Le wallet address poisoning est une fraude qui exploite un réflexe banal : copier un destinataire depuis l’historique des transactions. L’attaquant crée une adresse ressemblant à celle que la victime utilise déjà, la fait apparaître dans l’activité du wallet, puis attend qu’elle soit sélectionnée sans vérification complète. Il ne vole pas nécessairement la clé privée et ne modifie pas la blockchain. Il falsifie le contexte d’une décision irréversible.
La défense est stricte mais accessible : considérer l’historique comme un journal non fiable, récupérer l’adresse depuis une source vérifiée, comparer toute la chaîne de caractères et effectuer un petit test lorsque le montant est important. Ce guide détaille l’attaque, un scénario réaliste, les risques voisins et une méthode utilisable aussi bien par un particulier que par une trésorerie.
Comment fonctionne le wallet address poisoning
Une adresse crypto est longue et difficile à mémoriser. Les wallets et explorateurs l’abrègent souvent sous la forme 0x12ab…90ef. Un escroc génère un grand nombre de clés jusqu’à obtenir une adresse partageant un préfixe ou un suffixe utile avec le vrai destinataire. Il ne reproduit pas l’adresse entière, mais seulement les caractères visibles que l’utilisateur a l’habitude de contrôler.
L’attaquant envoie ensuite une quantité négligeable ou crée un transfert de jeton sans valeur visible dans l’explorateur. Sur certains réseaux, le spam de tokens et les événements de transfert rendent l’opération très peu coûteuse. L’entrée est réelle sur la blockchain, mais elle ne vise pas à déplacer de la valeur. Elle sert à placer l’adresse leurre là où la victime cherchera peut-être son prochain destinataire.
MetaMask décrit précisément les arnaques par address poisoning dans son centre d’aide officiel. Ledger recommande également de ne jamais reprendre une adresse depuis l’historique et d’en vérifier les détails sur l’écran de confiance dans sa documentation de sécurité. Une transaction reçue prouve une interaction, pas l’identité fiable de son émetteur.
Exemple pratique : de la transaction leurre à la perte
Imaginons que Maya envoie régulièrement des USDC vers le wallet opérationnel de son entreprise. L’adresse correcte commence par 0x71C4 et se termine par 8A2F. Un attaquant observe ces transferts publics, génère une adresse aux mêmes extrémités visibles, puis envoie à Maya un token inutile. Une ligne récente au format familier apparaît alors dans son wallet.
Une semaine plus tard, Maya doit transférer 8 000 USDC. Elle ouvre l’historique, copie la ligne la plus récente présentant les caractères attendus, colle l’adresse et signe. Le réseau exécute exactement l’ordre autorisé. Il ne peut pas savoir que Maya pensait payer quelqu’un d’autre. Une fois les fonds reçus par l’attaquant, aucun remboursement automatique ni retour bancaire n’existe.
Contrôler quatre caractères au début et à la fin ne suffit donc pas. Les outils de vanity address recherchent des ressemblances partielles, dont le coût diminue lorsque le fragment demandé est court. Soit l’adresse complète est identique, soit le destinataire est différent. Le guide CryptoRoad sur l’adresse wallet et les erreurs à éviter explique le lien entre adresse publique, réseau et clés.
Address poisoning, dusting et crypto clipper : trois risques
Le dusting classique consiste à envoyer de très petites sommes à de nombreuses adresses pour suivre ensuite leurs mouvements et tenter de relier des portefeuilles ou des identités. Dans le wallet address poisoning, le transfert minuscule contamine surtout l’historique. Un crypto clipper est encore différent : ce malware local remplace dans le presse-papiers l’adresse copiée avant son collage. Des symptômes proches exigent donc des réponses distinctes.
Si une chaîne correcte change entre la copie et le collage, il faut suspecter l’appareil et cesser de l’utiliser pour signer. L’article sur le crypto clipper qui remplace les adresses détaille cette menace. Si la chaîne collée correspond exactement à l’historique mais appartient à un inconnu, c’est la source du renseignement qui était mauvaise : un journal public a été pris pour un carnet de contacts.
Les signaux qui doivent interrompre un envoi
- Une micro-transaction ou un token inconnu apparaît sans explication.
- Un émetteur ressemble à une adresse connue uniquement sous sa forme abrégée.
- L’activité la plus récente ne correspond à aucune opération mémorisée.
- Le wallet propose un destinataire issu de l’historique et non des contacts vérifiés.
- Un explorateur affiche un nom de token familier, mais un autre contrat.
- La contrepartie ne confirme pas l’adresse par le canal convenu.
Aucun de ces indices ne prouve isolément une attaque ciblée. Une micro-transaction peut être un spam général et un actif inconnu un airdrop non sollicité. Il n’est toutefois pas nécessaire d’identifier l’intention : toute entrée inattendue peut être classée comme non fiable. La note officielle de TronScan sur les attaques par address poisoning rappelle qu’une ressemblance graphique n’est jamais une identité cryptographique.
