Wallet drainers : comment des autorisations malveillantes volent vos cryptos

Un wallet drainer est un site web ou un script malveillant qui vous pousse à signer des transactions ou des messages donnant à un attaquant la permission de déplacer vos tokens et vos NFT, puis qui utilise cette permission pour vider votre portefeuille. L’attaquant n’a jamais besoin de votre phrase de récupération : c’est votre propre signature qui fait le travail.

Les drainers sont à l’origine de nombreuses pertes signalées après de faux airdrops, de faux mints et des piratages de comptes de réseaux sociaux de projets. Ils ont été vendus sous forme de kits prêts à l’emploi, parfois appelés « drainer-as-a-service », ce qui permet même à des escrocs peu compétents de les déployer. Comprendre ce que vous signez est la meilleure défense.

Comment fonctionnent les autorisations de tokens (et pourquoi les drainers les adorent)

Sur Ethereum et les autres chaînes EVM, les applications décentralisées ne peuvent pas déplacer vos tokens d’elles-mêmes. Vous accordez d’abord une autorisation : la permission pour un contrat précis de dépenser un token précis en votre nom, jusqu’à un montant défini. Les DEX et les protocoles de prêt en ont besoin pour fonctionner.

Le problème, c’est que beaucoup d’applications demandent des autorisations illimitées par commodité, et que les autorisations restent actives jusqu’à ce que vous les révoquiez. Un drainer vous demande simplement d’autoriser son contrat à la place d’un contrat légitime. Une fois que vous avez signé, l’attaquant peut déclencher un transfert quand il le souhaite.

Pour les NFT, l’équivalent est setApprovalForAll, qui permet à un opérateur de déplacer tous les NFT que vous possédez dans une collection. Les places de marché l’utilisent légitimement ; les drainers s’en servent pour emporter des collections entières d’un coup. Pour aller plus loin, consultez Les arnaques crypto sur Instagram et TikTok.

Les signatures utilisées par les drainers

Les signatures sans gas sont particulièrement trompeuses. Comme elles ne coûtent rien, on suppose qu’il s’agit de « connexions » inoffensives. Certaines le sont. D’autres sont des permits qui autorisent des dépenses. Notre article sur l’ice phishing et les signatures permit les explique en détail.

Déroulement habituel d’une attaque par drainer

1. 1L’appât. Un lien arrive via une fausse annonce d’airdrop, une réponse à une publication officielle, un serveur Discord piraté, une annonce sponsorisée dans un moteur de recherche ou un message privé proposant du « support ».
2. 2Le site convaincant. La page copie le design d’un vrai projet et vous demande de connecter votre portefeuille.
3. 3L’analyse des actifs. Les scripts du drainer examinent vos soldes et demandent d’abord des autorisations pour vos actifs les plus précieux.
4. 4La signature. Les demandes sont présentées comme « réclamer », « vérifier », « minter » ou « synchroniser », avec une urgence entretenue par des comptes à rebours.
5. 5Le siphonnage. Les actifs sont transférés, souvent en quelques secondes, puis rapidement échangés ou passés par des bridges pour compliquer le traçage.

Pourquoi les drainers piègent aussi les utilisateurs expérimentés

Les drainers ne reposent pas sur des sites manifestement faux. De nombreuses attaques partent du compte compromis d’un vrai projet : l’annonce paraît authentique parce qu’elle est publiée depuis le vrai compte. D’autres surgissent au moment où un vrai airdrop ou un vrai mint fait le buzz, quand les gens s’attendent à signer des transactions et se précipitent pour être parmi les premiers. À lire aussi : Les attaques par SIM swap. Pour aller plus loin, lisez Les arnaques aux fausses migrations de tokens et aux faux swaps.

Les demandes du portefeuille se ressemblent en outre, que vous autorisiez un DEX de confiance ou un contrat de drainer. La différence se trouve dans les détails : l’adresse du dépensier, le token et le montant. Les utilisateurs expérimentés se font piéger quand l’habitude prend le dessus et qu’ils cliquent sur « confirmer » comme ils l’ont fait cent fois. Nous détaillons ce point dans Les extensions de navigateur malveillantes qui volent des cryptos. À lire aussi : La sécurité du compte e-mail pour les utilisateurs de cryptos.

Signaux d’alerte avant de signer

• Vous êtes arrivé via un message privé, une réponse, une publicité ou un lien que vous n’avez pas cherché vous-même.
• Le site demande l’autorisation d’un token que vous n’aviez pas l’intention d’échanger.
• Le montant autorisé est illimité, ou l’adresse du dépensier vous est inconnue.
• On vous demande de signer un message illisible, ou votre portefeuille vous avertit d’une signature à l’aveugle.
• On vous met la pression : « la réclamation expire dans 10 minutes », « votre portefeuille va être suspendu ».
• Le domaine est légèrement différent, enregistré récemment ou utilise une extension inhabituelle. Voir les sites de phishing crypto.

Comment vous protéger

1. 1Utilisez un portefeuille jetable pour les nouveaux mints, les airdrops et les applications inconnues, en n’y gardant que le nécessaire. Conservez vos avoirs à long terme dans un portefeuille séparé qui se connecte rarement. Notre guide sur les portefeuilles jetables explique comment le configurer.
2. 2Lisez chaque demande. Vérifiez l’action, le token, le montant et le dépensier avant de signer. Si vous ne comprenez pas, refusez.
3. 3Privilégiez les autorisations limitées lorsque votre portefeuille permet de définir un montant personnalisé.
4. 4Activez les aperçus de transaction ou les fonctions de simulation de votre portefeuille s’ils existent ; ils montrent ce qui va quitter votre portefeuille.
5. 5Révoquez régulièrement. Vérifiez et supprimez les anciennes autorisations. Notre guide pas à pas sur la révocation des autorisations de tokens vous montre comment faire.
6. 6Naviguez directement. Tapez les URL que vous connaissez ou utilisez vos favoris au lieu de cliquer sur des liens.

Si vous pensez que votre portefeuille a été vidé

Agissez vite, car les attaquants reviennent souvent chercher les actifs restants :

• Révoquez toutes les autorisations que vous ne reconnaissez pas.
• Déplacez les fonds restants vers un tout nouveau portefeuille avec une nouvelle phrase de récupération, surtout si vous avez saisi votre phrase de récupération quelque part.
• Notez les hashs des transactions, les adresses de l’attaquant et l’URL du site.
• Signalez le site et les adresses, par exemple via notre formulaire de signalement d’arnaque, ainsi qu’à la plateforme où vous avez trouvé le lien.
• Ignorez quiconque propose de récupérer vos fonds moyennant des frais ; les arnaques à la récupération ciblent les victimes récentes.

Consultez aussi notre liste de vérification sur ce qu’il faut faire immédiatement si votre portefeuille est compromis.

En résumé

Les wallet drainers ne cassent pas la cryptographie de votre portefeuille ; ils vous amènent à autoriser vous-même le vol. Considérez chaque signature comme un possible transfert de contrôle, gardez vos actifs de valeur dans un portefeuille qui ne touche jamais de sites inconnus et faites régulièrement le ménage dans vos autorisations. Prendre trente secondes avant de signer est l’outil de sécurité le plus efficace dont vous disposez.