L’une des techniques de vol de crypto les plus trompeuses en circulation ne repose ni sur un faux site web, ni sur un e-mail d’hameçonnage, ni même sur un malware. Elle cible quelque chose que les utilisateurs font confiance sans même y penser : leur propre historique de transactions de portefeuille. Les chercheurs en sécurité l’appellent l’empoisonnement d’adresse, ou attaque de l’historique de transferts contaminé, et elle fonctionne en glissant une adresse ressemblante dans l’historique d’une victime jusqu’à ce qu’elle finisse par avoir l’air d’un destinataire légitime et familier.
Comment l’attaque fonctionne réellement
Un attaquant génère une adresse de portefeuille qui ressemble visuellement à une adresse déjà utilisée par une cible, en faisant correspondre les premiers et derniers caractères, ce qui est souvent tout ce qu’une personne vérifie. Il envoie une minuscule transaction « de poussière », parfois pour une fraction de centime, depuis cette adresse vers le portefeuille de la victime. Cette transaction se retrouve désormais dans l’historique de la victime, indiscernable au premier coup d’œil d’un véritable contact antérieur.
Pourquoi cela fonctionne si bien
- La plupart des interfaces de portefeuille mettent en avant l’historique de transactions récent comme raccourci pour les transferts répétés.
- Les écrans mobiles tronquent systématiquement les adresses complètes aux premiers et derniers caractères.
- Les gens reconnaissent des motifs plutôt qu’ils ne vérifient des chaînes entières, le cerveau comble le milieu au lieu de le contrôler.
- Les utilisateurs qui envoient souvent des cryptos sont les plus susceptibles de copier une adresse depuis l’historique plutôt que de la retaper.
La séquence de l’attaque
- L’attaquant envoie une transaction de poussière au portefeuille cible depuis une adresse ressemblante.
- Le portefeuille enregistre cette adresse dans l’historique des transactions, aux côtés des véritables destinataires antérieurs.
- La victime, plus tard, s’apprête à envoyer des fonds et sélectionne ce qui ressemble à une adresse récente familière.
- Elle sélectionne l’adresse de l’attaquant à la place de la véritable adresse.
- Les fonds sont transférés on-chain vers l’attaquant et ne peuvent pas être récupérés.
Aucun lien n’est cliqué, aucun logiciel n’est installé, et aucun identifiant n’est volé. L’intégralité de l’attaque se déroule à l’intérieur d’un comportement auquel la victime fait déjà confiance : son propre journal de transactions.
Cette attaque est la plus efficace contre les personnes qui envoient souvent des cryptos et traitent la liste d’activité récente de leur portefeuille comme un carnet d’adresses informel. La solution n’est pas davantage de vigilance en général, c’est un changement d’habitude précis sur la provenance des adresses.
Qui est le plus exposé
Le risque augmente pour toute personne qui envoie régulièrement des fonds à des exchanges, des partenaires professionnels ou des contacts récurrents, en particulier sur un portefeuille mobile où les adresses sont tronquées visuellement par défaut. Un volume élevé de transactions aggrave encore le risque, puisqu’une entrée empoisonnée a plus d’occasions d’être confondue avec une entrée réelle dans un historique chargé.
Comment s’en défendre
- Ne traitez jamais l’historique de transactions comme un carnet d’adresses, ce n’en est pas un, et rien n’empêche un attaquant d’y écrire.
- Vérifiez l’adresse complète caractère par caractère avant d’envoyer quoi que ce soit d’important, pas seulement les premiers et derniers chiffres.
- Utilisez la fonction d’adresses enregistrées ou en liste blanche de votre portefeuille pour les destinataires récurrents, plutôt que de copier depuis l’activité récente.
- Évitez de copier-coller des adresses depuis une liste de transactions récentes, récupérez-les plutôt depuis une source vérifiée à chaque fois.
- Contrôlez à nouveau l’adresse de destination sur un second écran ou appareil pour tout transfert au-dessus d’un seuil dont la perte vous serait regrettable.
Ce qui rend cette attaque dangereuse n’est pas sa sophistication, c’est à quel point elle paraît ordinaire. Il n’y a pas de moment d’arnaque à repérer, pas de lien suspect, pas de message urgent. Juste une substitution silencieuse qui dépend entièrement du fait qu’un utilisateur ne regarde pas de près quelque chose qu’il n’avait aucune raison de ne pas croire.