Une procédure sûre avant chaque transfert crypto
| Étape | Contrôle | Objectif |
|---|---|---|
| Source | Utiliser un contact vérifié, un site officiel ou un QR confirmé | Écarter l’historique contaminé |
| Intégrité | Comparer toute l’adresse | Bloquer les ressemblances partielles |
| Réseau | Confirmer blockchain, actif et contrat | Éviter le mauvais réseau |
| Test | Envoyer un petit montant et attendre | Limiter la perte immédiate |
| Solde | Continuer après confirmation du bénéficiaire | Séparer test et règlement |
Pour les paiements récurrents, enregistrez le destinataire sous un nom unique en indiquant le réseau et l’usage. Activez une liste blanche avec délai si le wallet ou l’exchange le permet. Ce délai complique l’ajout et l’utilisation immédiate d’une adresse frauduleuse. Dans une organisation, un second approbateur doit contrôler hors bande les transferts dépassant un seuil défini.
Le test ne remplace pas la comparaison complète. Un attaquant peut observer le petit envoi et espérer recevoir ensuite le solde. Après le test, demandez au bénéficiaire de confirmer le montant et le hash, ou vérifiez le crédit dans un système qu’il contrôle. La checklist CryptoRoad pour envoyer des cryptos ajoute les contrôles du réseau, du mémo, des frais et des confirmations.
Ce que protège réellement un hardware wallet
Un hardware wallet isole les clés et affiche les paramètres de l’opération sur un écran de confiance. Il ne devine pas qui vous vouliez payer. Si vous collez volontairement l’adresse de l’escroc, l’appareil signe une transaction valide vers cette adresse. La protection existe seulement si les informations affichées sont lues et comparées, au lieu de confirmer mécaniquement.
L’écran physique peut révéler certaines manipulations de l’interface informatique, mais les petits écrans abrègent parfois les chaînes. Faites défiler tous les caractères lorsque c’est possible et ne vous fiez pas seulement à une couleur, un avatar ou une étiquette. Pour les montants élevés, associez des contacts testés à une multisignature ou à une double approbation. L’appareil n’est efficace qu’au sein d’une bonne procédure.
Les erreurs courantes qui entretiennent le risque
Première erreur : masquer le token indésirable et croire le problème supprimé. L’adresse peut rester dans l’historique ou réapparaître dans l’explorateur. Deuxième erreur : vérifier seulement le début et la fin, précisément choisis par l’attaquant pour se ressembler. Troisième erreur : accepter une capture d’écran comme preuve. Elle peut être ancienne, recadrée ou transmise depuis un compte de messagerie compromis.
Il ne faut pas non plus interagir avec le token pour tenter de le « supprimer ». Visiter un site lié, signer une requête ou accorder une allowance peut transformer un spam passif en phishing actif. Masquer l’actif dans l’interface suffit ; inutile de le vendre ou de le transférer. Si une signature a déjà été donnée, examinez rapidement les autorisations et révoquez celles qui ne sont pas nécessaires.
Que faire après un envoi à la mauvaise adresse
Stoppez les autres transferts et conservez le hash, le réseau, l’heure, l’adresse destinataire et les captures pertinentes. Si les fonds atteignent un exchange identifiable, contactez vite son support et les autorités compétentes. Le gel n’est jamais garanti, mais un dossier précis est plus exploitable qu’une demande vague. Refusez les faux experts en récupération promettant d’annuler une transaction contre un paiement anticipé.
Déterminez ensuite si l’échec vient de l’historique empoisonné ou d’un malware. Dans le second cas, déconnectez l’appareil, enquêtez depuis un environnement sain et envisagez de nouvelles clés. Dans le premier, supprimez les favoris non vérifiés, reconstruisez le carnet depuis des sources officielles et corrigez la procédure. Déplacer tous les fonds n’est pas automatiquement nécessaire si les secrets n’ont pas été exposés.
Checklist finale contre le wallet address poisoning
- Ne copiez jamais un destinataire depuis l’historique.
- Utilisez des contacts vérifiés avec le réseau indiqué.
- Comparez l’adresse entière via un second canal.
- Contrôlez le destinataire sur l’appareil de signature.
- Testez les transferts importants et confirmez la réception.
- Classez tokens inattendus et micro-envois comme non fiables.
- N’interagissez ni avec le spam ni avec ses liens.
- Activez liste blanche, multisig ou double approbation.
Le wallet address poisoning fonctionne parce qu’une chaîne familière est prise pour une preuve. La blockchain garantit l’exécution de l’instruction signée, pas la conformité du destinataire avec l’intention de l’utilisateur. Séparer contacts et historique, vérifier toute la chaîne et confirmer un transfert test font de quelques minutes de contrôle une barrière concrète contre une perte définitive.
Documentez enfin qui peut modifier le carnet et comment ce changement est approuvé. Une adresse vérifiée plusieurs mois auparavant peut devenir obsolète lorsque la contrepartie change de dépositaire, de réseau ou d’infrastructure. Le contrôle n’est donc pas définitif : il doit être renouvelé quand les outils, les personnes ou les coordonnées évoluent. Cette règle conserve une protection fiable sans alourdir chaque paiement courant.
