Risques des adresses vanity et adresses sosies

Les adresses vanity, c’est-à-dire des adresses de portefeuille avec un motif choisi comme un nom ou des caractères répétés, présentent deux risques principaux : si la clé privée a été générée par un outil faible ou peu fiable, quelqu’un d’autre pourrait la recréer et voler les fonds, et les escrocs utilisent les mêmes techniques pour créer des adresses sosies qui vous poussent à leur envoyer des cryptos. Ces deux risques tiennent à la façon dont les adresses sont générées et dont vous les vérifiez.

La plupart des gens ne jettent qu’un coup d’œil aux premiers et derniers caractères d’une adresse. Les attaquants le savent et bâtissent leurs arnaques là-dessus. Comprendre le mécanisme vous aide à éviter ces deux types de pertes.

Comment sont créées les adresses vanity

Une adresse crypto est dérivée d’une clé publique, elle-même issue d’une clé privée. Vous ne pouvez pas choisir une adresse directement ; vous pouvez seulement générer des clés au hasard et vérifier si l’adresse obtenue correspond à votre motif.

1. 1Générer une clé privée aléatoire.
2. 2En dériver la clé publique et l’adresse.
3. 3Vérifier si l’adresse commence ou se termine par les caractères choisis.
4. 4Sinon, recommencer, souvent des milliards de fois.

Chaque caractère supplémentaire à faire correspondre multiplie le travail : c’est pourquoi les motifs courts sont rapides à trouver, alors que les longs exigent une puissance de calcul énorme. La sécurité de l’adresse finale dépend entièrement de l’étape 1 : la clé privée doit provenir d’un aléa robuste. Nous en parlons plus en détail dans Comment repérer une fausse appli crypto sur l’App Store.

Risque 1 : les générateurs vanity faibles

Si un générateur prend des raccourcis avec l’aléa pour aller plus vite, les clés « aléatoires » peuvent provenir d’un ensemble de possibilités bien plus restreint. Un attaquant qui comprend ce raccourci peut parcourir cet ensemble réduit et retrouver des clés privées.

Ce n’est pas théorique. En 2022, une vulnérabilité a été rendue publique dans Profanity, un outil populaire de création d’adresses vanity Ethereum, montrant que ses clés pouvaient être retrouvées par force brute. Des fonds ont ensuite été siphonnés d’adresses créées avec cet outil, dont un vol largement médiatisé chez la société de trading Wintermute, lié à une adresse vanity. La leçon : une adresse vanity n’est pas plus sûre que le code qui l’a générée.

Autres risques liés aux générateurs :

• Les générateurs en ligne qui créent la clé sur un serveur, où l’opérateur pourrait en garder une copie.
• Les services à « clé fractionnée » mal conçus, où le prestataire peut reconstituer votre clé.
• Les outils non maintenus comportant des bogues connus que personne n’a corrigés.

Risque 2 : les adresses sosies et l’address poisoning

Les escrocs utilisent la génération de type vanity dans un autre but : copier les parties visibles de vos adresses.

Voici comment se déroule une attaque d’address poisoning :

1. 1L’attaquant surveille la blockchain pour repérer les portefeuilles actifs et les adresses vers lesquelles ils envoient souvent des fonds.
2. 2Il génère une adresse sosie qui reprend les premiers et derniers caractères de l’une de ces adresses.
3. 3Il vous envoie depuis l’adresse sosie une transaction sans valeur, une transaction minuscule ou un faux transfert de token, afin qu’elle apparaisse dans votre historique de transactions.
4. 4Plus tard, vous copiez une adresse dans votre historique pour effectuer un paiement et choisissez la sosie par erreur.
5. 5Vos fonds partent chez l’attaquant, et les transferts sur la blockchain sont irréversibles.

Notre guide détaillé sur les attaques d’address poisoning présente les variantes de cette arnaque.

Un exemple composite (hypothétique)

Voici un exemple inventé. Imaginez que « Leo » envoie régulièrement des stablecoins à son adresse de dépôt sur une plateforme d’échange, qui commence par « 0x7a3f » et se termine par « c91e ». Un jour, un transfert de zéro token apparaît dans l’historique de son portefeuille, provenant d’une adresse qui commence elle aussi par « 0x7a3f » et se termine par « c91e », mais dont les caractères du milieu sont différents. Une semaine plus tard, Leo ouvre son historique, copie l’adresse la plus récente qui semble correspondre, vérifie les quatre premiers et les quatre derniers caractères et envoie une somme importante. Elle part chez l’escroc.

Liste des signaux d’alerte

• Des transferts sans valeur ou des transferts de poussière (dust) provenant d’adresses inconnues dans votre historique.
• Des tokens inconnus « envoyés » depuis une adresse qui ressemble à l’une des vôtres.
• Une adresse identique aux extrémités mais différente au milieu.
• Un site web ou une personne qui propose de générer une adresse personnalisée « pour vous ».
• Un outil vanity au code fermé, non maintenu ou promu de manière agressive.
• Une pression pour envoyer vite, sans laisser le temps d’une transaction de test.

Comment vous protéger

Notre guide sur comment vérifier une adresse de portefeuille avant d’envoyer propose une routine étape par étape. Certains portefeuilles masquent ou signalent aussi les transferts sans valeur ; activez ces filtres s’ils sont disponibles.

Que faire si c’est déjà arrivé

• Si vous avez envoyé des fonds à une adresse sosie : vous ne pouvez généralement pas annuler l’opération. Notez le hash de la transaction, signalez l’adresse à votre fournisseur de portefeuille et à la plateforme d’échange concernée, et signalez-la via notre page de signalement d’arnaques. Si les fonds arrivent sur une plateforme d’échange, celle-ci pourra peut-être agir.
• Si votre adresse vanity a été créée avec un outil faible : transférez immédiatement les fonds vers un nouveau portefeuille créé avec un logiciel standard et bien audité, puis révoquez les autorisations de tokens de l’ancienne adresse.
• Si vous pensez que vos clés ont été exposées : suivez ce qu’il faut faire immédiatement si votre portefeuille est compromis.

Méfiez-vous de quiconque vous contacte en promettant de récupérer vos fonds moyennant des frais : c’est une arnaque de suivi courante.

En résumé

Une adresse vanity est purement esthétique, mais les risques qui l’entourent sont bien réels : les générateurs faibles peuvent exposer votre clé privée, et les mêmes astuces de correspondance de motifs permettent aux escrocs de créer des adresses qui ressemblent aux vôtres. Ne générez des clés qu’avec un logiciel fiable, copiez les adresses depuis des sources vérifiées, vérifiez la chaîne complète et utilisez des transactions de test pour les montants importants.