Les attaques par hameçonnage sont devenues des opérations organisées, bâties sur une infrastructure d’arnaque générée par IA, des drainers de portefeuille automatisés, et un blanchiment cross-chain. Une fois les fonds disparus, la plupart des victimes supposent que plus rien ne peut être appris. La transparence de la blockchain dit le contraire, chaque transaction laisse une trace publique et permanente, et Etherscan est l’outil principal que les enquêteurs utilisent pour lire ce registre comme une preuve forensique plutôt que comme un simple relevé de solde.
Ce qu’Etherscan montre réellement
Etherscan permet à n’importe qui d’examiner les adresses de portefeuille, les transferts de tokens, les interactions avec les smart contracts, la consommation de gas, l’activité NFT, les transactions internes, et les autorisations de contrat sur Ethereum. Parce que chaque action sur le réseau est publique, la plupart des enquêtes professionnelles de récupération de portefeuille commencent par une analyse on-chain détaillée via un explorateur de blockchain avant même que quoi que ce soit d’autre ne se produise.
Étape 1 : identifier la transaction de vol
Commencez par rechercher l’adresse du portefeuille compromis et passez en revue son activité sortante pour trouver la transaction exacte où les actifs sont partis. Cherchez en particulier des appels de contrat inconnus, des autorisations de dépense accordées sans limite de montant, plusieurs transferts se produisant à quelques secondes d’intervalle, et des transferts vers des portefeuilles non familiers. Le portefeuille qui a reçu les fonds volés devient le point de départ de tout ce qui suit.
Comprendre le hash de transaction
Chaque transaction possède un hash unique qui fonctionne comme une empreinte forensique, il relie l’expéditeur, le portefeuille récepteur, l’horodatage, les frais de gas, et le mouvement exact de tokens concerné. Lorsqu’on signale un vol à un exchange, un enquêteur, ou aux autorités, le hash de transaction est la pièce à conviction la plus utile à avoir sous la main.
Étape 2 : analyser le portefeuille de l’attaquant
Une fois le portefeuille de destination identifié, la phase suivante est l’analyse comportementale : fréquence des transactions, âge du portefeuille, diversité des tokens, adresses liées, et sources de financement. Les portefeuilles d’arnaque professionnels ont tendance à présenter une activité extrêmement élevée, un timing de transfert automatisé, une répartition rapide des actifs, et des interactions avec une infrastructure de blanchiment connue. Le schéma observé sur de nombreuses transactions compte plus que n’importe quelle transaction isolée.
Reconnaître une infrastructure de drainer automatisée
- Des structures de transaction identiques répétées sur de nombreuses victimes.
- Une interaction répétée avec la même poignée de contrats.
- Un timing de vol synchronisé suggérant un processus automatisé plutôt qu’une action manuelle.
- Des milliers de petites transactions de victimes alimentant le même petit ensemble de portefeuilles de destination.
Étape 3 : suivre l’argent
Les actifs volés restent rarement immobiles. Les attaquants divisent généralement les fonds entre plusieurs portefeuilles, convertissent les actifs volatils en stablecoins pour figer leur valeur, passent d’une chaîne à l’autre pour ajouter de la friction, et acheminent les fonds via des exchanges décentralisés ou des mixers pour brouiller la piste. Tracer cela demande de la patience, chaque saut supplémentaire nécessite sa propre analyse, mais aucun d’eux n’efface le registre sous-jacent.
- Division rapide, répartir les fonds entre de nombreux portefeuilles pour compliquer le suivi.
- Chain hopping, déplacer les actifs entre Ethereum, Base, Arbitrum, BNB Chain, Tron, et d’autres réseaux à faibles frais.
- Conversion en stablecoins, échanger des actifs volatils contre de l’USDT, de l’USDC, ou du DAI pour stabiliser la valeur.
- Interaction avec un mixer, acheminer les fonds via une infrastructure de confidentialité conçue pour masquer l’origine.
Étape 4 : surveiller les dépôts sur les exchanges
Le moment le plus décisif d’une traçabilité est souvent celui où les fonds volés atteignent un exchange centralisé, car les exchanges peuvent geler des dépôts suspects, signaler une activité de blanchiment, et coopérer avec une enquête correctement documentée. Etherscan étiquette fréquemment les portefeuilles d’exchanges connus, ce qui les rend plus faciles à repérer grâce à une activité à fort volume et des schémas d’agrégation de dépôts. Le timing compte, une fois les fonds retirés d’un exchange, la traçabilité devient nettement plus difficile.
Un portefeuille peut rester vulnérable même après le vol initial. Si les autorisations ayant permis l’attaque d’origine ne sont jamais révoquées, le même accès peut être réutilisé, examiner les autorisations de dépense actives est tout aussi important que de tracer où les fonds volés sont allés.
Ne négligez pas l’activité des smart contracts
Beaucoup de victimes se concentrent uniquement sur les transferts de tokens et ignorent entièrement les interactions de contrat, ce qui fait manquer une grande partie du fonctionnement réel des attaques par hameçonnage modernes, via des autorisations malveillantes, des demandes de signature cachées, des exploits de type permit, et de faux contrats de staking. Examiner les permissions accordées aux dépensiers et les appels de fonction suspects est souvent ce qui révèle le véritable mécanisme du vol.
Les erreurs qui aggravent les choses
Après un vol, il est courant que les victimes contactent directement le portefeuille de l’attaquant, fassent confiance à une offre de récupération non sollicitée, ou interagissent avec d’autres contrats malveillants en essayant d’enquêter seules. Les escrocs de la récupération ciblent spécifiquement les victimes récentes d’hameçonnage avec des promesses de récupération garantie, les véritables enquêteurs ne garantissent jamais un résultat avant que l’analyse ne soit terminée.
Habitudes défensives pour la suite
- Utilisez un portefeuille matériel pour tout ce qui dépasse les soldes de trading actif.
- Révoquez les autorisations de dépense inutiles sur une base régulière.
- Gardez vos portefeuilles de trading séparés de votre stockage à froid.
- Vérifiez soigneusement les domaines avant de connecter un portefeuille.
- Évitez de signer à l’aveugle des transactions que vous ne pouvez pas interpréter entièrement.
Etherscan est un outil forensique, pas seulement un visualiseur de solde. La transparence qui rend le vol visible en premier lieu est la même transparence qui rend possibles, par la suite, la traçabilité, la documentation, et, dans les bons cas, un dépôt d’exchange gelé.