Guide · Risques des adresses · · par Stefan Tsezarov
L’adresse qui ressemble à la tienne
Elle commence comme la tienne. Elle finit comme la tienne. Ce n’est pas la tienne.
C’est l’empoisonnement d’adresse.
Quelqu’un fait entrer une adresse sosie dans ton historique de transactions et attend. Plus tard, tu ouvres ton historique, tu vois une ligne qui a l’air familière, tu la copies et tu envoies des fonds au mauvais endroit.
Pas de piratage de wallet. Pas de mot de passe volé. Pas de blockchain cassée.
Juste un mauvais copier-coller.
Ne copie jamais une adresse depuis ton historique de transactions.
Ce guide montre comment fonctionne l’astuce, pourquoi ne vérifier que le début et la fin d’une adresse est exactement ce que veut l’escroc, et comment le déjouer.
01Le piège est dans ton historique
La plupart des gens envoient de l’argent aux mêmes quelques endroits, encore et encore.
Un exchange. Un ami. Leur propre deuxième wallet. Une entreprise qu’ils utilisent régulièrement.
Les adresses blockchain sont publiques, donc les attaquants peuvent observer ces habitudes.
Ils créent alors une nouvelle adresse conçue pour ressembler à une adresse que tu utilises déjà.
Le début correspond.
La fin correspond.
Le milieu est différent.
Il faut maintenant que l’attaquant place cette adresse quelque part où tu la verras plus tard.
Ton historique de transactions est parfait pour ça.
Il peut envoyer un paiement minuscule, créer un transfert de token de valeur nulle, ou envoyer un token sans valeur portant un nom familier comme « USDT ».
Tu n’as rien demandé de tout ça.
C’est justement le but.
L’attaquant n’essaie pas de te voler maintenant.
Il plante une fausse adresse pour plus tard.
02Pourquoi vérifier les extrémités ne suffit pas
Les wallets et les explorateurs de blocs raccourcissent les longues adresses, parce que personne n’a envie de fixer une chaîne de 42 caractères sur un téléphone.
Tu verras donc peut-être 0x7a3F…9E2c au lieu de l’adresse complète.
Et naturellement, on vérifie ce qu’on voit.
« Oui. Ça commence par 7a3F. »
« Oui. Ça finit par 9E2c. »
« C’est forcément la même adresse. »
C’est exactement le piège.
L’attaquant n’a besoin de faire correspondre que la partie visible.
Générer des adresses ne coûte presque rien et s’automatise. Un logiciel peut créer un très grand nombre de candidates jusqu’à en trouver une avec le début et la fin voulus.
C’est au milieu que se trouve la vraie différence.
Et le milieu, c’est la partie que personne ne vérifie.
03Trois façons dont la fausse adresse peut apparaître
L’astuce n’a besoin ni de ton approbation ni de ta signature.
Un paiement minuscule
L’attaquant t’envoie une toute petite somme.
Elle apparaît dans ton activité récente, exactement là où tu pourrais chercher plus tard une adresse familière.
Un transfert de valeur nulle
Certains contrats de tokens permettent d’enregistrer sur la chaîne des transferts de zéro token.
Ton historique peut alors sembler contenir un transfert impliquant l’adresse sosie de l’attaquant, alors que tu ne l’as jamais lancé.
Un faux token
L’attaquant envoie un token sans valeur portant un nom ou un symbole familier.
Ton wallet peut afficher quelque chose qui ressemble à un actif normal.
C’est un appât.
Ces transactions ne donnent pas, par magie, le contrôle de ton wallet à l’attaquant.
Elles sont là pour rendre la mauvaise adresse familière.
04Une erreur à 68 millions de dollars
Ce n’est pas une astuce seulement théorique.
Le 3 mai 2024, quelqu’un a envoyé 1 155 wrapped bitcoins, d’une valeur d’environ 68 millions de dollars à l’époque, à une adresse sosie.
L’adresse avait été conçue pour ressembler à celle visée et avait été plantée dans l’historique de transactions de la victime.
Environ une semaine plus tard, après que la victime a publiquement proposé 10 % à l’attaquant pour qu’il rende les fonds, l’attaquant a renvoyé la valeur en ETH.
Une récupération remarquable.
Mais ne bâtis pas ta stratégie de sécurité sur la chance.
Chainalysis a ensuite retracé l’ensemble de la campagne et trouvé plus de 80 000 adresses sosies semées dans des historiques de transactions.
Seule une infime partie a jamais reçu un vrai paiement.
Et c’est ce qui fait fonctionner l’arnaque.
L’attaquant peut planter des milliers de pièges pour un coût dérisoire.
Il lui suffit qu’une seule personne copie une fois la mauvaise adresse.
05Cinq habitudes qui le déjouent
1. Copie depuis la source d’origine.
Utilise la page de dépôt de l’exchange, la facture, le destinataire ou une autre source fiable. Pas ton historique de transactions.
2. Enregistre les adresses fréquentes.
Le carnet d’adresses de ton wallet est plus sûr que de fouiller dans d’anciennes transactions.
3. Compare l’adresse entière.
Pas seulement les quatre premiers caractères. Pas seulement les quatre derniers. Compare tout.
4. Pour les gros transferts, teste d’abord.
Envoie une petite somme et fais confirmer sa réception par le destinataire par un autre canal. Un test n’aide que si quelqu’un le confirme vraiment.
5. Considère les transferts inattendus comme du bruit.
Les paiements minuscules, les transferts de valeur nulle et les tokens étranges peuvent être des appâts. N’interagis pas avec eux simplement parce qu’ils sont apparus dans ton wallet.
06Essaie toi-même
Voici deux adresses fictives.
Exemple fictif · l’adresse voulue
Exemple fictif · la sosie
Raccourcis maintenant les deux comme le fait d’habitude un wallet : 0x7a3F…9E2c
Elles ont l’air identiques.
Elles ne le sont pas.
Ouvre Comparer deux adresses dans le scanner et colle une adresse dans chaque champ.
Tu verras qu’elles sont différentes, même si le début et la fin correspondent.
C’est l’empoisonnement d’adresse sur un seul écran.
Et chaque caractère différent est mis en évidence.
07Ce que l’outil de comparaison peut et ne peut pas te dire
L’outil de comparaison répond à une seule question :
Ces deux adresses sont-elles vraiment identiques ?
C’est tout.
Il ne peut pas te dire laquelle est la bonne.
C’est important.
Si les deux adresses viennent de ton historique de transactions, les deux peuvent être fausses.
C’est la source d’origine fiable qui te dit quelle adresse utiliser.
L’outil ne te dit pas non plus à qui appartient une adresse ni si elle a été signalée comme risquée. C’est une autre vérification.
Un détail technique : sur les adresses de type Ethereum, les majuscules font partie de la somme de contrôle, donc l’outil de comparaison ignore la casse. Sur les chaînes où les majuscules comptent, il compare les caractères exactement.
La comparaison se fait dans ton navigateur.
Rien de ce que tu y colles n’est envoyé nulle part.
La règle
Copie depuis la source, pas depuis ton historique. Compare l’adresse entière, pas les extrémités.
C’est tout.
Une adresse qui a l’air familière peut quand même être complètement différente.
Avant d’envoyer, assure-toi que l’adresse que tu as copiée est bien celle que tu voulais utiliser.
Les deux adresses d’exemple de ce guide sont fictives. N’envoie de fonds à aucune des deux. Ce guide est une information générale, pas un conseil financier.