Address poisoning : comment fonctionne l'arnaque crypto

L'address poisoning (empoisonnement d'adresse) est une arnaque crypto dans laquelle un attaquant place une adresse de portefeuille ressemblante dans votre historique de transactions, en espérant que vous la copierez et lui enverrez des fonds par erreur. La fausse adresse partage les premiers et derniers caractères d'une adresse que vous utilisez réellement, et elle apparaît généralement sous la forme d'un transfert de valeur nulle ou minime quelques minutes après une transaction authentique. Votre portefeuille n'est pas piraté : c'est vous qui signez la transaction perdante.

Cela paraît grossier, mais cela fonctionne à grande échelle. Une étude évaluée par des pairs a recensé environ 270 millions de tentatives d'empoisonnement sur deux blockchains en deux ans, et certaines victimes ont perdu à elles seules 50 millions de dollars ou plus. Ce guide explique le fonctionnement de l'attaque, ses principales variantes, les cas les plus importants connus et les réflexes qui permettent de l'éviter.

Comment fonctionne une attaque par address poisoning

L'attaque exploite un raccourci humain : on vérifie le début et la fin d'une adresse et on saute le milieu. Les adresses crypto sont longues. Une adresse Ethereum compte 40 caractères hexadécimaux après le 0x, et une adresse Sui est un identifiant de 32 octets écrit sous forme de 64 caractères hexadécimaux. Comme l'a résumé l'un des chercheurs de CMU à l'origine de la plus grande étude, les adresses de portefeuille « sont de longues chaînes hexadécimales impossibles à mémoriser » (CMU CyLab, janvier 2026).

Une attaque type se déroule ainsi :

1. L'attaquant surveille la blockchain. Des bots suivent les transferts, souvent de stablecoins, entre une victime et une contrepartie habituelle, comme une adresse de dépôt sur une plateforme d'échange.
2. Il génère une adresse ressemblante. Un logiciel calcule par force brute une nouvelle adresse dont les premiers et derniers caractères correspondent à ceux de la contrepartie. L'étude USENIX a constaté qu'un groupe sophistiqué semblait utiliser des GPU pour cela, tandis que d'autres s'appuyaient sur des CPU.
3. Il l'insère dans votre historique. L'attaquant envoie une transaction qui relie votre adresse à l'adresse ressemblante, généralement en quelques minutes. Les chercheurs ont constaté que les transferts d'empoisonnement arrivent « pour la plupart dans les 20 minutes » suivant le transfert initial.
4. Vous copiez la mauvaise adresse. La prochaine fois que vous payez cette contrepartie, vous ouvrez votre portefeuille ou un explorateur de blocs, voyez ce qui ressemble à l'adresse habituelle en haut de votre historique, la copiez et envoyez.

Comme le transfert est valide et inscrit on-chain, il est irréversible. C'est tout le modèle économique de l'arnaque.

Les trois principales variantes

L'article « Blockchain Address Poisoning » présenté à USENIX Security 2025 par Taro Tsuchiya et Nicolas Christin, ainsi que les recommandations d'Etherscan, décrivent trois formes courantes.

Transferts de valeur nulle

L'attaquant enregistre un transfert de zéro token depuis votre adresse vers l'adresse ressemblante. Dans de nombreuses implémentations ERC-20 populaires, la fonction publique transferFrom permet à n'importe qui de désigner un expéditeur arbitraire lorsque le montant est nul, explique l'article. Il en résulte une entrée d'historique qui donne l'impression que vous avez déjà envoyé de l'argent à l'attaquant. L'article juge cette variante potentiellement plus dangereuse que les autres, car l'adresse ressemblante apparaît comme un destinataire passé que vous auriez choisi.

Transferts minimes (« dust »)

L'adresse ressemblante vous envoie une très petite quantité d'un token que vous utilisez, de sorte qu'elle apparaît dans votre historique entrant. Etherscan considère comme du dust les transferts inférieurs à 0,01 $ en USDT, USDC ou DAI, ou inférieurs à 0,00001 ETH, tout en précisant que certains transferts de dust sont légitimes.

Transferts de tokens contrefaits

L'attaquant déploie un faux token et le fait circuler entre votre adresse et l'adresse ressemblante, en reproduisant souvent le montant exact que vous venez d'envoyer. Comme les tokens ERC-20 ne sont soumis à aucune restriction de nom ni de symbole, le faux peut ressembler de près au vrai, note l'article.

Quelle est l'ampleur du problème ?

