{"id":687,"date":"2026-09-29T22:33:38","date_gmt":"2026-09-29T22:33:38","guid":{"rendered":"https:\/\/hoge.gg\/fr\/phishing-crypto-2026-drainer-as-a-service\/"},"modified":"2026-09-29T22:33:38","modified_gmt":"2026-09-29T22:33:38","slug":"phishing-crypto-2026-drainer-as-a-service","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/phishing-crypto-2026-drainer-as-a-service\/","title":{"rendered":"Phishing crypto 2026 : dans l’usine \u00e0 wallet drainers"},"content":{"rendered":"

Un wallet drainer n’est pas un pirate solitaire en sweat \u00e0 capuche. C’est un produit. Il a une grille tarifaire, un canal de support sur Telegram, des affili\u00e9s r\u00e9mun\u00e9r\u00e9s \u00e0 la commission, un tunnel marketing et des mises \u00e0 jour r\u00e9guli\u00e8res pour contourner les d\u00e9fenses. En 2024, cette industrie a atteint son sommet : les drainers de portefeuilles ont d\u00e9rob\u00e9 environ 435 millions d’euros (494 millions de dollars) \u00e0 plus de 300 000 adresses, selon les donn\u00e9es compil\u00e9es par la soci\u00e9t\u00e9 de renseignement Scam Sniffer et relay\u00e9es par BleepingComputer<\/a>. Puis, en 2025, le m\u00eame poste a chut\u00e9 de 83 %.<\/p>

Cette chute spectaculaire raconte deux histoires en m\u00eame temps. La premi\u00e8re est une victoire d\u00e9fensive bien r\u00e9elle. La seconde est une restructuration : le phishing crypto ne meurt pas, il change de mod\u00e8le \u00e9conomique. Pour comprendre les campagnes qui vident encore les portefeuilles fran\u00e7ais, il faut ouvrir le capot du \u00ab drainer-as-a-service \u00bb (DaaS), le logiciel malveillant vendu comme un abonnement, avec ses d\u00e9veloppeurs, ses clients, ses parts de march\u00e9 et ses comptes de r\u00e9sultat. C’est une \u00e9conomie souterraine document\u00e9e jusque dans ses commissions, et elle en dit long sur la suite.<\/p>

Qu’est-ce qu’un wallet drainer, au juste ?<\/h2>

Contrairement \u00e0 un exploit de smart contract ou au piratage d’un pont, un wallet drainer ne casse aucun code. Il ne trouve pas de faille dans Ethereum ou Solana. Il exploite la seule vuln\u00e9rabilit\u00e9 qui n’a jamais de correctif : l’utilisateur. Concr\u00e8tement, un drainer est un kit JavaScript install\u00e9 sur un site qui imite une application d\u00e9centralis\u00e9e l\u00e9gitime. Quand la victime connecte son portefeuille puis signe ce qui ressemble \u00e0 une transaction de routine (r\u00e9clamer un airdrop, valider une connexion, revendiquer un jeton), elle accorde en r\u00e9alit\u00e9 une autorisation qui laisse l’attaquant vider ses actifs.<\/p>

La distinction est capitale, parce qu’elle explique pourquoi les audits, les bug bounties et les pare-feux on-chain ne servent \u00e0 rien ici. La blockchain enregistre une transaction parfaitement valide, sign\u00e9e par le propri\u00e9taire l\u00e9gitime. C’est le m\u00eame principe que le vol qui a frapp\u00e9 Bitget : l’argent est parti sans qu’aucune ligne de code du protocole ne soit forc\u00e9e, comme nous l’avons d\u00e9taill\u00e9 dans notre enqu\u00eate sur le vol hors code<\/a>. Un drainer applique cette logique \u00e0 l’\u00e9chelle industrielle, un portefeuille individuel \u00e0 la fois, en s’appuyant non pas sur une faille technique mais sur une signature arrach\u00e9e par la ruse.<\/p>

Une fois la signature obtenue, deux sc\u00e9narios se pr\u00e9sentent. Soit la transaction transf\u00e8re imm\u00e9diatement les fonds, soit elle installe une autorisation permanente (une \u00ab approval \u00bb) qui autorise le contrat de l’attaquant \u00e0 d\u00e9placer les jetons plus tard, parfois des semaines apr\u00e8s que la victime a oubli\u00e9 l’incident. C’est cette permanence qui rend le drainer si rentable : une seule signature peut ouvrir un robinet qui reste ouvert. Et comme le kit d\u00e9tecte automatiquement les actifs les plus liquides du portefeuille pour les siphonner en priorit\u00e9, la victime perd d’abord ce qui se revend le plus vite.<\/p>

