Empoisonnement d'adresses : l'arnaque du copier-coller à 50 millions de dollars

Le 20 décembre 2025, quelqu'un a envoyé 49 999 950 USDT — un peu moins de 50 millions de dollars — à la mauvaise adresse. Aucun piratage. Aucune clé volée. Cette personne a copié une adresse dans son propre historique de transactions et l'a collée, comme elle l'avait fait cent fois avant. Vingt-six minutes plus tôt, elle avait fait un transfert test de 50 dollars, par précaution. L'escroc surveillait, a glissé une adresse quasi identique dans cet historique, et a attendu. Un collage, et l'argent était parti. CoinDesk l'a décrite comme l'une des plus grosses pertes individuelles de ce genre.

C'est ça, l'empoisonnement d'adresses. Rien d'ingénieux côté code. C'est un piège qui exploite une habitude partagée par presque tout le monde dans la crypto : copier une adresse depuis une transaction passée au lieu d'aller la chercher à la source. Et en 2025, ce n'est plus un cas rare.

Comment fonctionne le piège

L'attaquant commence par générer une adresse « sosie » : une adresse dont les premiers et les derniers caractères correspondent à ceux d'une adresse que vous utilisez souvent. Un logiciel bon marché teste des milliards de paires de clés en force brute jusqu'à trouver une correspondance sur les portions que votre œil lit vraiment. Ensuite, il fait entrer cette fausse adresse dans votre historique de transactions, pour qu'elle se retrouve juste à côté de la vraie.

Trois méthodes reviennent :

• Les transferts à valeur nulle. L'escroc envoie un transfert de 0 dollar qui semble venir d'un sosie usurpé d'une adresse en laquelle vous avez confiance. Aucune signature de votre part n'est nécessaire : il apparaît simplement dans votre historique. Plus tard, vous remontez le fil, attrapez l'adresse qui « a l'air bonne », et envoyez pour de vrai.
• La poussière. Un montant minuscule — quelques centimes — depuis l'adresse sosie. Même effet : ça atterrit dans votre historique avec l'allure d'un paiement passé tout à fait normal.
• Le détournement du presse-papiers. Un logiciel malveillant installé sur votre appareil remplace en silence l'adresse copiée par celle de l'attaquant au moment où vous collez. Vous ne voyez jamais l'échange.

Les deux premières dominent : elles ne coûtent presque rien à l'attaquant et se déploient sur des millions de cibles d'un coup.

Ce n'est pas rare, c'est industriel

Depuis janvier 2025, la société de sécurité Blockaid a repéré plus de 65 millions de transactions d'empoisonnement d'adresses on-chain — plus de 160 000 par jour. La grande majorité échoue. Mais environ 316 000 ont fonctionné : une vraie personne a envoyé de vrais fonds vers une adresse empoisonnée. Soit à peu près 1 tentative sur 200 qui aboutit.

Et celles qui aboutissent frappent fort. En mai 2025, un trader a perdu 843 000 dollars à cause d'un faux transfert à valeur nulle — puis, trois heures plus tard, en a envoyé 1,75 million de plus de la même manière, soit environ 2,6 millions de dollars au total. La perte de 50 millions de dollars de décembre est le record à ce jour.

Pourquoi ça vise les prudents, pas les négligents

On croirait que ça piège les débutants. C'est l'inverse. L'empoisonnement rapporte sur les portefeuilles qui bougent beaucoup, souvent : plateformes d'échange, bureaux OTC, trésoreries, traders actifs. Plus votre historique compte de transactions, plus il y a d'endroits où cacher un sosie, et plus vous risquez d'aller vite, par automatisme. Les attaquants vont jusqu'à choisir leur moment : ils guettent un vrai transfert vers une contrepartie, puis empoisonnent l'historique quelques minutes après, pour que la fausse adresse soit l'entrée la plus fraîche quand vous revenez répéter le paiement. La perte de décembre a suivi exactement ce schéma : un vrai transfert test, une adresse plantée, un envoi complet moins d'une demi-heure plus tard.

L'adresse, c'est toute l'histoire

Voici la partie inconfortable. On-chain, il n'y a pas d'« annuler », et aucun nom n'est rattaché à une adresse. Pour votre œil, la fausse et la vraie se ressemblent : identiques au début et à la fin, différentes seulement sur la portion du milieu que vous ne vérifiez jamais. Votre portefeuille vous affiche quelque chose comme 0x71C7…9F2A, et l'imposteur affiche la même chose. Cet aperçu tronqué est exactement ce sur quoi l'arnaque est bâtie.

Donc la parade n'est ni une extension ni un produit. C'est une habitude, plus une vérification.

Ce qui vous protège vraiment

• N'envoyez jamais depuis votre historique. Récupérez l'adresse auprès de la personne ou de la source d'origine à chaque fois, même quand c'est plus lent. Votre historique est le seul endroit que l'attaquant contrôle.
• Lisez le milieu, pas seulement les extrémités. Comparez 6 à 8 caractères du milieu de l'adresse avec une source fiable. C'est la partie qu'un sosie ne peut pas imiter.
• Testez — puis revérifiez. Un petit transfert test, c'est bien, mais confirmez qu'il est arrivé à la vraie destination et revérifiez l'adresse avant le gros envoi. La victime des 50 millions de dollars avait bien fait un test ; elle n'a simplement pas regardé une deuxième fois.
• Tenez un carnet d'adresses. Enregistrez les adresses que vous réutilisez dans une liste blanche de votre portefeuille : vous choisissez un contact enregistré au lieu de faire défiler l'historique brut.
• Vérifiez avant de libérer les fonds. Sur un paiement professionnel, ou pour toute adresse que vous n'avez pas tapée vous-même, vérifiez d'abord l'adresse elle-même. Un contrôle rapide dit si elle est liée à des arnaques connues, à des mixeurs ou à des sanctions — et il vous force à regarder la chaîne complète au lieu d'un aperçu tronqué.

L'empoisonnement d'adresses marche précisément parce qu'il est ennuyeux. Il ne casse rien ; il attend une demi-seconde de pilotage automatique. Les gens qui perdent des millions ne sont pas négligents : ils sont rapides. Prenez les dix secondes qu'il faut pour lire l'adresse en entier, allez la chercher à la source plutôt que dans votre historique, et le copier-coller le plus cher de la crypto ne vous arrivera tout simplement pas.