Une victime malchanceuse perd 600 k$ alors que les attaques par empoisonnement d'adresses augmentent

Une simple erreur de copier-coller a coûté 600 000 $ à un trader malchanceux aujourd'hui, le 17 février, après que la firme de sécurité blockchain Cyvers a découvert le dernier incident dans ce qui est devenu une vague incessante d'attaques par empoisonnement d'adresses cette année.

Cyvers Alerts a découvert l'attaque en utilisant son système de surveillance blockchain en temps réel et a découvert que la victime avait été ciblée à l'aide de transferts à valeur nulle. 

Les transferts à valeur nulle désignent une technique où les attaquants envoient de fausses transactions au portefeuille d'une victime pour contaminer leur historique de transactions avec une adresse similaire. Une fois les vecteurs implantés, l'adresse empoisonnée reste dans l'historique de la victime, attendant le moment où elle tentera un copier-coller rapide au lieu de saisir ou de vérifier manuellement chaque caractère de l'adresse du portefeuille. 

Généralement, les victimes perdent tous les actifs impliqués dans ce transfert en raison de l'irréversibilité des transferts blockchain.

La perte de 600 k$ s'ajoute à une avalanche d'attaques par empoisonnement d'adresses en 2026

L'incident de 600 000 $ n'est qu'un parmi tant d'autres. Les attaques par empoisonnement d'adresses se sont intensifiées rapidement en fréquence et en ampleur, et cette année seule a déjà produit plusieurs pertes de haut profil qui dressent un tableau alarmant des menaces auxquelles l'industrie fait face actuellement.

En décembre 2025, un trader de cryptomonnaies a perdu $50 millions en USDT après avoir copié une fausse adresse depuis son historique, la deuxième plus grande perte par empoisonnement d'adresse jamais enregistrée. Apparemment, la victime avait retiré les fonds de Binance, envoyé une transaction de test de 50 $ à la bonne adresse, puis quelques minutes plus tard, copié l'adresse empoisonnée pour un transfert complet de Transfert de $50 millions. 

L'attaquant a ensuite converti les USDT volés en jetons DAI, puis en environ 16 690 ETH en 30 minutes, acheminant la majeure partie via Tornado Cash pour masquer sa piste. La victime a offert une prime de 1 million de dollars pour le recouvrement de 98 % des fonds et a menacé de poursuites pénales si les conditions n'étaient pas respectées.

Janvier 2026 n'a pas fait exception. Le janvier 16, une victime a perdu $514,000 en USDT après avoir envoyé une transaction test de 5 000 $ à une adresse empoisonnée se terminant par « f3e6F », qui correspondait presque exactement à celle du destinataire prévu se terminant par « D3E6F », avant de procéder au virement intégral quelques minutes plus tard. 

Deux semaines plus tard, une autre victime a perdu 12,25 millions de dollars après avoir envoyé 4 556 ETH à une adresse contrôlée par l'attaquant, copiée depuis un historique de transactions contaminé. ScamSniffer, qui a signalé cet incident, a observé que les deux adresses étaient pratiquement identiques dans les caractères visibles, la seule différence étant masquée dans les sections centrales cachées que la plupart des portefeuilles abrègent.

La victime de ce mois-ci s'ajoute désormais à une série de pertes ayant coûté des millions de dollars aux utilisateurs en moins de trois mois, principalement en raison d'attaques plus rusées et d'une base d'utilisateurs qui s'en remet toujours aux affichages abrégés des adresses et aux habitudes de copier-coller pour les transactions courantes.

Plus d'un million de tentatives d'empoisonnement sur Ethereum par jour

Selon les rapports des spécialistes de Cyvers, plus d'un million de tentatives d'empoisonnement sont effectuées chaque jour sur le réseau Ethereum uniquement. 

Une autre étude a révélé au moins sept groupes d'attaquants distincts menant activement des campagnes d'empoisonnement d'adresses sur Ethereum, certains groupes réutilisant leurs fausses adresses à la fois sur Ethereum et sur la Binance Smart Chain simultanément. 

L'étude a confirmé que les attaquants préfèrent cibler les portefeuilles à haute valeur avec des historiques de transactions fréquents, et qu'ils effectuent généralement des analyses statistiques des soldes USDT et USDC pour identifier les victimes potentielles les plus rentables avant de déployer leurs fausses transactions.

« De plus en plus d'utilisateurs et d'institutions utilisent des outils automatisés pour les transactions crypto, dont certains ne disposent peut-être pas de mécanismes de vérification intégrés pour détecter les adresses empoisonnées », a déclaré le PDG de Cyvers. Il a ajouté que « la sophistication croissante des attaquants et le manque de mesures de sécurité avant la transaction » sont les principaux moteurs de cette augmentation.

Les acteurs de l'industrie ont également commencé à exprimer leurs opinions. Certains ont publiquement appelé les développeurs de portefeuilles à bloquer par défaut les adresses empoisonnées suite à la perte de 50 millions de dollars en décembre. 

Comme l'a signalé Cryptopolitan a rapporté le 24 décembre 2025, CZ a proposé un plan de protection des utilisateurs de cryptomonnaies contre les transactions frauduleuses.

« Notre industrie devrait être en mesure d'éradiquer complètement ce type d'attaques par empoisonnement et de protéger nos utilisateurs », a écrit CZ sur la plateforme sociale de Binance. « Tous les portefeuilles devraient simplement vérifier si une adresse de réception est une « adresse empoisonnée » et bloquer l'utilisateur. »

D'autres fournisseurs de portefeuilles explorent désormais des évaluations des risques pré-exécution qui simulent une transaction avant sa signature, et montrent aux utilisateurs exactement où iront leurs fonds avant de leur demander de confirmer. 

Certains chercheurs ont également plaidé pour l'ajout d'adresses fréquemment utilisées dans les paramètres du portefeuille afin d'éliminer toute dépendance aux historiques de transactions.