La page d’une place de marché vous montre un nom, une image, une collection et parfois un avertissement indiquant que l’objet a été déclaré volé. Aucune de ces quatre choses n’est un fait consigné par la blockchain. La chaîne consigne quel contrat détient quel token ID et à qui il appartient à l’instant présent ; tout le reste de la page est une affirmation de la place de marché ou de celui qui a frappé l’objet. Lire une annonce sans danger revient à séparer les deux.
Ce qu’est réellement une annonce sur une place de marché
Une annonce est une offre de vente à des conditions énoncées et, dans la conception à ordres signés, c’est un message et non une transaction. Le vendeur garde l’objet, signe les conditions avec son portefeuille, et la place de marché conserve cette signature. Le jeton ne bouge que lorsqu’un acheteur soumet une transaction qui exécute l’offre. EIP-712, la norme Ethereum pour le hachage et la signature de données structurées typées, a été écrite exactement pour ce schéma : son objectif annoncé est d’améliorer l’utilisabilité de la signature de messages hors chaîne en vue d’un usage sur la chaîne, parce que cela économise du gaz et réduit le nombre de transactions sur la blockchain.
Du fait que l’offre vit hors chaîne découlent deux conséquences. Une place de marché peut afficher une annonce, la masquer ou refuser de la servir, et aucun de ces actes ne touche le jeton. Et comme l’exécution doit sortir l’objet du portefeuille du vendeur, celui-ci a dû accorder au préalable une permission au contrat de la place de marché, c’est-à-dire une approbation de jetons ordinaire, que la norme ERC-721 décrit comme le fait d’autoriser un opérateur à gérer l’ensemble des actifs de l’appelant.
Pourquoi une contrefaçon convaincante ne coûte presque rien
La frappe est ouverte. N’importe qui peut déployer un contrat suivant le même standard de jetons qu’une collection existante, lui donner le même nom et le même symbole, faire pointer chaque objet vers les mêmes images et en frapper 10 000. La norme ne l’en empêche pas, car elle définit comment un jeton se transfère et à qui il appartient, et ne dit rien de ce qu’un jeton a le droit de représenter.
C’est là que l’unicité des NFT doit être formulée avec précision. Le jeton est unique : ERC-721 identifie chaque NFT par un identifiant uint256 unique à l’intérieur de son propre contrat, et cette écriture ne peut être ni dupliquée ni divisée. L’image vers laquelle l’écriture pointe n’a pas cette protection. L’unicité est une propriété de l’écriture au registre, pas de l’œuvre.
Ce qui rend la copie bon marché, ce sont les métadonnées. Dans l’extension de métadonnées, tokenURI renvoie un identifiant uniforme de ressource distinct pour un actif donné, et la norme précise que cet identifiant peut pointer vers un fichier JSON conforme au ERC721 Metadata JSON Schema. Un identifiant est un pointeur. Deux contrats différents peuvent pointer vers le même fichier, et celui qui contrôle la destination peut ensuite changer ce qui s’y trouve.
Le seul identifiant qui ne se copie pas
L’adresse du contrat est la partie qu’une copie ne peut pas emporter. ERC-721 énonce que le couple formé par l’adresse du contrat et le token ID constitue un identifiant globalement unique et pleinement qualifié d’un actif précis sur une chaîne Ethereum. Deux collections peuvent partager un nom, un symbole et chaque image ; elles ne peuvent pas partager une adresse.
La vérification qui tranche une annonce falsifiée n’est donc pas visuelle. Prenez l’adresse du contrat figurant sur l’annonce et comparez-la caractère par caractère avec l’adresse que le projet publie sur un canal auquel vous êtes parvenu vous-même. Si elles diffèrent, l’objet devant vous appartient à une autre collection, quoi qu’affiche le haut de la page.
La détection d’interfaces ne comble pas cet écart. ERC-165 crée une méthode standard pour publier et détecter quelles interfaces un contrat intelligent implémente, et l’appelant peut invoquer supportsInterface pour déterminer si un contrat implémente une interface qu’il peut utiliser. Cela vous dit que le contrat se comporte comme un contrat NFT. Cela ne vous dit pas qu’il s’agit du contrat que vous visiez.
