Comment révoquer les autorisations de tokens sur Ethereum et les autres chaînes EVM
Découvrez étape par étape comment révoquer les autorisations sur Ethereum et les autres chaînes EVM, quelles autorisations sont risquées, ce que coûte une révocation et ce qu’elle ne peut pas annuler.
Pour révoquer des autorisations de tokens sur Ethereum ou une autre chaîne EVM, connectez votre portefeuille à un outil de vérification des autorisations fiable (comme Revoke.cash ou l’outil d’autorisations de tokens d’un explorateur de blocs), sélectionnez le réseau, examinez quels contrats peuvent dépenser vos tokens et envoyez une transaction de révocation pour ceux que vous n’utilisez plus ou ne reconnaissez pas. Chaque révocation est une transaction on-chain qui remet l’allocation à zéro et coûte de faibles frais de gas.
Les autorisations sont l’un des risques les plus négligés de l’auto-conservation. Chaque fois que vous tradez sur une plateforme d’échange décentralisée ou utilisez une application DeFi, vous accordez probablement à un contrat la permission de déplacer vos tokens. Ces permissions restent actives indéfiniment. Si ce contrat est exploité plus tard, ou si vous en avez autorisé un malveillant, vos tokens peuvent être pris sans aucune nouvelle signature de votre part.
Comment fonctionnent les autorisations de tokens
Les tokens ERC-20, la norme de la plupart des tokens sur Ethereum, incluent une fonction approve. Lorsque vous autorisez un contrat, vous définissez une allocation (allowance) : le montant maximal de ce token que le contrat peut transférer depuis votre adresse.
De nombreuses applications demandent une allocation illimitée pour vous éviter d’autoriser à nouveau à chaque échange. C’est pratique, mais cela signifie que le contrat peut déplacer la totalité de votre solde de ce token à tout moment, maintenant ou à l’avenir.
Les NFT fonctionnent de manière similaire. La fonction setApprovalForAll donne à un opérateur la permission de déplacer chaque NFT d’une collection que vous possédez, c’est pourquoi les drainers de NFT la ciblent.
Il existe aussi un schéma plus récent : les signatures permit. Certains tokens et systèmes (dont Permit2 d’Uniswap) vous permettent d’accorder une allocation en signant un message off-chain au lieu d’envoyer une transaction. Ces signatures semblent inoffensives mais peuvent autoriser des transferts. Notre article sur l’ice phishing et les signatures permit traite de ce risque.
Étape par étape : comment révoquer des autorisations
- 1Ouvrez directement un outil fiable. Tapez l’adresse vous-même ou utilisez un favori. Parmi les options connues figurent Revoke.cash et le vérificateur d’autorisations de tokens d’Etherscan et d’autres explorateurs. De faux sites de « révocation » existent, alors ne suivez jamais de liens provenant de messages privés ou de publicités.
- 2Connectez votre portefeuille ou collez votre adresse. Coller une adresse vous permet de consulter les autorisations sans vous connecter. Vous n’avez besoin de vous connecter que pour envoyer des transactions de révocation.
- 3Choisissez le réseau. Les autorisations sont propres à chaque chaîne. Vérifiez Ethereum, puis chaque réseau que vous utilisez, comme Arbitrum, Optimism, Base, Polygon ou BNB Smart Chain.
- 4Examinez la liste. Pour chaque autorisation, vous verrez le token, le contrat autorisé à dépenser, le montant de l’allocation et souvent la date à laquelle elle a été accordée.
- 5Identifiez ce qu’il faut révoquer. Donnez la priorité aux allocations illimitées, aux contrats que vous ne reconnaissez pas, aux applications que vous n’utilisez plus et à tout contrat impliqué dans un exploit connu.
- 6Cliquez sur révoquer et confirmez dans votre portefeuille. Lisez la demande du portefeuille : il doit s’agir d’un appel
approvequi remet l’allocation à zéro (ou d’un appelsetApprovalForAllréglé sur false pour les NFT). - 7Répétez pour chaque réseau. Actualisez ensuite pour confirmer que les autorisations ont disparu.