Le \u00ab drainer-as-a-service \u00bb : un SaaS criminel<\/h2>

Le c\u0153ur du ph\u00e9nom\u00e8ne tient dans un acronyme : DaaS, pour \u00ab drainer-as-a-service \u00bb. Le mod\u00e8le d\u00e9calque celui de l’industrie du logiciel l\u00e9gitime. D’un c\u00f4t\u00e9, des d\u00e9veloppeurs \u00e9crivent et maintiennent le kit malveillant, corrigent les bugs, publient des mises \u00e0 jour et assurent un service apr\u00e8s-vente sur des canaux Telegram priv\u00e9s. De l’autre, des clients, les affili\u00e9s, n’ont aucune comp\u00e9tence technique \u00e0 fournir : ils louent l’outil, montent des sites de phishing, ach\u00e8tent de la publicit\u00e9 et rabattent les victimes. Le partage du butin est automatis\u00e9, inscrit directement dans le contrat intelligent du drainer.<\/p>

Les proportions sont d\u00e9sormais bien document\u00e9es. Le kit CLINKSINK, analys\u00e9 par Mandiant (filiale de Google), r\u00e9partit automatiquement les fonds vol\u00e9s selon un ratio de 80 % pour l’affili\u00e9 et 20 % pour l’op\u00e9rateur, cette part pouvant varier de 5 % \u00e0 25 % selon les accords, d’apr\u00e8s l’enqu\u00eate relay\u00e9e par BleepingComputer<\/a>. Inferno Drainer, la r\u00e9f\u00e9rence du secteur, pr\u00e9levait de son c\u00f4t\u00e9 20 % des sommes d\u00e9rob\u00e9es, ou 30 % lorsqu’il fournissait aussi l’h\u00e9bergement et cr\u00e9ait les faux sites, selon Group-IB<\/a>. Autrement dit, un d\u00e9butant peut lancer une campagne cl\u00e9 en main en c\u00e9dant un tiers de ses gains, sans jamais \u00e9crire une ligne de code.<\/p>

Cette division du travail explique l’ampleur du ph\u00e9nom\u00e8ne. Les chercheurs de Nefture d\u00e9crivent une industrie du scam-as-a-service de plus de 300 millions de dollars<\/a>, structur\u00e9e comme une cha\u00eene de valeur : fournisseurs de kits, revendeurs d’acc\u00e8s, sp\u00e9cialistes du r\u00e9f\u00e9rencement publicitaire, blanchisseurs. Chaque maillon se professionnalise. Le drainer n’est plus un outil isol\u00e9, c’est une place de march\u00e9.<\/p>

Du bricolage \u00e0 la franchise : une br\u00e8ve histoire<\/h2>

Le drainer n’est pas n\u00e9 industrialis\u00e9. Ses premi\u00e8res versions relevaient du bricolage : des scripts artisanaux, partag\u00e9s entre initi\u00e9s, qu’il fallait savoir d\u00e9ployer soi-m\u00eame. Monkey Drainer, l’un des premiers \u00e0 grande \u00e9chelle, a marqu\u00e9 les esprits avant de se retirer en 2023, laissant la place \u00e0 des successeurs comme Venom Drainer.<\/p>

L’ann\u00e9e 2023 marque l’\u00e2ge d’or de la concurrence. Inferno, Venom, Pink, Angel et d’autres se disputent les affili\u00e9s \u00e0 coups de commissions plus basses, de tableaux de bord plus lisibles et de support plus r\u00e9actif. La dynamique est celle de tout march\u00e9 SaaS naissant : baisse des prix, mont\u00e9e en fonctionnalit\u00e9s, sp\u00e9cialisation. Puis vient la consolidation de 2024, le pic \u00e0 pr\u00e8s de 435 millions d’euros, et enfin la contraction de 2025 sous la pression des d\u00e9fenses. En trois ans, le drainer est pass\u00e9 du script confidentiel au produit de masse, avant de devenir un service de niche r\u00e9serv\u00e9 aux grosses prises.<\/p>