Ce qu’est un badge de vérification et ce qu’il n’est pas
Un badge est une attestation de la place de marché. Il indique qu’un compte ou une collection a passé l’examen que cette place de marché mène, ce qui en fait une déclaration sur les registres propres de la place de marché : accordé par cette plateforme, valable sur cette plateforme et retirable par cette plateforme.
Le badge ne voyage donc pas. Un même contrat peut porter un badge sur une plateforme et aucun sur une autre, et le jeton est identique dans les deux cas, parce que rien du badge n’est inscrit sur la chaîne. Lisez-le comme une entrée parmi plusieurs et gardez la comparaison d’adresses comme celle qui décide.
Les badges appellent en outre une usurpation d’identité qui leur est propre. Une capture d’écran de badge, un nom de collection dont un caractère a été changé ou un profil recopié sur un vrai compte coûtent moins cher à produire qu’un badge à obtenir, et ils fonctionnent sur quiconque cesse de lire au badge.
Ce qu’est un signalement de vol et ce qu’il arrête
Un signalement est une note dans la base de données propre d’une place de marché, apposée après que quelqu’un a déclaré qu’un objet lui avait été pris. Cette déclaration est l’affirmation d’une personne, et le signalement enregistre que l’affirmation a été reçue et admise à l’examen, pas qu’un tribunal ait tranché quoi que ce soit.
La chaîne n’a pas de champ équivalent. L’interface que définit ERC-721 couvre les soldes, la propriété, les transferts et les approbations, et s’arrête là : la fonction ownerOf répond à la question de savoir qui détient un jeton, et aucune fonction ne répond à celle de savoir comment il en est venu à le détenir. Le blocage ne figure pas davantage dans cette interface. La spécification indique qu’une implémentation peut lever une exception dans d’autres situations encore, et cite le fait d’empêcher une adresse de recevoir des NFT comme l’un de ces choix facultatifs, ce qui place cette décision à l’intérieur d’un contrat particulier plutôt que dans la norme que toutes les collections partagent.
Cet écart décide de ce qu’un signalement peut faire. Sur ses propres surfaces, une place de marché peut masquer l’objet, désactiver l’achat et la vente et avertir quiconque ouvre la page. Au-delà de ces surfaces, elle n’a aucun levier : le propriétaire peut toujours appeler transferFrom, une autre plateforme tient des registres distincts et peut présenter le même objet comme ordinaire, et le signalement ne rend pas l’objet à la personne qui l’a perdu. Si un transfert venait à être bloqué au niveau du contrat, c’est le code propre de la collection qui agirait, et non le signalement de la place de marché.
Deux situations en découlent. Si vous détenez un objet signalé, votre recours passe par la procédure d’appel de la place de marché elle-même, puisque le signalement réside chez elle. Si vous êtes sur le point d’en acheter un, comprenez ce que vous détiendriez : un objet que la chaîne dit vôtre et que la plateforme où vous l’avez acheté ne vous laissera pas revendre.
| Question sur un objet | Où la réponse est conservée | Voyage-t-elle avec le jeton |
|---|---|---|
| À qui il appartient à l’instant présent | Au contrat, via ownerOf | Oui |
| De quel contrat et de quel token ID il s’agit | À la chaîne elle-même | Oui |
| Si la collection est bien l’officielle | Aux registres propres de la place de marché | Non |
| S’il a été déclaré volé | Aux registres propres de la place de marché | Non |
| Si vous avez le droit de l’échanger ici | Aux règles propres de la place de marché | Non |
L’annonce qui est en réalité une demande de signature
Certaines annonces falsifiées ne vendent rien. La page existe pour placer devant vous une demande de signature, et cette demande porte sur une approbation couvrant toute votre collection plutôt que sur un achat. Signez-la et la contrepartie pourra déplacer chaque objet que cette approbation couvre, ce qui est le mécanisme derrière un drainer de portefeuille.
