La plupart des vols de portefeuille crypto ne commencent plus aujourd'hui par le vol d'une clé privée. Ils commencent par une approbation de smart contract malveillante, accordée à l'insu de la victime via un site d'hameçonnage, une fausse plateforme de staking, une campagne d'arnaque générée par IA, ou une application décentralisée compromise. Beaucoup d'utilisateurs pensent à tort que déconnecter un portefeuille d'un site web supprime le risque. Ce n'est pas le cas : un contrat précédemment approuvé peut conserver la permission de déplacer des tokens longtemps après la fin de l'interaction initiale. Cette seule idée reçue explique pourquoi révoquer les permissions de smart contract est devenu l'une des réponses d'urgence les plus importantes après une suspicion de compromission, et fait souvent la différence entre perdre une transaction et perdre un portefeuille entier.
Ce que sont réellement les permissions de smart contract
Les autorisations de tokens permettent à une application décentralisée d'accéder à des actifs ou de les dépenser au nom d'un portefeuille. Elles font fonctionner les usages DeFi ordinaires, échanges de tokens, staking, marketplaces NFT, prêts, et fourniture de liquidité, qui ne pourraient exister sans elles. Le mécanisme même qui rend la DeFi utilisable crée aussi l'une des plus grandes surfaces d'attaque du Web3.
Comment les approbations deviennent dangereuses
Les attaquants n'ont plus besoin d'une phrase de récupération. Il leur suffit d'une signature, obtenue via de faux airdrops, des sites d'hameçonnage, des portails de staking frauduleux, de fausses propositions de gouvernance, des pages de mint NFT malveillantes, ou des arnaques par livestream en deepfake. Une fois l'approbation accordée, un attaquant peut transférer des tokens, déplacer des NFT, vider des stablecoins, et exécuter des retraits automatisés, parfois en quelques minutes, parfois plusieurs jours plus tard.
Pourquoi déconnecter le portefeuille ne suffit pas
Déconnecter un portefeuille met simplement fin à la session active entre le portefeuille et le site web. Cela ne touche pas à une approbation précédemment accordée, qui peut rester active et passer inaperçue jusqu'à ce que quelqu'un la révoque manuellement. Beaucoup de victimes ferment l'onglet du navigateur en se croyant en sécurité, alors que l'attaquant conserve un accès complet aux tokens.
Comment fonctionnent les drainers de portefeuille modernes
En 2026, l'infrastructure des drainers est largement automatisée : elle peut scanner en continu les portefeuilles ayant accordé une approbation, surveiller les actifs entrants, prioriser les tokens de grande valeur, vider des NFT instantanément, et exécuter le vol dès que les conditions lui sont favorables. Certaines opérations retardent délibérément le vol pour éviter de déclencher une détection précoce, observant silencieusement un solde croître jusqu'à ce qu'un dépôt soit assez important pour valoir le risque.
Les autorisations illimitées, un multiplicateur caché
De nombreuses applications DeFi demandent des autorisations de tokens illimitées purement par commodité, pour éviter des confirmations répétées lors du trading ou du staking. Le prix de cette commodité est qu'un contrat malveillant, ou compromis plus tard, peut vider un solde entier, y compris les dépôts futurs, et l'attaquant conserve un accès persistant tant que l'autorisation reste en place.
Signes qu'une approbation pourrait déjà être compromise
- Des fenêtres pop-up de portefeuille fréquentes provenant de sites inconnus
- Une plateforme demandant un accès de dépense illimité sans raison claire
- Des comptes à rebours, de faux votes de gouvernance, ou des messages urgents de « migration » poussant à signer rapidement
- Des invites de transaction qui masquent la fonction réelle du contrat ou l'étendue de l'approbation
La première réponse d'urgence
Étape 1 : cessez toute interaction avec le portefeuille
Ne vous connectez à aucun autre site, n'approuvez aucune nouvelle transaction, ne suivez pas les instructions publiées sur les réseaux sociaux, et ne faites pas confiance aux messages non sollicités de « support de récupération ». Les attaquants surveillent fréquemment leurs victimes immédiatement après une compromission.
Étape 2 : révoquez les permissions suspectes
Passez en revue les autorisations de tokens, les permissions NFT, les dépensiers autorisés par smart contract, et tout accès délégué. C'est la suppression des approbations malveillantes, et non la déconnexion du site, qui empêche réellement un futur vidage automatisé.
Étape 3 : transférez les actifs restants
Déplacez les actifs vers un nouveau portefeuille, depuis un appareil sain si possible, en priorisant les stablecoins et les NFT de grande valeur. Ici, la rapidité compte plus que l'exhaustivité.
Étape 4 : sécurisez l'environnement
Vérifiez les extensions de navigateur, recherchez des malwares, repérez de fausses applications de portefeuille et des détourneurs de presse-papiers, et passez en revue les domaines récemment visités. Parfois, la compromission provient de l'appareil lui-même, et non d'une seule mauvaise signature.
Une approbation compromise peut rester dormante pendant des semaines avant son activation. L'absence de perte immédiate ne prouve pas que tout va bien, c'est souvent exactement à cela que ressemble un drainer patient, vu de l'intérieur.
Pourquoi le facteur temps compte autant
Les victimes retardent souvent la révocation des approbations parce qu'aucun fonds n'a disparu immédiatement, ou parce qu'elles supposent que l'interaction a simplement échoué. Les attaquants exploitent directement cette hésitation, surveillant en continu les portefeuilles approuvés pour repérer de nouveaux dépôts ou une hausse de la valeur des tokens avant d'agir.
Les faux services de récupération ciblent les victimes immédiatement
Après une compromission, de faux services de récupération promettent généralement une récupération garantie des actifs, un « renversement blockchain », ou une équipe de traçage privée, presque toujours contre des frais anticipés. Les victimes déjà sous stress émotionnel sont particulièrement vulnérables à cette seconde vague de manipulation.
Protection à long terme
Maintenez des portefeuilles distincts pour le stockage à froid, le trading actif, et l'expérimentation à risque plus élevé, afin qu'une seule mauvaise approbation ne puisse pas tout atteindre. Passez en revue les approbations actives à intervalles réguliers plutôt que seulement lorsque quelque chose semble anormal, évitez de signer à l'aveugle sans comprendre le dépensier et l'étendue de la permission, et considérez l'étape de vérification supplémentaire d'un portefeuille matériel comme un atout, pas comme une contrainte.
Conclusion
La blockchain exécute les permissions exactement telles qu'elles ont été accordées, sans jugement sur le fait que l'octroi ait été une erreur ou non. Si les approbations ne sont pas gérées activement, elles peuvent rester un vecteur d'attaque silencieux et permanent, attendant le bon moment. En matière de sécurité Web3, la prévention commence souvent non pas par la récupération des actifs après coup, mais par la révocation de l'accès avant qu'un attaquant ne l'utilise.