Beaucoup de personnes ont l’habitude de copier, lors d’un virement, l’adresse utilisée la fois précédente depuis leur historique de transactions, puis de vérifier rapidement les premiers et derniers caractères avant de confirmer. C’est précisément cette habitude que vise l’empoisonnement d’adresse.
Les portefeuilles qui effectuent souvent des virements en stablecoins et $ETH sont davantage exposés à l’empoisonnement d’adresse. Actuellement : 1757.86 (24 h : -8.95 %).
En quoi consiste l’empoisonnement d’adresse ?
Les attaquants ciblent d’abord les adresses qui envoient et reçoivent fréquemment des stablecoins sur la blockchain. À l’aide d’un programme, ils génèrent ensuite un grand nombre d’adresses, puis sélectionnent celles qui ressemblent à vos adresses habituelles, avec les mêmes premiers et derniers caractères.
Ensuite, les attaquants utilisent cette adresse similaire pour vous envoyer une très petite somme, ou un jeton d’une valeur nulle, afin qu’elle apparaisse dans votre historique de transactions. La prochaine fois que vous copierez une adresse depuis cet historique, vous risquez de copier la fausse.
Quelques formes courantes de dissimulation :
Certains contrats de jetons autorisent les transferts d’un montant nul. Les attaquants peuvent en profiter pour laisser sur la blockchain une trace indiquant qu’« un transfert de 0 jeton est parti de votre adresse », donnant l’impression que vous avez vous-même effectué un transfert vers cette adresse.
D’autres envoient des jetons contrefaits portant le même nom que des stablecoins populaires, pour un montant proche de ceux que vous transférez habituellement, afin de rendre la transaction plus crédible.
Pourquoi est-il facile de se faire piéger ?
Une adresse est une longue suite de caractères. Les adresses Ethereum comportent 40 caractères hexadécimaux, et la plupart des gens ne vérifient que le début et la fin. Or, il n’est pas difficile de générer des adresses ayant les mêmes premiers et derniers caractères. Ne vérifier que ces extrémités vous expose donc à ce piège.
Cette escroquerie ne nécessite ni votre clé privée ni la signature d’une quelconque autorisation : elle repose uniquement sur une copie effectuée au moment du transfert. Une fois confirmé sur la blockchain, un transfert ne peut pas être annulé ; les actifs envoyés à une adresse similaire sont pratiquement impossibles à récupérer.
Comment s’en protéger :
Enregistrez les adresses de réception que vous utilisez souvent dans le carnet d’adresses de votre portefeuille ou de la plateforme, ou dans la liste blanche de retraits. Sélectionnez-les à chaque fois depuis le carnet d’adresses plutôt que de les copier depuis l’historique des transactions. Avant un transfert, vérifiez l’adresse complète, y compris les caractères du milieu.
Pour un transfert important, commencez par envoyer une petite somme. Une fois que le destinataire a confirmé sa réception, transférez le reste. Si vous recevez un petit transfert ou un transfert de montant nul dont l’origine est inconnue, ignorez-le et n’enregistrez pas l’adresse de l’expéditeur comme adresse habituelle.
Certains portefeuilles et explorateurs de blockchain signalent les transferts suspects de montant nul ou les masquent par défaut. Soyez vigilant si vous voyez ce type d’avertissement.
Mon avis :
L’empoisonnement d’adresse n’exploite pas une faille technique, mais une habitude bien ancrée. Remplacez « copier depuis l’historique » par « sélectionner dans le carnet d’adresses » et vérifiez les caractères du milieu : cela suffit à éviter ce piège. Ne faites pas de capture d’écran de votre phrase de récupération et ne la stockez surtout pas dans un espace de stockage en ligne.
Si vous avez appris quelque chose, laissez un commentaire ; si vous n’avez pas encore compris, posez vos questions dans les commentaires.
Chacun est libre de faire comme il l’entend.