L’histoire de la norme de signature explique pourquoi cela se repère mal à l’œil. EIP-712 a été écrite parce que les messages signés étaient auparavant une chaîne hexadécimale opaque affichée à l’utilisateur avec très peu de contexte sur les éléments qui composent le message. La signature structurée a amélioré cela, et elle a du même coup donné à une arnaque une enveloppe d’apparence légitime, de sorte que la protection consiste à lire le contenu décodé plutôt qu’à se fier à la forme de la fenêtre.
Deux habitudes réduisent la surface. Rejoignez une place de marché par une adresse que vous avez enregistrée vous-même plutôt que par un lien arrivé jusqu’à vous ; et lisez ce que la demande autorise : un achat coûte de l’argent et déplace un jeton, tandis qu’une approbation ne coûte rien au moment de la signature et accorde une permission durable sur beaucoup.
Ce qu’il faut vérifier avant d’acheter
| Ce qu’il faut vérifier | Ce à quoi le comparer | Ce qu’un écart signifie |
|---|---|---|
| Adresse du contrat | À l’adresse que le projet publie lui-même | Une autre collection, quoi que dise le nom |
| Token ID | À l’objet que vous croyez acheter | L’annonce pointe vers un autre objet |
| Métadonnées et image | Aux fichiers que la collection publie | L’image est empruntée, pas la sienne |
| La demande de signature | À l’action que vous visiez | Vous accordez un accès au lieu d’acheter |
| Statut d’échange sur la plateforme | Au fait qu’un signalement soit joint à l’objet | La revente sur cette plateforme peut être bloquée |
L’ordre compte ici. La comparaison d’adresses vient en premier parce que c’est la seule ligne adossée à la chaîne, alors que chacune des autres est un registre tenu par quelqu’un. Faites-la avant de regarder le prix, la rareté ou le temps que la page annonce comme restant.
En résumé
La page d’une place de marché mêle deux sortes d’énoncés. La chaîne apporte un ensemble restreint et vérifiable : quel contrat, quel token ID et à qui il appartient maintenant. La place de marché apporte le reste, y compris les noms de collection, les badges et tout signalement de vol, et tout cela est son propre registre et non une propriété du jeton.
Les annonces falsifiées vivent du premier mélange : elles copient tout ce qui se copie gratuitement en comptant sur le fait que vous ne vérifierez jamais l’adresse. Les signalements relèvent du second : une information réelle, tenue par une seule plateforme, sans portée sur la chaîne ni sur les autres plateformes. Comparez l’adresse du contrat avant toute chose, lisez ce qu’une fenêtre vous demande de signer, et traitez un signalement comme un signal sur les registres d’une place de marché plutôt que comme un verdict sur l’objet. Pour continuer à apprendre les fondamentaux, retrouvez d’autres articles de Bitbase Academy.
Articles associés
Autres articles Bitbase sur ce sujet :
- Les arnaques aux offres d’achat de NFT et aux faux jetons
- Manipulation du prix plancher sur les marketplaces de jetons non fongibles
- Sécurité de connexion en crypto : comment protéger votre compte
- Les indicateurs de congestion du réseau et ce que chacun mesure
- Qu'est-ce qu'une adresse de change Bitcoin ? Où va votre monnaie
Avertissement : Cet article est un contenu pédagogique de Bitbase Academy, fourni à titre d'information uniquement. Il ne constitue pas un conseil en investissement, en trading, en fiscalité ou en finance. Les cryptoactifs sont volatils ; évaluez votre propre risque. Rédigé en septembre 2026 ; référez-vous aux informations officielles les plus récentes.
Sources
[1] Ethereum Improvement Proposals, ERC-721: Non-Fungible Token Standard, statut Final eips.ethereum.org
[2] Ethereum Improvement Proposals, EIP-712: Typed structured data hashing and signing, statut Final eips.ethereum.org
[3] Ethereum Improvement Proposals, ERC-165: Standard Interface Detection, statut Final eips.ethereum.org
