Approbations de tokens : elles restent actives jusqu’à leur révocation
Les autorisations crypto accordées à un contrat restent actives tant que vous ne les révoquez pas. À partir du 5 mai 2026, des attaquants ont exploité cette règle. Ils ont dérobé environ 1,42 million de dollars à 31 adresses, grâce aux autorisations accordées à un routeur du protocole Ekubo. Selon le fondateur de SlowMist, la principale victime avait accordé la sienne 158 jours auparavant.
1,42 million de dollars : c’est la somme dérobée par les attaquants à partir du 5 mai 2026, en exploitant les approbations accordées à un routeur d’Ekubo.
158 jours : c’était l’ancienneté de l’approbation illimitée qui a coûté environ 17 WBTC à la principale victime.
60 % : c’est la proportion d’approbations illimitées sur Ethereum, selon une étude de 2022 portant sur les transactions effectuées jusqu’en juillet 2021.
6 mai 2026 : un jour après le premier vol, le fondateur d’Ekubo a proposé l’ERC-8255, qui prévoit des approbations à durée limitée par défaut.
Une autorisation crypto ne prend pas fin avec la transaction
Pour échanger un token sur une application décentralisée, vous signez d’abord une autorisation. Ce message permet ainsi à un contrat de retirer vos tokens à votre place. La norme ERC-20 prévoit qu’il peut le faire « plusieurs fois, jusqu’à concurrence du montant » défini. Toutefois, votre portefeuille ne montre pas toujours ce que vous signez, comme le montrait notre article sur la signature claire.
Surtout, cette autorisation n’a pas de date d’expiration. Le guide officiel d’ethereum.org sur la révocation le dit sans détour : « Les autorisations de contrat n’ont pas de date d’expiration. » Elles peuvent donc être utilisées des années plus tard.
Se déconnecter du site ne change rien non plus. L’autorisation se trouve dans le contrat du token, sur la blockchain, et non dans votre navigateur. Selon le même guide, le projet conserve l’accès à vos tokens après la déconnexion. Votre portefeuille numérique conserve vos clés, pas vos autorisations. Il faut donc révoquer l’autorisation pour couper cet accès.
$APE
$TOKEN
$BLOK.ETF
#tokens
Les autorisations crypto accordées à un contrat restent actives tant que vous ne les révoquez pas. À partir du 5 mai 2026, des attaquants ont exploité cette règle. Ils ont dérobé environ 1,42 million de dollars à 31 adresses, grâce aux autorisations accordées à un routeur du protocole Ekubo. Selon le fondateur de SlowMist, la principale victime avait accordé la sienne 158 jours auparavant.
1,42 million de dollars : c’est la somme dérobée par les attaquants à partir du 5 mai 2026, en exploitant les approbations accordées à un routeur d’Ekubo.
158 jours : c’était l’ancienneté de l’approbation illimitée qui a coûté environ 17 WBTC à la principale victime.
60 % : c’est la proportion d’approbations illimitées sur Ethereum, selon une étude de 2022 portant sur les transactions effectuées jusqu’en juillet 2021.
6 mai 2026 : un jour après le premier vol, le fondateur d’Ekubo a proposé l’ERC-8255, qui prévoit des approbations à durée limitée par défaut.
Une autorisation crypto ne prend pas fin avec la transaction
Pour échanger un token sur une application décentralisée, vous signez d’abord une autorisation. Ce message permet ainsi à un contrat de retirer vos tokens à votre place. La norme ERC-20 prévoit qu’il peut le faire « plusieurs fois, jusqu’à concurrence du montant » défini. Toutefois, votre portefeuille ne montre pas toujours ce que vous signez, comme le montrait notre article sur la signature claire.
Surtout, cette autorisation n’a pas de date d’expiration. Le guide officiel d’ethereum.org sur la révocation le dit sans détour : « Les autorisations de contrat n’ont pas de date d’expiration. » Elles peuvent donc être utilisées des années plus tard.
Se déconnecter du site ne change rien non plus. L’autorisation se trouve dans le contrat du token, sur la blockchain, et non dans votre navigateur. Selon le même guide, le projet conserve l’accès à vos tokens après la déconnexion. Votre portefeuille numérique conserve vos clés, pas vos autorisations. Il faut donc révoquer l’autorisation pour couper cet accès.
$APE
$TOKEN
$BLOK.ETF
#tokens