Inferno Drainer, la franchise qui refuse de mourir<\/h2>

Aucun drainer n’illustre mieux le mod\u00e8le qu’Inferno. Rep\u00e9r\u00e9 au printemps 2023 par Scam Sniffer, il a sign\u00e9 sur sa premi\u00e8re vie, de novembre 2022 \u00e0 novembre 2023, au moins 80 millions de dollars (environ 70 millions d’euros) de vols, plus de 16 000 domaines uniques et l’usurpation de plus de 100 marques crypto, selon Group-IB<\/a>. Le m\u00e9dia The Record a chiffr\u00e9 le nombre de victimes \u00e0 environ 137 000 personnes<\/a>.<\/p>

En novembre 2023, ses op\u00e9rateurs annoncent leur retraite et effacent une partie de leur infrastructure. Le secteur souffle. C’\u00e9tait une illusion. En 2025, Check Point Research d\u00e9montre qu’Inferno n’a jamais cess\u00e9 de fonctionner : des contrats intelligents d\u00e9ploy\u00e9s d\u00e8s le 9 septembre 2023 \u00e9taient toujours actifs en mars 2025. Sur les six mois pr\u00e9c\u00e9dant l’\u00e9tude, la variante \u00ab reloaded \u00bb avait vid\u00e9 plus de 30 000 portefeuilles sur plus de 30 r\u00e9seaux compatibles EVM, pour au moins 9 millions de dollars suppl\u00e9mentaires (environ 8 millions d’euros), d’apr\u00e8s Check Point<\/a>. La plus grosse prise unique : 107,8 milliards de jetons PEPE, soit 761 068 dollars au moment de l’analyse, plus de 1,2 million au cours du vol.<\/p>

La r\u00e9surrection s’accompagne d’un saut technique. Les nouveaux contrats sont \u00e0 usage unique et \u00e0 dur\u00e9e de vie courte ; les configurations de commande sont chiffr\u00e9es et stock\u00e9es on-chain ; la communication avec les serveurs passe par des relais install\u00e9s par les clients eux-m\u00eames, avec un chiffrement AES \u00e0 plusieurs couches. R\u00e9sultat : il devient presque impossible de remonter \u00e0 l’infrastructure r\u00e9elle. C\u00f4t\u00e9 diffusion, Inferno d\u00e9tourne d’anciens liens d’invitation Discord expir\u00e9s, redirige les utilisateurs vers de faux bots Collab.Land et n’accorde que des jetons d’acc\u00e8s valables environ cinq minutes pour \u00e9chapper \u00e0 l’analyse.<\/p>

La le\u00e7on est brutale pour quiconque croit qu’un d\u00e9mant\u00e8lement r\u00e8gle le probl\u00e8me. Un service dont le code se r\u00e9plique et dont les op\u00e9rateurs se contentent de dispara\u00eetre sous un nouveau nom ne meurt pas : il se rebaptise. C’est la principale limite de toute r\u00e9ponse purement technique ou judiciaire face \u00e0 un mod\u00e8le con\u00e7u, d\u00e8s l’origine, pour survivre \u00e0 la disparition de ses cr\u00e9ateurs.<\/p>

Anatomie d’une campagne : de la publicit\u00e9 au portefeuille vid\u00e9<\/h2>

Un kit ne sert \u00e0 rien sans trafic. Toute la valeur ajout\u00e9e de l’affili\u00e9 tient dans sa capacit\u00e9 \u00e0 amener des victimes solvables devant la fausse page. Les canaux se sont standardis\u00e9s. Le premier est la publicit\u00e9 malveillante (\u00ab malvertising \u00bb) : des annonces Google Ads clonent Uniswap, Aave, PancakeSwap ou Ledger et se hissent au-dessus des r\u00e9sultats officiels. Au printemps 2026, une seule campagne visant Uniswap a rapport\u00e9 plus de 400 000 dollars \u00e0 ses op\u00e9rateurs ; le collectif de s\u00e9curit\u00e9 SEAL a bloqu\u00e9 plus de 356 liens publicitaires malveillants sur un an, d’apr\u00e8s crypto.news<\/a>.<\/p>

