Incident de perte de cryptomonnaie
Un utilisateur de cryptomonnaie a perdu environ 100 000 USDT après avoir transféré des fonds vers une adresse de portefeuille similaire à celle qu’il avait utilisée dans son historique de transactions, 66 jours plus tôt. Cyvers Alerts a rapporté le 11 août que son système de surveillance avait détecté cette perte après que la victime a envoyé des fonds à une adresse contrôlée par un attaquant.
ALERTE : Notre système a détecté une attaque par empoisonnement d’adresse entraînant une perte de 100 000 USDT à l’adresse suivante : solana:Es9vMFrzaCERmJfrF4H2FYD4KCoNkY11McCe8BenwNYB.
L’escroc avait initialement empoisonné le portefeuille de la victime il y a environ 66 jours, et aujourd’hui, la victime a, sans le savoir, envoyé des fonds à l’adresse de l’escroc. Selon Cyvers, environ 66 jours avant le vol, l’attaquant avait effectué des transactions impliquant le portefeuille de la victime. Cette activité a permis d’insérer une adresse malveillante dans l’historique des transactions du portefeuille, où elle apparaissait similaire à une adresse que la victime avait utilisée pour un transfert normal.
Lorsque la victime a ensuite préparé le paiement de 100 000 USDT, Cyvers a déclaré que l’utilisateur s’était fié à l’enregistrement historique sans comparer l’adresse de destination dans son intégralité. Les fonds ont donc été envoyés à l’adresse ressemblante plutôt qu’au destinataire prévu.
Mécanisme de l’empoisonnement d’adresse
L’empoisonnement d’adresse ne nécessite pas qu’un attaquant obtienne une clé privée, compromette un contrat intelligent ou prenne le contrôle du portefeuille de la victime. Au lieu de cela, cette méthode repose sur la longueur et le format des adresses blockchain, que de nombreux portefeuilles et explorateurs de blocs raccourcissent en affichant uniquement les premiers et derniers caractères.
Les attaquants génèrent des adresses qui correspondent aux parties visibles de l’adresse authentique d’un destinataire et utilisent ensuite de petits transferts ou des transferts de valeur nulle pour placer l’imitation dans l’enregistrement de transaction d’une cible. Un utilisateur qui vérifie uniquement les caractères d’ouverture et de fermeture peut donc sélectionner le portefeuille de l’attaquant, même si les chaînes complètes sont différentes.
Dans ce cas, Cyvers a attribué la perte à l’échec de la victime à vérifier l’adresse complète. La société de sécurité a conseillé aux utilisateurs de ne pas considérer l’historique des transactions comme un carnet d’adresses de confiance et a recommandé de vérifier chaque caractère avant d’approuver un paiement sur la chaîne.
Conséquences et recommandations
Après le transfert, l’attaquant a échangé les USDT volés contre de l’Ethereum, a rapporté Cyvers. Le portefeuille récepteur contenait environ 52,8 ETH lorsque la société de sécurité a publié son alerte. Cyvers a déclaré que cette conversion semblait conçue pour réduire le risque que les stablecoins volés puissent être gelés.
Les USDT sont émis par Tether via des contrats intelligents qui permettent de bloquer des adresses spécifiques, tandis que l’ETH natif n’a pas d’émetteur avec une fonction de gel équivalente. La conversion signifie également que la valeur des avoirs de l’attaquant peut fluctuer avec le prix du marché de l’ETH.
Cyvers n’a pas signalé de récupération, d’accord de retour ou d’intervention d’échange dans son alerte initiale, ni identifié publiquement la victime. Aucune preuve citée dans l’alerte n’a suggéré qu’un défaut dans Tether, Ethereum ou le logiciel de portefeuille de la victime ait causé le transfert. Cyvers a plutôt décrit l’incident comme une attaque d’ingénierie sociale qui a utilisé un enregistrement d’adresse falsifié pour exploiter les habitudes de paiement de la victime.
Contexte et législation
Cet incident de 100 000 USDT fait suite à plusieurs cas plus importants impliquant la même méthode. En février, crypto.news a précédemment rapporté que deux utilisateurs avaient perdu un total combiné de 62 millions de dollars après avoir copié des adresses frauduleuses de leurs historiques de transactions.
Les faibles coûts de transaction ont également rendu les campagnes d’empoisonnement automatisées moins coûteuses à exploiter. Scam Sniffer a déclaré en février que des millions de transactions de poussière étaient envoyées chaque jour, beaucoup créées pour préparer de futurs vols possibles plutôt que de déplacer des fonds entre utilisateurs légitimes.
Pour les utilisateurs américains, l’empoisonnement d’adresse fait partie d’une catégorie croissante de fraudes sur les actifs numériques que les législateurs ont cherché à aborder par le biais d’une coordination inter-agences. Les sénateurs Elissa Slotkin et Jerry Moran ont introduit la loi bipartisane Strengthening Agency Frameworks for Enforcement of Cryptocurrency Act, connue sous le nom de SAFE Crypto Act, en 2025.
La proposition couvre plusieurs formes de crimes liés à la crypto, y compris la fraude à l’investissement, le blanchiment d’argent, les systèmes de Ponzi, les rug pulls et les ventes de jetons frauduleuses. Les sponsors ont déclaré que le groupe de travail examinerait les schémas d’escroquerie et améliorerait la coordination entre les autorités fédérales et les spécialistes du secteur privé.
Conseils de sécurité
Cyvers a conseillé aux utilisateurs de comparer les adresses de portefeuille complètes plutôt que de se fier aux enregistrements raccourcis dans les historiques de transactions. Pour les gros transferts, les spécialistes de la sécurité recommandent également de confirmer la destination par un canal de communication séparé et d’envoyer un petit montant de test avant de déplacer le solde restant.
Les listes blanches d’adresses peuvent ajouter un autre contrôle en limitant les retraits aux destinations approuvées à l’avance. Les portefeuilles matériels peuvent également afficher les détails de la transaction avant la signature, bien que les utilisateurs doivent toujours lire et comparer la destination affichée sur l’appareil.
Les interfaces de portefeuille et les explorateurs de blockchain ont commencé à filtrer les entrées suspectes, mais les protections varient selon la plateforme.