L'étude USENIX, qui couvre Ethereum et BNB Smart Chain du 1er juillet 2022 au 30 juin 2024, a recensé environ 270 millions de tentatives d'empoisonnement visant quelque 17 millions de victimes. Elle a confirmé 6 633 incidents réussis pour des pertes d'au moins 83,8 millions de dollars, et son décompte des attaques est 13 fois supérieur aux estimations antérieures (CMU CyLab).

Le succès est rare, environ 0,01 % des tentatives sur Ethereum selon la mesure de l'article, mais les attaques sont peu coûteuses à automatiser. « C'est un jeu de nombres », a déclaré le coauteur Nicolas Christin, et CMU indique que certains groupes organisés gagnent 10 à 20 fois ce qu'ils dépensent en frais et en infrastructure.

Les chercheurs estiment que les pertes réelles sont probablement plus élevées, car de nombreuses victimes ne portent jamais plainte. Le total de 83,8 millions de dollars exclut également les deux plus grands cas individuels ci-dessous : l'article a observé le transfert de WBTC sans le compter comme une perte confirmée, et le cas USDT est survenu plus tard.

Pertes notables liées à l'address poisoning

1 155 WBTC, mai 2024 (environ 68 millions de dollars)

Début mai 2024, une victime a envoyé 1 155 wrapped bitcoins, alors valorisés à environ 68 millions de dollars, à une adresse ressemblante empoisonnée. Après des négociations on-chain, au cours desquelles la victime a proposé à l'attaquant de garder 10 %, celui-ci a commencé à restituer les fonds le 10 mai 2024 et a renvoyé environ 22 960 ETH d'une valeur de 65,7 millions de dollars, soit plus de 96 % de la valeur initiale en dollars, a rapporté Cointelegraph. Une telle restitution reste l'exception. Pour en savoir plus sur le token concerné, consultez qu'est-ce que le wrapped bitcoin (WBTC).

49 999 950 USDT, décembre 2025 (environ 50 millions de dollars)

En décembre 2025, une victime a envoyé 49 999 950 USDT après avoir copié une adresse malveillante depuis son historique de transactions, a rapporté Cointelegraph le 20 décembre 2025. La victime avait d'abord envoyé une petite transaction de test à la bonne adresse. L'attaquant a ensuite empoisonné l'historique, et le montant total est parti vers l'adresse ressemblante quelques minutes plus tard. Les USDT volés ont été échangés contre de l'ether, répartis entre plusieurs portefeuilles et en partie transférés vers Tornado Cash.

Pourquoi une transaction de test ne vous protège pas

Le cas de décembre 2025 illustre un malentendu courant. Une transaction de test prouve que l'adresse utilisée pour le test fonctionne. Elle ne dit rien de l'adresse que vous collez ensuite.

Le test peut même aggraver la situation. Il crée précisément l'événement on-chain auquel réagissent les bots d'empoisonnement, et il place une nouvelle entrée en haut de votre historique juste avant que vous y reveniez pour copier l'adresse du transfert principal. Si vous faites un test, collez la seconde adresse depuis la même source fiable que la première fois, jamais depuis votre historique, et vérifiez de nouveau chaque caractère.

Comment vous protéger de l'address poisoning

• Ne copiez jamais d'adresses depuis votre historique de transactions. Les recommandations de MetaMask disent la même chose. Copiez depuis la source d'origine, par exemple la page de dépôt de la plateforme d'échange.
• Utilisez le carnet d'adresses de votre portefeuille. Enregistrez les adresses que vous avez vérifiées une fois, et n'envoyez qu'à des contacts enregistrés.
• Vérifiez l'adresse entière, surtout le milieu. Les attaquants reproduisent les extrémités : c'est donc au milieu que la différence apparaît. Comparez par blocs.
• Confirmez sur l'écran d'un portefeuille matériel. Un portefeuille matériel vous fait généralement confirmer la destination sur l'appareil lui-même, ce qui vous offre un second regard indépendant avant de signer. Voir hot wallet ou cold wallet.
• Tenez compte des alertes du portefeuille. MetaMask indique détecter désormais lorsqu'une destination ressemble fortement à une adresse déjà utilisée, par exemple lorsque les quatre premiers et les quatre derniers caractères correspondent, et afficher un avertissement bloquant. Il vous avertit aussi lorsque vous envoyez des fonds à une adresse pour la première fois.
• Ignorez les transferts inattendus de valeur nulle ou minime. N'interagissez ni avec eux ni avec des tokens inconnus. Etherscan masque par défaut les transferts de valeur nulle et affiche une fenêtre d'alerte lorsque vous copiez une adresse liée à une activité suspecte.
• Utilisez des noms lorsque c'est possible. Les noms lisibles, comme ENS sur Ethereum ou SuiNS sur Sui, réduisent les erreurs de copier-coller, même s'il faut toujours vérifier que le nom pointe vers la bonne adresse.