\u00ab It’s insane that Google has ignored this issue for years \u00bb, a r\u00e9sum\u00e9 Stacy Muur, fondatrice de Green Dots, cit\u00e9e par le m\u00eame m\u00e9dia. Le constat vaut au-del\u00e0 de Google. Les faux airdrops constituent le deuxi\u00e8me grand canal : une page \u00ab r\u00e9clamez vos jetons \u00bb coupl\u00e9e \u00e0 une promotion sur les r\u00e9seaux sociaux peut g\u00e9n\u00e9rer un butin \u00e0 six chiffres en une journ\u00e9e. La campagne Chainbase, document\u00e9e par CyberInsider<\/a>, reposait ainsi sur des dizaines de domaines et une diffusion multicanale (publicit\u00e9s, X, Telegram, Discord, typosquattage) pour extraire des phrases de r\u00e9cup\u00e9ration ou faire signer un contrat drainer.<\/p>

Le troisi\u00e8me canal est le d\u00e9tournement de comptes de confiance. Pink Drainer s’\u00e9tait sp\u00e9cialis\u00e9 dans l’usurpation de journalistes pour compromettre des comptes Discord et X \u00e0 forte audience, puis y diffuser ses liens. Inferno, on l’a vu, recyclait de vieux liens d’invitation Discord. Enfin, l’intelligence artificielle industrialise d\u00e9sormais la production des leurres : sites clon\u00e9s en quelques minutes, voix synth\u00e9tiques, faux fondateurs en vid\u00e9o. Nous avons consacr\u00e9 une enqu\u00eate enti\u00e8re \u00e0 ce moteur, quand l’IA apprend \u00e0 hame\u00e7onner<\/a>. Le point commun de tous ces canaux : ils am\u00e8nent l’utilisateur, en confiance, \u00e0 poser sa signature.<\/p>

La signature qui vaut un portefeuille<\/h2>

Tout se joue au moment de la signature. Les drainers exploitent des fonctions parfaitement l\u00e9gitimes du standard des jetons, d\u00e9tourn\u00e9es de leur usage. Comprendre ces m\u00e9canismes, c’est reconna\u00eetre le pi\u00e8ge avant de valider. Le tableau ci-dessous r\u00e9sume les principales signatures pi\u00e9g\u00e9es et ce qu’elles autorisent r\u00e9ellement.<\/p>

Type de signature<\/th>Ce qu’elle autorise<\/th>Pourquoi c’est dangereux<\/th><\/tr><\/thead>
approve \/ increaseAllowance<\/td>Donne \u00e0 un contrat le droit de d\u00e9penser un jeton ERC-20 jusqu’\u00e0 un plafond<\/td>Plafond souvent fix\u00e9 \u00e0 l’infini ; l’autorisation reste active tant qu’elle n’est pas r\u00e9voqu\u00e9e<\/td><\/tr>
Permit (EIP-2612)<\/td>Autorise une d\u00e9pense via une simple signature hors-cha\u00eene, sans transaction<\/td>Gratuite et invisible dans l’historique on-chain ; poste le plus co\u00fbteux en 2025<\/td><\/tr>
Permit2 (Uniswap)<\/td>Autorisation group\u00e9e pour plusieurs jetons via un contrat unique<\/td>Une seule signature peut exposer tout un portefeuille<\/td><\/tr>
setApprovalForAll<\/td>Donne le contr\u00f4le de toute une collection de NFT<\/td>Un clic vide une collection enti\u00e8re d’un coup<\/td><\/tr>
eth_sign (signature aveugle)<\/td>Signe un message brut illisible<\/td>La victime ne voit qu’une suite hexad\u00e9cimale, le \u00ab blind signing \u00bb<\/td><\/tr>
D\u00e9l\u00e9gation EIP-7702<\/td>Transforme un compte simple (EOA) en compte programmable d\u00e9l\u00e9gu\u00e9 \u00e0 un contrat<\/td>Un \u00ab sweeper \u00bb malveillant peut vider le compte \u00e0 la demande<\/td><\/tr><\/tbody><\/table><\/figure>

La r\u00e9partition des pertes confirme la hi\u00e9rarchie du danger. En 2025, parmi les cas de plus d’un million de dollars recens\u00e9s par Scam Sniffer<\/a>, les signatures Permit et Permit2 concentraient 8,72 millions de dollars, devant les autorisations approve (5,62 millions) et les transferts directs (4,87 millions). Les nouvelles d\u00e9l\u00e9gations EIP-7702, introduites avec la mise \u00e0 jour Pectra d’Ethereum, apparaissaient d\u00e9j\u00e0 pour 2,54 millions.<\/p>

