Drainers de portefeuille : le vol que vous signez vous-même

Le 30 juillet, un attaquant a commencé à vider des portefeuilles matériels Coldcard. Personne n'a volé les appareils. Un drapeau de compilation mal positionné dans une version de firmware de mars 2021 faisait générer aux Coldcard leurs phrases de récupération à partir d'un générateur de nombres aléatoires logiciel, faible, au lieu de la source d'entropie matérielle annoncée. Sur les unités les plus anciennes, la force effective de la clé est tombée de 128 bits à 40 à peine. Cela se devine avec une puissance de calcul ordinaire, depuis n'importe où, sans jamais toucher l'appareil. TRM Labs a compté environ 1 816 BTC — près de 116 millions de dollars — siphonnés depuis plus de 5 200 adresses. En 25 minutes, quelque 594 BTC ont quitté environ 500 portefeuilles pour atterrir sur une seule adresse de regroupement. Coinkite a publié un firmware d'urgence le 31 juillet.

Ce genre de défaillance est rare, et c'est pour cela qu'il a fait la une pendant une semaine. La plupart des portefeuilles ne se vident pas ainsi. Ils se vident parce que leur propriétaire a appuyé sur Confirmer.

L'autorisation que vous avez oublié d'avoir donnée

Chaque token ERC-20 possède une fonction approve. Elle existe pour une bonne raison : un DEX, un marché de prêt ou une place de marché NFT doit pouvoir déplacer vos tokens à votre place, et personne n'a envie de signer un transfert distinct à chaque fois. Vous accordez donc l'autorisation une fois au contrat, et il dépense ensuite sur cette base.

Deux détails en font la surface d'attaque la plus rentable de la crypto.

Le premier, c'est le montant. La plupart des applications demandent par défaut une autorisation illimitée, parce que cela épargne à l'utilisateur une seconde transaction plus tard. Une signature peut autoriser un contrat à déplacer chaque unité de ce token que vous détenez — y compris celles que vous achèterez l'an prochain.

Le second, c'est la durée de vie. Les autorisations n'expirent pas. Ce que vous avez accordé en 2022 est toujours actif en 2026, sauf si vous êtes revenu le révoquer. Beaucoup de portefeuilles traînent des autorisations ouvertes vers des contrats dont les sites n'existent plus.

Un drainer n'a besoin d'aucune des choses qui inquiètent les gens. Ni votre phrase de récupération, ni votre mot de passe d'exchange, ni un logiciel malveillant sur votre machine. Une signature, sur une page qui ressemble à un site auquel vous faites déjà confiance.

La fenêtre est conçue pour paraître banale

Les kits de drainage se vendent comme un service, avec canal d'assistance et partage des recettes. L'opérateur amène le trafic : un faux airdrop, une publicité placée au-dessus du vrai résultat de recherche, une réponse « réclamez votre remboursement » sous un tweet du support, une annonce Discord depuis un compte de modérateur compromis. Le kit fait le reste : il lit ce que contient votre portefeuille, le classe par valeur et construit une demande de signature portant d'abord sur le poste le plus précieux.

Ce que vous voyez, c'est un écran d'approbation d'apparence tout à fait normale. Ce que vous approuvez s'affiche le plus souvent sous la forme d'une adresse de contrat et d'une chaîne hexadécimale. Toute l'astuce est là. La demande malveillante et la demande légitime se ressemblent presque trait pour trait, et la différence se loge dans des données que l'interface ne vous traduit pas.

MetaMask a annoncé avoir bloqué 6,5 millions de visites de sites malveillants en 2025 et environ 150 000 transactions frauduleuses. Son bilan de sécurité de juillet 2026 a aussi relevé un cas plus modeste mais instructif : un logiciel malveillant caché dans des jeux Steam a infecté quelque 8 000 machines et vidé environ 220 000 dollars d'à peu près 80 portefeuilles. Petites sommes, gens ordinaires, aucune technique exotique.

Une seule signature suffit désormais

Depuis la mise à jour Pectra d'Ethereum en mai 2025, EIP-7702 permet à un portefeuille ordinaire de céder temporairement ses droits d'exécution à un contrat intelligent. C'était pensé pour de bonnes choses : parrainage de gas, regroupement d'opérations, clés de session. Cela a aussi ramené de plusieurs à une le nombre de confirmations dont un attaquant a besoin.

