Un utilisateur de crypto a perdu environ 100 000 USDT après avoir transféré les fonds vers une adresse de portefeuille ressemblante placée dans l'historique des transactions de la victime 66 jours plus tôt.
Résumé
- Une victime a perdu environ 100 000 USDT dans une attaque par empoisonnement d'adresse.
- L'attaquant a placé la fausse adresse dans l'historique du portefeuille 66 jours avant le transfert.
- Les USDT volés ont été convertis en environ 52,8 ETH, selon Cyvers.
- L'empoisonnement d'adresse exploite les utilisateurs qui copient des adresses sans vérifier la chaîne de caractères complète.
Cyvers Alerts a signalé le 11 août que son système de surveillance a détecté la perte après que la victime a envoyé des fonds à une adresse contrôlée par un attaquant.
Comment l'attaque par empoisonnement d'adresse de 100 000 $ s'est déroulée
Environ 66 jours avant le vol, l'attaquant a envoyé des transactions impliquant le portefeuille de la victime, selon Cyvers. L'activité a placé une adresse malveillante dans l'historique des transactions du portefeuille, où elle apparaissait similaire à une adresse que la victime avait utilisée pour un transfert normal.
Lorsque la victime a ensuite préparé le paiement de 100 000 USDT, Cyvers a déclaré que l'utilisateur s'était fié à l'historique sans comparer l'adresse de destination complète. Les fonds sont donc allés à l'adresse ressemblante plutôt qu'au destinataire prévu.
L'empoisonnement d'adresse ne nécessite pas que l'attaquant obtienne une clé privée, compromette un contrat intelligent ou prenne le contrôle du portefeuille de la victime. Au lieu de cela, la méthode dépend de la longueur et du format des adresses de blockchain, que de nombreux portefeuilles et explorateurs de blocs raccourcissent en n'affichant que leurs premiers et derniers caractères.
Les attaquants génèrent des adresses qui correspondent aux parties visibles de l'adresse authentique d'un destinataire, puis utilisent des transferts de petite valeur ou de valeur nulle pour placer l'imitation dans le registre des transactions d'une cible. Un utilisateur qui ne vérifie que les caractères d'ouverture et de fermeture peut donc sélectionner le portefeuille de l'attaquant même si les chaînes complètes sont différentes.
Dans le dernier cas, Cyvers a attribué la perte à l'incapacité de la victime à vérifier l'adresse complète. La société de sécurité a conseillé aux utilisateurs de ne pas traiter l'historique des transactions comme un carnet d'adresses fiable et a recommandé de vérifier chaque caractère avant d'approuver un paiement en chaîne.
L'attaquant convertit les USDT volés en 52,8 ETH
Après le transfert, l'attaquant a échangé les USDT volés contre de l'Ethereum, a rapporté Cyvers. Le portefeuille récepteur détenait environ 52,8 ETH lorsque la société de sécurité a publié son alerte.
Cyvers a déclaré que la conversion semblait conçue pour réduire le risque que les stablecoins volés soient gelés. L'USDT est émis par Tether via des contrats intelligents qui permettent de bloquer des adresses spécifiques, tandis que l'ETH natif n'a pas d'émetteur avec une fonction de gel équivalente.
La conversion signifie également que la valeur des avoirs de l'attaquant peut changer avec le prix du marché de l'ETH. Cyvers n'a signalé aucune récupération, accord de restitution ou intervention d'échange dans son alerte initiale, et la société n'a pas non plus identifié publiquement la victime.
Aucune preuve citée dans l'alerte ne suggérait qu'un défaut dans Tether, Ethereum ou le logiciel de portefeuille de la victime ait causé le transfert. Cyvers a plutôt décrit l'incident comme une attaque d'ingénierie sociale qui a utilisé un faux enregistrement d'adresse pour exploiter les habitudes de paiement de la victime.
Les pertes par empoisonnement d'adresse ont atteint des millions
L'incident de 100 000 $ fait suite à plusieurs cas plus importants impliquant la même méthode. En février, crypto.news a précédemment rapporté que deux utilisateurs avaient perdu un total de 62 millions de dollars après avoir copié des adresses frauduleuses depuis leurs historiques de transactions.
Scam Sniffer a attribué environ 50 millions de dollars de ce total à un incident de décembre 2025, tandis qu'une autre victime a perdu environ 12,25 millions de dollars, soit environ 4 556 ETH à l'époque, en janvier 2026. La société de sécurité a déclaré que les attaquants avaient discrètement inséré des adresses ressemblantes dans les enregistrements d'activité récents des deux victimes.