Sur ce dernier point, Taylor Monahan, de MetaMask, a insist\u00e9 \u00e0 plusieurs reprises : ces vols par d\u00e9l\u00e9gation ne r\u00e9v\u00e8lent aucune faille de Pectra, ils rel\u00e8vent du phishing et de la compromission de cl\u00e9s, comme elle l’a expliqu\u00e9 dans un entretien \u00e0 Decential<\/a>. La technologie change ; le vecteur, lui, reste la signature humaine.<\/p>

Les grandes familles de drainers<\/h2>

Le march\u00e9 des drainers ressemble \u00e0 celui de n’importe quel logiciel : quelques \u00e9diteurs dominants, des concurrents opportunistes, des sorties de sc\u00e8ne et des successions. Voici les acteurs qui ont marqu\u00e9 la p\u00e9riode r\u00e9cente.<\/p>

Drainer<\/th>Statut<\/th>Ampleur estim\u00e9e<\/th>Signe distinctif<\/th><\/tr><\/thead>
Inferno<\/td>Actif malgr\u00e9 une fermeture annonc\u00e9e en 2023<\/td>Plus de 80 M$ (2022-2023), 9 M$ de plus en 2025<\/td>Contrats \u00e0 usage unique, chiffrement on-chain<\/td><\/tr>
Pink<\/td>Retir\u00e9 en mai 2024<\/td>Environ 28 % du march\u00e9 en 2024<\/td>Usurpation de journalistes pour pirater Discord et X<\/td><\/tr>
Acedrainer<\/td>Mont\u00e9e en puissance fin 2024<\/td>Environ 20 % du march\u00e9 au 4e trimestre 2024<\/td>Successeur opportuniste apr\u00e8s les d\u00e9parts<\/td><\/tr>
Angel \/ Nova \/ MS Drainer<\/td>Actifs par intermittence<\/td>Parts minoritaires<\/td>Concurrents de la place de march\u00e9<\/td><\/tr>
CLINKSINK<\/td>Actif (campagnes 2024)<\/td>Au moins 900 000 $<\/td>Sp\u00e9cialis\u00e9 Solana, cible le portefeuille Phantom<\/td><\/tr>
Monkey Drainer<\/td>Retir\u00e9 en 2023<\/td>Retir\u00e9 avant le pic de 2024<\/td>L’un des premiers drainers \u00e0 grande \u00e9chelle<\/td><\/tr><\/tbody><\/table><\/figure>

Les parts de march\u00e9 proviennent des relev\u00e9s de Scam Sniffer synth\u00e9tis\u00e9s par BleepingComputer<\/a> et Moonlock<\/a>. On y lit une dynamique de secteur classique : quand Pink annonce son retrait en mai 2024 apr\u00e8s des dizaines de millions de dollars de vols, Acedrainer occupe le vide en quelques mois. Inferno, lui, a domin\u00e9 le troisi\u00e8me trimestre 2024 avec 110 millions de dollars d\u00e9rob\u00e9s sur les seuls mois d’ao\u00fbt et septembre. Les noms changent, la m\u00e9canique demeure.<\/p>

CLINKSINK : radiographie d’une comptabilit\u00e9 criminelle<\/h2>

Pour saisir concr\u00e8tement l’\u00e9conomie d’affiliation, aucun cas n’est plus parlant que CLINKSINK, diss\u00e9qu\u00e9 par Mandiant d\u00e9but 2024. Les chercheurs ont identifi\u00e9 au moins 35 identifiants d’affili\u00e9s partageant le m\u00eame service. Le kit, \u00e9crit en JavaScript, v\u00e9rifie d’abord que la victime dispose du portefeuille Phantom sur ordinateur, inspecte les soldes des comptes Solana connect\u00e9s, puis pr\u00e9sente un faux airdrop. Une fois la signature obtenue, les fonds sont automatiquement r\u00e9partis : 80 % pour l’affili\u00e9, 20 % pour l’op\u00e9rateur.<\/p>

