l’autorisation approve
Dans l’ERC20, il existe un mécanisme appelé approve (autorisation) : vous pouvez permettre à un contrat de transférer vos jetons à votre place, afin d’économiser du gas (autoriser à chaque action serait trop coûteux).
Le problème :
Lorsqu’un utilisateur clique sur « signer » sur un site de phishing, il ne voit pas ce qu’il autorise exactement
Les escrocs poussent les utilisateurs à donner une autorisation illimitée — une fois la signature faite, l’autre partie peut à tout moment transférer tous les jetons de votre portefeuille
Une signature suffit, pas besoin d’une deuxième confirmation
Pertes réelles :
Novembre 2025 : plus de 6000 victimes, pertes en hausse de 137 % par rapport à octobre
Mai 2026 : phishing via une publicité Google de faux Uniswap, perte de 400 000 $ sur une seule journée
Juillet 2026 : perte maximale par transaction de 99,9万 USDT#盗币 $SNDK
L’ERC20 est une norme technique de jetons introduite en 2015 pour la blockchain Ethereum. Elle définit quelles interfaces les jetons doivent implémenter (transferts, consultation du solde, autorisation, etc.). Elle permet à des jetons du monde entier de fonctionner ensemble selon un même protocole : USDT, USDC et toutes sortes de jetons DeFi l’utilisent.
En soi, ce n’est qu’une spécification technique, ce n’est pas une arnaque. Mais elle a un design qui peut être détourné —
II. Le vrai « mal » de l’ERC20 : le phishing via l’autorisation approve
Dans l’ERC20, il existe un mécanisme appelé approve (autorisation) : vous pouvez permettre à un contrat de transférer vos jetons à votre place, afin d’économiser du gas (autoriser à chaque action serait trop coûteux).
Le problème :
Lorsqu’un utilisateur clique sur « signer » sur un site de phishing, il ne voit pas ce qu’il autorise exactement
Les escrocs poussent les utilisateurs à donner une autorisation illimitée — une fois la signature faite, l’autre partie peut à tout moment transférer tous les jetons de votre portefeuille
Une signature suffit, pas besoin d’une deuxième confirmation
Pertes réelles :
Novembre 2025 : plus de 6000 victimes, pertes en hausse de 137 % par rapport à octobre
Mai 2026 : phishing via une publicité Google de faux Uniswap, perte de 400 000 $ sur une seule journée
Juillet 2026 : perte maximale par transaction de 99,9万 USDT#盗币 $SNDK