Address poisoning : le piège du copier-coller qui vide les portefeuilles

L’address poisoning (empoisonnement d’adresse) est une arnaque dans laquelle un attaquant place une adresse de portefeuille presque identique dans votre historique de transactions, généralement en vous envoyant un transfert minuscule ou factice, en espérant que vous copierez plus tard cette adresse au lieu de la vraie et que vous lui enverrez des fonds. Il ne pirate pas votre portefeuille ; il exploite l’habitude de copier les adresses depuis l’activité récente et de ne vérifier que les premiers et derniers caractères.

L’attaque est devenue courante sur les réseaux où des stablecoins comme USDT et USDC circulent fréquemment, car les transferts importants et répétés entre les mêmes adresses sont faciles à repérer sur une blockchain publique. Les pertes peuvent être lourdes, car les victimes envoient souvent des sommes conséquentes à des adresses en lesquelles elles ont confiance. Bonne nouvelle : quelques habitudes simples la stoppent presque totalement.

Comment fonctionne une attaque par address poisoning

L’attaque suit généralement le même schéma :

1. 1Surveillance. L’attaquant surveille la blockchain à la recherche de portefeuilles qui envoient régulièrement des fonds, par exemple d’un portefeuille personnel vers une adresse de dépôt sur une plateforme d’échange.
2. 2Création d’un sosie. À l’aide d’un logiciel de génération d’adresses, l’attaquant crée une adresse dont les premiers et derniers caractères correspondent à la destination que vous utilisez. Les adresses de portefeuille sont longues et beaucoup de portefeuilles les raccourcissent en quelque chose comme 0x1a2b...9f8e : seuls ces caractères visibles comptent pour la ruse.
3. 3Empoisonnement de votre historique. L’attaquant envoie une transaction qui fait apparaître l’adresse sosie dans votre activité. Il peut s’agir d’un transfert de jetons de valeur nulle, d’une infime quantité d’un vrai jeton ou du transfert d’un faux jeton qui copie le nom d’un vrai stablecoin.
4. 4Attente. La prochaine fois que vous envoyez des fonds, vous ouvrez votre historique, voyez ce qui ressemble à votre adresse habituelle, la copiez et envoyez. L’argent part chez l’attaquant.

Comme la fausse entrée apparaît dans votre propre historique, souvent juste à côté de vos transferts authentiques, elle inspire confiance. Pour aller plus loin, consultez Les arnaques pig butchering.

Pourquoi la ruse fonctionne si bien

Plusieurs habitudes du quotidien rendent vulnérable :

• Adresses tronquées. Les portefeuilles et les explorateurs n’affichent souvent que le début et la fin d’une adresse.
• Copier depuis l’historique. Il est pratique de copier « l’adresse utilisée la dernière fois » plutôt que de la retrouver à la source.
• Faux jetons aux vrais noms. Un transfert affichant un jeton nommé « USDT » paraît normal, même si le contrat est faux.
• Routine. Ceux qui répètent le même transfert chaque semaine finissent par ne plus vérifier attentivement.

Tronquées, les deux sont identiques. Seule la comparaison complète révèle la différence. Notre article Malware du presse-papiers développe ce point.

Comment vous protéger

Ces habitudes neutralisent presque entièrement l’address poisoning :

1. 1Ne copiez jamais d’adresses depuis l’historique des transactions. Considérez votre historique comme un registre, pas comme un carnet d’adresses.
2. 2Utilisez un carnet d’adresses enregistré ou une liste blanche. Enregistrez une fois les adresses vérifiées, nommez-les clairement et n’envoyez qu’aux entrées enregistrées. De nombreuses plateformes d’échange proposent aussi une liste blanche d’adresses de retrait.
3. 3Obtenez les adresses à la source. Pour un dépôt sur une plateforme d’échange, recopiez l’adresse depuis la page de dépôt à chaque fois, en vérifiant le réseau.
4. 4Vérifiez l’adresse complète. Comparez plus que les premiers et derniers caractères, idéalement aussi plusieurs segments au milieu.
5. 5Envoyez une transaction de test. Pour tout transfert important, envoyez d’abord un petit montant et confirmez sa réception, comme expliqué dans notre guide pour envoyer des cryptos sans les perdre.
6. 6Masquez les jetons de spam. Utilisez la fonction spam ou masquer de votre portefeuille pour les jetons inconnus afin qu’ils n’encombrent pas votre affichage.
7. 7Confirmez sur l’écran de votre portefeuille matériel. Si vous en utilisez un, lisez l’adresse de destination sur l’appareil avant d’approuver.

Comment reconnaître une tentative d’empoisonnement

Repérez ces signes dans votre activité :

• Des transferts entrants de valeur nulle ou de montants minuscules depuis des adresses que vous ne reconnaissez pas.
• Des jetons aux noms familiers que vous n’avez jamais achetés, surtout des imitations de stablecoins.
• Une adresse dans votre historique qui ressemble à l’un de vos contacts habituels mais apparaît peu après une transaction avec lui.

Sur un explorateur de blocs, les faux jetons renvoient souvent à des contrats non officiels. Vous pouvez vérifier qu’un jeton est le vrai en comparant son contrat à l’adresse officielle, comme l’explique notre guide pour vérifier l’adresse de contrat d’un jeton.

Que faire si vous avez envoyé des fonds à une adresse empoisonnée

Les transferts blockchain sont irréversibles, mais quelques démarches valent tout de même la peine :

• Notez le hash de la transaction, les adresses et l’heure.
• Si les fonds sont passés par une plateforme d’échange ou un émetteur de stablecoin, contactez-les immédiatement ; certains émetteurs peuvent geler des jetons dans certains cas.
• Signalez l’incident à la police et au service de signalement des fraudes de votre pays, et signalez-nous l’adresse de l’arnaqueur afin que nous puissions avertir les autres.
• Ignorez quiconque vous contacte pour proposer une récupération garantie contre des frais. Ces « services de récupération » sont souvent une seconde arnaque.

Pour aller plus loin, consultez Les arnaques au copy trading.

Nous abordons ce sujet plus en détail dans Des malwares dans de faux tests de code pour des emplois crypto.

À lire aussi : Phishing par faux WalletConnect et fausses fenêtres de portefeuille.

En résumé

L’address poisoning ne brise pas la sécurité de votre portefeuille ; il retourne une habitude pratique contre vous. Arrêtez de copier les adresses depuis l’historique, utilisez un carnet d’adresses étiqueté ou une liste blanche, comparez l’adresse complète et envoyez une transaction de test avant les gros transferts. Ces quelques secondes de vérification font la différence entre un paiement de routine et une perte irréversible. Pour d’autres protections, parcourez nos guides de sécurité.