Les attaquants modernes ne se contentent plus de voler des phrases de récupération ou de déployer des liens d'hameçonnage grossiers. De nombreuses arnaques exploitent désormais des fonctions blockchain légitimes que la plupart des utilisateurs comprennent à peine. L'une des méthodes qui progresse le plus vite repose sur des signatures « IncreaseAllowance » malveillantes, dissimulées dans de fausses invites d'applications décentralisées, une attaque qui a déjà vidé des millions de dollars d'utilisateurs sur Ethereum, BNB Chain, Base, Arbitrum, et divers écosystèmes de couche 2. De nombreuses victimes ne réalisent jamais avoir approuvé un accès à leur portefeuille avant que leurs actifs n'aient déjà disparu.
Ce que signifie réellement « IncreaseAllowance »
La plupart des tokens ERC-20 exigent qu'un portefeuille accorde une permission, appelée autorisation de dépense, avant qu'une application décentralisée puisse déplacer des tokens en son nom. Interagir avec des plateformes DeFi fait régulièrement apparaître des demandes d'approbation comme Approve, IncreaseAllowance, Permit, et SetApprovalForAll. Les applications légitimes s'en servent pour permettre les échanges de tokens, le staking, le yield farming, les marketplaces NFT, le bridging, et la fourniture de liquidité. Les attaquants exploitent aujourd'hui exactement le même mécanisme pour obtenir un accès non autorisé.
Comment les faux DApps détournent les signatures d'autorisation
Les DApps malveillants sont conçus pour paraître légitimes, et les victimes sont généralement attirées via de faux airdrops, des publicités sponsorisées sur les réseaux sociaux, des serveurs Discord compromis, des mints NFT frauduleux, des promotions par des influenceurs en deepfake, et des résultats de recherche empoisonnés par du référencement frauduleux. Une fois connectée, la victime signe ce qui ressemble à une approbation de routine. En réalité, la transaction peut accorder un accès illimité aux tokens, des droits de dépense complets sur des stablecoins, des permissions de transfert de NFT, ou un contrôle sur plusieurs tokens à la fois, permettant aux attaquants de vider les actifs automatiquement sans jamais avoir besoin de la phrase de récupération.
Pourquoi les autorisations illimitées sont si dangereuses
De nombreux protocoles DeFi demandent des autorisations illimitées simplement pour réduire le nombre de confirmations répétées. Cette commodité crée un risque bien réel : si le contrat approuvé devient plus tard malveillant, compromis, ou exploité, un attaquant peut obtenir un accès continu aux fonds du portefeuille. Certains contrats malveillants retardent désormais volontairement le vidage pendant des jours, voire des semaines, spécifiquement pour éviter d'éveiller les soupçons immédiatement, si bien qu'un portefeuille peut paraître et se comporter normalement jusqu'à ce que les actifs disparaissent soudainement.
Signaux d'alerte que la plupart des victimes manquent
- Des adresses de contrat inconnues ou non vérifiées
- Des noms de projet mal orthographiés
- Des montants d'approbation bien supérieurs à ce que la transaction exige
- Une urgence artificielle poussant à signer rapidement
- De fausses affirmations « d'optimisation du gas » utilisées pour justifier des approbations inhabituelles
- Des noms de domaine suspects ou récemment enregistrés
De nombreux faux DApps imitent désormais fidèlement des interfaces légitimes grâce à un branding généré par IA et des interfaces clonées, si bien que le seul soin visuel n'est plus un signal fiable de confiance.
Drainers de portefeuille contre exploitation des autorisations
Les drainers de portefeuille tentent généralement un vol immédiat au moyen d'une seule transaction malveillante. L'exploitation des autorisations, elle, vise d'abord à sécuriser une permission de dépense à long terme, ce qui la rend plus difficile à remarquer : il n'y a ni vol de phrase de récupération, ni perte immédiate, et le vidage peut se produire progressivement, aussi bien sur les dépôts futurs que sur les dépôts actuels. Certains groupes d'attaquants combinent désormais les deux techniques dans une même campagne.
Les signatures Permit ajoutent un risque plus discret
Les attaquants ciblent de plus en plus les systèmes d'approbation sans gas, comme les signatures Permit, les approbations off-chain, et les autorisations EIP-2612. Comme celles-ci n'exigent pas toujours une transaction directe on-chain, les utilisateurs les supposent souvent inoffensives. Elles peuvent pourtant autoriser des transferts de tokens en coulisses, ce qui en fait l'une des méthodes d'hameçonnage les plus efficaces du Web3 actuel.
Si vous avez signé une approbation suspecte
Révoquez immédiatement
Priorisez les stablecoins, les actifs wrappés, les tokens ERC-20 de grande valeur, et toute approbation NFT. Dans la première heure, la rapidité compte plus que l'exhaustivité.
Déplacez les actifs restants
Transférez les fonds non touchés vers un portefeuille nouvellement sécurisé, plutôt que de supposer que le portefeuille actuel est encore sûr.
Passez en revue l'activité du portefeuille
Vérifiez les interactions récentes avec des contrats, les demandes de signature, les autorisations de tokens, et les applications connectées. De nombreux utilisateurs découvrent plus d'une permission malveillante une fois qu'ils regardent de près.
Déconnectez et sécurisez
Supprimez les connexions de portefeuille inutiles et révoquez les sessions actives, puis lancez des analyses antimalware, passez en revue les extensions de navigateur, et réinitialisez les mots de passe ainsi que la double authentification, au cas où l'appareil lui-même aurait été le point d'entrée.
Après avoir évoqué publiquement des actifs volés, de nombreuses victimes sont ciblées à nouveau par de faux spécialistes de la récupération exigeant des paiements en cryptomonnaie à l'avance. Les enquêteurs légitimes ne garantissent jamais un résultat de récupération.
Prévenir l'exploitation des autorisations
Examinez attentivement chaque signature de portefeuille au lieu d'approuver par habitude, évitez de connecter un portefeuille principal à des DApps peu familiers, conservez un portefeuille distinct pour tester de nouveaux projets, révoquez les autorisations inutilisées à intervalles réguliers, vérifiez les adresses de contrat de façon indépendante, et utilisez un portefeuille matériel dès que possible. La plupart des compromissions de portefeuille modernes se produisent via des permissions accordées par l'utilisateur lui-même, pas par un piratage direct.