Scam Sniffer a repéré le schéma en quelques mois. Le 22 août 2025, un utilisateur a signé ce qui ressemblait à un swap Uniswap et a perdu près d'un million de dollars. Deux jours plus tard, un autre perdait 1,54 million à cause d'une seule signature groupée qui associait des transferts de tokens à des approbations de NFT. La victime a approuvé une fois. Le lot a fait le reste.

L'habillage du moment, c'est une « mise à niveau de sécurité du portefeuille » ou un « assistant d'actifs par IA » qui vous demande de déléguer pour plus de confort. Si une fenêtre demande à votre portefeuille de déléguer à un contrat dont vous n'avez jamais entendu parler, c'est précisément l'attaque.

Les pertes ont baissé, puis le ciblage s'est affiné

Les chiffres bruts se sont réellement améliorés. Scam Sniffer chiffrait les pertes liées aux drainers à 494 millions de dollars sur plus de 332 000 portefeuilles en 2024, puis à 83,85 millions sur 106 106 portefeuilles en 2025 — soit 83 % de moins en valeur et 68 % de moins en victimes. La plus grosse perte individuelle est passée de 55,4 à 6,5 millions de dollars sur la même période.

Puis la forme a changé. En janvier 2026, les pertes par hameçonnage de signature ont bondi de 207 % par rapport à décembre, 6,27 millions de dollars pris à 4 741 victimes — alors que le nombre de victimes reculait de 11 %. Moins de monde, des soldes plus élevés. Les campagnes de masse cèdent la place à un travail patient sur des portefeuilles qui méritent d'être visés un par un.

Ce qui aide vraiment

Révoquez ce que vous n'utilisez pas. Le vérificateur d'autorisations de tokens d'Etherscan, Revoke.cash et les écrans de permissions intégrés à la plupart des portefeuilles listent tous vos accords ouverts. La plupart des gens qui regardent pour la première fois y trouvent des autorisations accordées il y a des années à des applications qu'ils n'utilisent plus. Faites le ménage. Cela coûte du gas et une dizaine de minutes.

Plafonnez les nouvelles autorisations au montant que vous dépensez réellement. Tout portefeuille sérieux vous laisse modifier le chiffre avant de signer. L'illimité est un réglage de confort, pas une obligation.

Séparez le solde avec lequel vous tradez de celui que vous conservez. Un portefeuille chaud pour le fonds de roulement et un portefeuille froid qui ne touche jamais une dApp : ce n'est pas glorieux, et ça marche.

Lisez la destination, pas le design. Avant d'envoyer des fonds à une adresse que quelqu'un vous a donnée — un agent du support, une place de marché, une contrepartie OTC, une page de paiement —, passez l'adresse au crible et voyez si elle a déjà un historique. Le screening repère les adresses déjà connues : entités sanctionnées, exposition à des mixeurs, portefeuilles liés à des vols signalés. Il ne signalera pas un contrat déployé il y a quarante minutes pour une seule victime. Servez-vous-en pour le cas qu'il couvre, et restez méfiant devant tout ce qui vient de naître.

Si vous avez déjà signé

Bougez d'abord, enquêtez ensuite. Envoyez immédiatement vers un portefeuille neuf tout ce que l'autorisation ne couvre pas : un autre token, un NFT, le solde natif. Révoquez ensuite l'autorisation pour qu'elle ne puisse plus être tirée, et considérez comme compromise toute autre autorisation accordée pendant la même session.

Notez l'adresse du drainer et les hachages de transaction avant toute autre chose. Si les fonds atteignent un exchange, c'est cette liste d'adresses qui permet à une équipe conformité d'agir, et c'est la première chose que demanderont un avocat ou un assureur. Signalez le cas à Chainabuse et au fabricant du portefeuille. Récupérer est rare, mais c'est impossible sans les adresses.

Les propriétaires de Coldcard ont perdu leur argent à cause d'un bug qu'ils n'avaient aucun moyen de voir. Presque tous les autres le perdent à cause d'un écran qu'ils avaient toute latitude de lire. Ralentissez au moment de signer, gardez vos autorisations ouvertes courtes, et vérifiez où va l'argent avant qu'il n'y aille.