Rien de tout cela n'est propre à une seule blockchain. Les adresses MultiversX, par exemple, sont des clés publiques encodées en bech32 commençant par erd1, et la même vérification de l'adresse complète s'applique. Que vous transfériez des EGLD à staker pour obtenir des JWLEGLD ou des SUI à staker pour obtenir des JWLSUI, vérifiez la destination avant de signer.

Que faire si vous avez envoyé des fonds à une adresse empoisonnée

Agissez vite, mais partez du principe que les fonds sont perdus, sauf circonstance exceptionnelle.

1. Conservez toutes les preuves. Notez le hash de la transaction, l'adresse de l'attaquant et l'heure.
2. Contactez l'émetteur du token et toute plateforme d'échange concernée. Certains émetteurs de stablecoins peuvent geler les tokens détenus à une adresse donnée : la rapidité compte.
3. Signalez les faits à la police et au service national de signalement des fraudes. Les signalements aident les enquêteurs à relier les portefeuilles.
4. Méfiez-vous des offres de récupération. Les victimes de pertes importantes et médiatisées sont ciblées par de faux services de « récupération de fonds ». Lisez notre guide sur les arnaques à la récupération de crypto avant de payer qui que ce soit.

L'empoisonnement ne compromet pas votre portefeuille lui-même : vous n'avez donc pas besoin d'une nouvelle seed phrase. Si vous avez signé une autorisation de token ou vous êtes connecté à un site inconnu, il s'agit d'une autre attaque : voir wallet drainers et phishing par autorisation.

Questions fréquentes

Qu'est-ce qu'une attaque par address poisoning ?

C'est une arnaque dans laquelle un attaquant envoie un transfert de valeur nulle, minime ou de faux token afin qu'une adresse ressemblante apparaisse dans votre historique de transactions. Si vous copiez ensuite cette adresse au lieu de la vraie, vos fonds partent chez l'attaquant.

L'address poisoning peut-il voler des fonds sans ma signature ?

Non. Le transfert d'empoisonnement ne peut pas déplacer vos tokens. Les pertes ne surviennent que lorsque vous signez vous-même un transfert vers l'adresse ressemblante, c'est pourquoi vérifier l'adresse complète déjoue l'attaque.

Pourquoi ai-je reçu un transfert de valeur nulle depuis ma propre adresse ?

Certains tokens ERC-20 permettent à n'importe qui d'enregistrer un transfert de montant nul avec un expéditeur arbitraire. Les attaquants s'en servent pour donner l'impression que vous avez envoyé des fonds à leur adresse ressemblante. Ignorez-le et n'en copiez jamais l'adresse.

Une transaction de test suffit-elle à éviter l'address poisoning ?

Non. Un test prouve uniquement l'adresse utilisée pour le test. Dans un cas de décembre 2025, une victime a envoyé un test, puis copié une adresse empoisonnée depuis son historique et perdu près de 50 millions de dollars en USDT.

Combien a-t-on perdu à cause de l'address poisoning ?

Une étude USENIX Security 2025 a confirmé au moins 83,8 millions de dollars de pertes sur Ethereum et BNB Smart Chain entre juillet 2022 et juin 2024. Parmi les cas individuels figurent une perte de 68 millions de dollars en WBTC en 2024, en grande partie restituée, et une perte de 50 millions de dollars en USDT en 2025.

Puis-je récupérer mes cryptos après un address poisoning ?

Généralement non, car les transferts sur la blockchain sont définitifs. Contactez rapidement l'émetteur du token et toute plateforme d'échange concernée et portez plainte, mais méfiez-vous de quiconque propose des services de récupération payants.

À lire aussi

• Wallet drainers et phishing par autorisation
• Les arnaques aux faux portefeuilles en 2026
• Les arnaques crypto en 2026
• Qu'est-ce qu'une seed phrase ?
• L'audit de smart contract expliqué

Cet article est fourni à titre informatif et ne constitue pas un conseil financier ou juridique. Les chiffres et détails des cas sont à jour au 17 octobre 2026 et proviennent des recherches et articles cités ci-dessus ; les fonctionnalités des portefeuilles évoluent avec le temps.