Les montants donnent la mesure d’une v\u00e9ritable PME criminelle. Les 35 affili\u00e9s recens\u00e9s ont d\u00e9rob\u00e9 au moins 900 000 dollars (environ 790 000 euros) en SOL, tandis que l’op\u00e9rateur du service a encaiss\u00e9 plus de 180 000 dollars de commissions depuis le r\u00e9veillon du Nouvel An, selon l’analyse de Mandiant<\/a>. Les leurres imitaient Phantom, DappRadar et le jeton BONK, des marques choisies pour leur familiarit\u00e9 aupr\u00e8s des utilisateurs de Solana.<\/p>

L’affaire a connu un rebondissement embarrassant : l’une des campagnes CLINKSINK a \u00e9t\u00e9 diffus\u00e9e depuis le compte X pirat\u00e9 de Mandiant elle-m\u00eame, filiale de Google sp\u00e9cialis\u00e9e dans la cybers\u00e9curit\u00e9. La preuve, s’il en fallait, que la cible n’est pas seulement le d\u00e9butant cr\u00e9dule. Un service industrialis\u00e9 multiplie les tentatives jusqu’\u00e0 ce que m\u00eame un professionnel baisse la garde une seconde de trop.<\/p>

De 494 \u00e0 84 millions : l’effondrement de 83 %<\/h2>

Puis vint la chute. Apr\u00e8s le pic de 2024, les pertes li\u00e9es aux drainers de signature se sont effondr\u00e9es. Le tableau ci-dessous compare les deux ann\u00e9es, \u00e0 partir des bilans annuels de Scam Sniffer.<\/p>

Indicateur<\/th>2024<\/th>2025<\/th><\/tr><\/thead>
Pertes totales<\/td>494 M$ (env. 435 M\u20ac)<\/td>83,85 M$ (env. 74 M\u20ac)<\/td><\/tr>
Victimes<\/td>Plus de 300 000 adresses<\/td>106 106<\/td><\/tr>
Variation annuelle<\/td>Ann\u00e9e de r\u00e9f\u00e9rence<\/td>-83 % (pertes), -68 % (victimes)<\/td><\/tr>
Plus gros vol unique<\/td>55,4 M$<\/td>6,5 M$ (signature Permit)<\/td><\/tr>
Pire trimestre<\/td>3e trimestre (Inferno)<\/td>3e trimestre : 31,04 M$<\/td><\/tr><\/tbody><\/table><\/figure>

Trois forces expliquent cette d\u00e9crue, d’apr\u00e8s Scam Sniffer<\/a>. D’abord, les d\u00e9fenses int\u00e9gr\u00e9es aux portefeuilles : simulation de transaction, listes de blocage de domaines et alertes de signature sont devenues la norme dans MetaMask, Phantom ou Coinbase Wallet. Ensuite, les d\u00e9parts tr\u00e8s m\u00e9diatis\u00e9s de Pink et la fermeture affich\u00e9e d’Inferno ont d\u00e9sorganis\u00e9 l’offre. Enfin, une partie des acteurs a tout simplement chang\u00e9 de cible.<\/p>

Il faut lire ce chiffre de 83 % avec prudence. Il ne mesure qu’un segment pr\u00e9cis : le vol on-chain par signature pi\u00e9g\u00e9e. Il ne dit rien de la fraude par ing\u00e9nierie sociale, de l’usurpation ou du \u00ab pig butchering \u00bb, qui, eux, explosent. Confondre la baisse d’un poste avec le recul de la menace globale serait une erreur d’analyse, et sans doute la plus commune sur ce sujet.<\/p>

Pourquoi l’effondrement ne signe pas la fin<\/h2>

La statistique la plus parlante de 2026 n’est pas un total, c’est une concentration. En janvier, Scam Sniffer a recens\u00e9 6,27 millions de dollars de pertes par signature pour 4 741 victimes, un bond de 207 % par rapport \u00e0 d\u00e9cembre alors m\u00eame que le nombre de victimes reculait. Deux victimes \u00e0 elles seules repr\u00e9sentaient 65 % des pertes du mois, d’apr\u00e8s BeInCrypto<\/a>. C’est la signature d’un basculement : moins de filets, de plus gros poissons.<\/p>

