Fraude à la facture crypto : une adresse remplacée

Un fournisseur que vous avez déjà payé neuf fois envoie la facture numéro dix. Même modèle, même bloc de signature, même interlocuteur qu'au téléphone mardi. Une seule ligne change : l'adresse du portefeuille. Vous payez. Quatre-vingt-dix secondes plus tard, les fonds ont été convertis, fractionnés et déplacés, et il n'y a aucune banque à appeler, ni d'un côté ni de l'autre.

L'Internet Crime Complaint Center du FBI a enregistré 24 768 signalements de business email compromise en 2025, pour 3,05 milliards de dollars de pertes déclarées, contre 21 442 signalements et 2,77 milliards l'année précédente. L'essentiel de cet argent circule encore par virement bancaire. Mais cette fraude suit le canal que la victime utilise réellement, et une part croissante des factures se règle aujourd'hui en USDT et en USDC.

Personne n'attaque la blockchain

La chaîne n'est pas le maillon faible. Le fil de discussion l'est.

Il y a deux formes courantes. Dans la première, quelqu'un est installé dans une boîte mail — la vôtre ou celle de votre fournisseur — et lit la correspondance réelle. Il attend qu'une vraie facture parte, puis envoie une relance courte : nous avons changé de prestataire bancaire, merci d'utiliser l'adresse mise à jour ci-dessous. Le message arrive dans le même fil, sous le même nom affiché, souvent en citant le message précédent. L'IC3 résume la version classique en une phrase : un fournisseur avec lequel vous traitez régulièrement envoie une facture comportant une adresse de paiement mise à jour.

Dans la seconde, rien n'est réécrit sauf la chaîne de caractères elle-même. L'attaquant substitue une adresse dont les quatre premiers et les quatre derniers caractères correspondent à ceux de la vraie. Quiconque vérifie une destination de paiement comme le fait presque tout le monde — un coup d'œil au début, un coup d'œil à la fin, on valide — la laissera passer. C'est la faiblesse qu'exploite l'address poisoning, appliquée à un document plutôt qu'à un historique de transactions.

Les deux marchent pour la même raison. On ne demande rien d'inhabituel à la victime. On lui demande de payer une facture qu'elle attendait déjà.

En crypto, il n'y a pas de seconde chance

Un virement bancaire mal dirigé, c'est ennuyeux. C'est aussi parfois récupérable. Il y a une banque correspondante, une procédure de rappel, un service conformité dans l'établissement destinataire, et une fenêtre qui se compte en heures ou en jours.

Un paiement on-chain mal dirigé est définitif en quelques secondes et appartient à celui qui détient la clé. Il n'y a pas de rappel. Le seul levier restant est l'émetteur du jeton, et les émetteurs ne sont pas un service client.

Tether a mis sur liste noire près de 10 000 adresses et gelé plus de 5 milliards de dollars en USDT. La liste de Circle est bien plus courte : environ 370 adresses et à peu près 109 millions de dollars. Ces gels sont réels et ils ont rendu de l'argent réel à de vraies victimes. Mais Jeremy Allaire, de Circle, a déclaré en avril 2026 que l'USDC ne serait pas gelé sans décision de justice, et que l'entreprise ne considère pas cette capacité comme discrétionnaire. Obtenir une décision de justice, cela veut dire des avocats, une juridiction, un défendeur identifié et des semaines dont vous ne disposez pas. Traitez un gel comme un billet de loterie, pas comme un plan de récupération.

« Mais l'adresse est ressortie propre »

Voici la partie inconfortable, et quiconque vous vend du screening devrait la dire à voix haute : le portefeuille tout neuf d'un escroc passera souvent un contrôle de sanctions. Il a été créé il y a une heure. Il n'a pas d'historique et ne figure sur aucune liste. Propre n'est pas synonyme de sûr.

Le screening mérite quand même sa place, pour trois raisons.

D'abord, une grande partie de cet argent ne reste pas longtemps dans un portefeuille neuf. Il atterrit sur des adresses de collecte réutilisées qui ont déjà une réputation. Chainalysis a chiffré les flux illicites à au moins 154 milliards de dollars en 2025, soit un bond de 162 % sur un an, avec une hausse de 694 % des montants reçus par des entités sanctionnées. Cela fait un volume énorme de destinations déjà connues, et un paiement qui part vers l'une d'elles est un paiement que vous voulez arrêter avant qu'il ne sorte.

Ensuite, le screening vous renseigne sur l'ancienneté et le comportement, pas seulement sur l'appartenance à une liste. Une adresse qui existe depuis deux heures et n'a jamais rien reçu n'est pas le compte de trésorerie d'une société qui vous a facturé neuf fois. C'est cette incohérence, le signal. La correspondance avec une liste est un bonus.

Enfin, si vous êtes payé sur un portefeuille dont il s'avère ensuite qu'il a reçu le produit d'une infraction, votre propre adresse hérite de cet historique. Les plateformes filtrent les dépôts à l'entrée. Vous découvrez le problème quand votre retrait est bloqué pour vérification, pas quand le transfert arrive.

Il existe aussi la ruse inverse, côté encaissement. Depuis l'entrée en vigueur du GENIUS Act en juillet 2025, la société de sécurité Blockaid a recensé plus de 54 000 faux stablecoins parmi les quelque 17 millions de jetons créés sur la période. Un paiement peut « arriver » sous une forme qui ressemble à de l'USDC dans l'interface d'un portefeuille et ne rien valoir. Vérifiez le contrat, pas le symbole.

Ce qui arrête vraiment la fraude

Rien de tout cela n'exige de nouvelle technologie. Il faut simplement que l'adresse de paiement cesse d'être une ligne de texte modifiable dans un message.

• Confirmez toute adresse nouvelle ou modifiée par un canal différent de celui par lequel la demande est arrivée. Appelez le numéro que vous aviez déjà, pas celui de la signature.
• Comparez la chaîne entière. Pas les quatre premiers caractères et les quatre derniers.
• Envoyez un petit paiement test vers toute nouvelle destination et faites confirmer le montant par le destinataire avant le vrai virement.
• Analysez l'adresse avant de payer, pas une fois le paiement contesté.
• Sortez l'adresse du mail, tout simplement : émettez la facture de sorte que l'adresse de paiement soit figée dès sa création, et le payeur voit un lien plutôt qu'une chaîne que quelqu'un peut retaper.

Si c'est vous qui êtes payé, l'image miroir s'applique. Quand un client soutient qu'il a payé et que rien n'est arrivé, le document falsifié était peut-être bien le vôtre. Envoyer ses coordonnées de paiement en texte brut dans le corps d'un message, c'est faire de chaque copie transférée de ce message une occasion pour quelqu'un d'autre. C'est aussi se priver de tout moyen de prouver ce que vous aviez envoyé au départ.

Fixez une règle interne et écrivez-la : tout changement de coordonnées de paiement, quel qu'en soit l'auteur et quel qu'en soit le montant, est vérifié de vive voix avant qu'un virement ne parte. Rendez-la ennuyeuse et non négociable, pour que personne n'ait à trancher au cas par cas un vendredi à 18 heures quand le fournisseur s'impatiente.

Personne, dans cette histoire, n'est négligent. La personne à la compta a payé une facture qu'elle attendait, à une entreprise qu'elle connaissait, dans un fil qu'elle lisait depuis des mois. C'est exactement le principe : l'attaque est conçue pour ressembler à du travail de routine. L'habitude qui ne coûte rien, c'est de traiter un changement d'adresse de paiement comme un incident et non comme une mise à jour, et de vérifier où va vraiment l'argent avant qu'il n'y aille.