Lors de l'affaire de décembre, un détenteur de stablecoin a d'abord envoyé un paiement de test de 50 USDT à la bonne destination. Un attaquant a ensuite inséré une adresse frauduleuse dans l'historique avec une transaction de poussière de 0,005 USDT, après quoi la victime a envoyé par erreur 49 999 950 USDT à l'adresse empoisonnée.
Les actifs volés ont été convertis en ETH et répartis sur plusieurs portefeuilles, selon un rapport antérieur sur le vol. La victime a ensuite offert à l'attaquant une prime de 1 million de dollars pour la restitution des fonds restants et a menacé de faire appel aux forces de l'ordre internationales.
Les faibles coûts de transaction ont également rendu les campagnes d'empoisonnement automatisées moins chères à opérer. Scam Sniffer a déclaré en février que des millions de transactions de poussière étaient envoyées chaque jour, dont beaucoup créées pour préparer de futurs vols possibles plutôt que pour transférer des fonds entre utilisateurs légitimes.
En mars, un utilisateur de stablecoin a signalé avoir reçu 89 alertes d'empoisonnement en 30 minutes après avoir effectué seulement deux transferts légitimes. L'ancien PDG de Binance, Changpeng Zhao, a ensuite critiqué les explorateurs de transactions qui continuaient à afficher les entrées malveillantes.
Les législateurs américains ont proposé un groupe de travail sur la fraude crypto
Pour les utilisateurs américains, l'empoisonnement d'adresse relève d'une catégorie croissante de fraude aux actifs numériques que les législateurs ont cherché à traiter par le biais d'une coordination interagences. Les sénateurs Elissa Slotkin et Jerry Moran ont présenté la loi bipartisane Strengthening Agency Frameworks for Enforcement of Cryptocurrency Act, connue sous le nom de SAFE Crypto Act, en 2025.
Selon les sponsors du projet de loi, la législation proposée établirait un groupe de travail fédéral axé sur l'identification, la surveillance et la prévention des escroqueries cryptographiques. Ses membres comprendraient des représentants d'agences gouvernementales, des forces de l'ordre, des entreprises d'actifs numériques, des émetteurs de stablecoins, des sociétés de renseignement blockchain et des organisations de protection des consommateurs.
La proposition couvre plusieurs formes de criminalité cryptographique, notamment la fraude à l'investissement, le blanchiment d'argent, les systèmes de Ponzi, les rug pulls et les ventes frauduleuses de jetons. Les sponsors ont déclaré que le groupe de travail examinerait les modèles d'escroquerie et améliorerait la coordination entre les autorités fédérales et les spécialistes du secteur privé.
Le projet de loi ne crée pas de programme de remboursement pour les utilisateurs qui autorisent par erreur des transferts irréversibles. Comme la couverture antérieure l'a expliqué, son groupe de travail proposé se concentrerait sur la détection, la perturbation et la coopération entre les agences et les acteurs de l'industrie.
Des vérifications complètes d'adresse peuvent exposer les enregistrements empoisonnés
Cyvers a conseillé aux utilisateurs de comparer les adresses complètes des portefeuilles plutôt que de se fier aux enregistrements raccourcis dans les historiques de transactions. Pour les transferts importants, les spécialistes de la sécurité recommandent également de confirmer la destination via un canal de communication séparé et d'envoyer un petit montant de test avant de transférer le solde restant.
Un paiement de test seul peut ne pas empêcher une attaque d'empoisonnement, comme l'a démontré le vol de décembre 2025. Parce qu'un attaquant peut insérer une adresse ressemblante immédiatement après le test, l'expéditeur doit vérifier que l'adresse utilisée pour le transfert principal est identique à celle utilisée pour la transaction de test.
Les listes blanches d'adresses peuvent ajouter un autre contrôle en limitant les retraits aux destinations approuvées à l'avance. Les portefeuilles matériels peuvent également afficher les détails de la transaction avant de signer, bien que les utilisateurs doivent toujours lire et comparer la destination affichée sur l'appareil.
Les interfaces de portefeuille et les explorateurs de blockchain ont commencé à filtrer les entrées suspectes, mais les protections varient selon la plateforme. Un rapport de mars a révélé qu'Etherscan masquait les transferts de valeur nulle par défaut, tandis que BscScan et Basescan exigeaient des utilisateurs qu'ils activent une option "masquer les transactions de 0 montant" pour supprimer ces enregistrements de la vue.