Quelles autorisations révoquer en priorité
| Type d’autorisation | Niveau de risque | Action |
|---|---|---|
| Allocation illimitée à un contrat inconnu | Élevé | Révoquer immédiatement |
setApprovalForAll sur une collection de NFT de valeur | Élevé | Révoquer sauf si vous avez des NFT activement en vente |
| Allocation illimitée à une application que vous n’utilisez plus | Moyen | Révoquer |
| Allocation limitée à une application réputée que vous utilisez souvent | Faible | Conserver ou réduire |
| Autorisation à un contrat impliqué dans un exploit | Élevé | Révoquer immédiatement |
Ce que la révocation ne peut pas faire
La révocation est préventive, pas curative. Elle ne permettra pas de :
- Récupérer des tokens déjà transférés.
- Vous protéger si votre phrase de récupération ou votre clé privée a été volée. Dans ce cas, l’attaquant peut tout signer ; transférez les actifs restants vers un nouveau portefeuille comme décrit dans que faire immédiatement si votre portefeuille est compromis.
- Annuler de manière fiable les signatures permit off-chain que vous avez déjà données. Elles obéissent à leurs propres règles d’expiration et de nonce ; si vous avez signé un permit suspect, la réponse la plus sûre est de transférer les tokens concernés vers un nouveau portefeuille.
Réduire le risque lié aux autorisations à l’avenir
- Définissez des allocations personnalisées. De nombreux portefeuilles vous permettent de modifier le montant dans la demande d’autorisation. N’autorisez que ce que vous comptez dépenser.
- Utilisez un portefeuille séparé pour vos essais. Gardez un portefeuille jetable pour les nouvelles applications, les mints et les airdrops, et conservez vos fonds à long terme dans un portefeuille qui ne se connecte jamais à des sites inconnus.
- Lisez chaque demande de signature. Si un site vous demande de signer un message que vous ne comprenez pas, arrêtez-vous.
- Examinez régulièrement vos autorisations. Tous les quelques mois et après avoir essayé une nouvelle application.
- Vérifiez aussi les sites connectés. Connexion et autorisation sont deux choses différentes ; consultez autorisations du portefeuille et sites connectés.
Erreurs courantes
- Utiliser un faux outil de révocation trouvé via une publicité dans un moteur de recherche ou une réponse sur les réseaux sociaux.
- Révoquer sur Ethereum mais oublier le même portefeuille sur les réseaux de couche 2.
- Supposer que déconnecter un site dans votre portefeuille supprime ses autorisations. Ce n’est pas le cas.
- Ignorer les tokens de faible valeur ; les attaquants raflent souvent tout ce qu’ils peuvent.
En résumé
Les autorisations de tokens sont des permissions permanentes qui survivent au moment où vous les avez accordées. Les vérifier est gratuit, les révoquer est peu coûteux, et le faire régulièrement ferme l’une des voies les plus utilisées par les drainers. Faites-en une habitude, n’autorisez que ce dont vous avez besoin et gardez vos principaux avoirs dans un portefeuille qui ne signe presque jamais rien.
Questions fréquentes
Qu’est-ce qu’une autorisation de token ?
Une autorisation de token est une permission que vous accordez à un smart contract pour déplacer un token précis depuis votre portefeuille, jusqu’à un montant défini. Les plateformes d’échange décentralisées et les autres applications DeFi ont besoin d’autorisations pour fonctionner. La permission reste active jusqu’à ce que vous la révoquiez ou que l’allocation soit épuisée, même si vous ne retournez jamais sur l’application.
Révoquer une autorisation coûte-t-il du gas ?
Oui. Révoquer est une transaction on-chain qui remet l’allocation à zéro, vous payez donc des frais de réseau normaux. Sur le mainnet d’Ethereum, ils peuvent être sensibles ; sur les réseaux de couche 2, ils sont généralement faibles. Consulter vos autorisations est gratuit.
Révoquer une autorisation me permettra-t-il de récupérer mes tokens volés ?
Non. La révocation empêche seulement les futurs transferts par ce contrat. Les tokens déjà pris ne peuvent pas être récupérés en révoquant. Si votre phrase de récupération ou votre clé privée a été exposée, révoquer ne suffit pas ; transférez les fonds restants vers un nouveau portefeuille.
À quelle fréquence dois-je vérifier mes autorisations de tokens ?
Une bonne habitude consiste à les passer en revue tous les quelques mois et après chaque session où vous avez interagi avec une application nouvelle ou inconnue. Vérifiez-les aussi immédiatement si vous soupçonnez avoir signé quelque chose de malveillant.