Le phishing de masse, peu rentable face aux d\u00e9fenses modernes, c\u00e8de la place \u00e0 la chasse au \u00ab whale \u00bb. Les affili\u00e9s investissent davantage dans le ciblage : listes d’adresses fortun\u00e9es, reconnaissance patiente, leurres sur mesure. Parall\u00e8lement, une partie de l’industrie migre carr\u00e9ment hors de la cha\u00eene, vers l’arnaque purement humaine o\u00f9 aucun contrat n’est sign\u00e9. Nous avons racont\u00e9 ce basculement dans le casse \u00e0 246 M\u20ac qui n’a pirat\u00e9 personne<\/a> : la victime livre elle-m\u00eame ses cl\u00e9s \u00e0 un faux support technique.<\/p>

C’est le paradoxe des deux vitesses du phishing crypto. Le drainer de signature, industrialis\u00e9 puis contr\u00e9, se contracte. La fraude par usurpation et manipulation, elle, profite de l’IA pour changer d’\u00e9chelle. Le montant vol\u00e9 par portefeuille grimpe pendant que le nombre de portefeuilles touch\u00e9s baisse. Une industrie ne dispara\u00eet pas parce qu’un de ses produits vieillit ; elle r\u00e9investit ses marges dans le suivant.<\/p>

Blanchiment et encaissement : le dernier maillon<\/h2>

Voler ne suffit pas ; encore faut-il encaisser sans se faire rep\u00e9rer. C’est le maillon final de la cha\u00eene DaaS, et il est tout aussi outill\u00e9. Les fonds transitent par des m\u00e9langeurs (Tornado Cash), des ponts inter-cha\u00eenes et des \u00e9changes instantan\u00e9s, avant de finir souvent convertis en Monero, la cryptomonnaie confidentielle privil\u00e9gi\u00e9e pour rompre la tra\u00e7abilit\u00e9. Certains kits automatisent m\u00eame une premi\u00e8re \u00e9tape de dispersion vers des portefeuilles jetables, quelques secondes apr\u00e8s le vol.<\/p>

Pour la victime individuelle, la r\u00e9cup\u00e9ration est rare. Contrairement \u00e0 certains piratages de protocoles o\u00f9 les fonds, immobiles dans un contrat, laissent le temps d’une n\u00e9gociation ou d’un sauvetage coordonn\u00e9, la crypto siphonn\u00e9e par un drainer file en quelques minutes. Les rares succ\u00e8s reposent sur un travail d’enqu\u00eate on-chain long et co\u00fbteux, comme nous l’avons d\u00e9crit dans notre dossier sur la course pour r\u00e9cup\u00e9rer les cryptos vol\u00e9es<\/a>. Le contraste est frappant avec les cas o\u00f9 l’\u00e9cosyst\u00e8me se mobilise en urgence, \u00e0 l’image du sauvetage du pont KelpDAO<\/a> : le portefeuille d’un particulier, lui, ne b\u00e9n\u00e9ficie d’aucune telle coalition.<\/p>

Ce dernier maillon se professionnalise \u00e0 son tour. Des services de blanchiment d\u00e9di\u00e9s, parfois eux-m\u00eames vendus \u00ab as a service \u00bb, prennent le relais des op\u00e9rateurs de drainers pour fragmenter les fonds, les faire sauter d’une cha\u00eene \u00e0 l’autre et les r\u00e9introduire via des plateformes peu regardantes. C’est pr\u00e9cis\u00e9ment l\u00e0 que la coop\u00e9ration entre analystes on-chain, plateformes d’\u00e9change et forces de l’ordre peut encore geler une partie du butin, \u00e0 condition d’agir en quelques heures.<\/p>

La riposte : simulation, clear signing et r\u00e9vocation<\/h2>

La bonne nouvelle, c’est que la d\u00e9fense a marqu\u00e9 des points, et que l’effondrement de 83 % lui doit beaucoup. Trois briques se sont impos\u00e9es. La premi\u00e8re est la simulation de transaction : avant de signer, des services comme Blockaid ou Scam Sniffer, int\u00e9gr\u00e9s directement aux portefeuilles, montrent ce que la signature va r\u00e9ellement provoquer, par exemple \u00ab vous \u00eates sur le point d’autoriser le transfert de tous vos USDC \u00bb. La deuxi\u00e8me est la liste de blocage partag\u00e9e, qui neutralise les domaines de phishing connus avant m\u00eame que la page ne se charge.<\/p>

La troisi\u00e8me, la plus structurelle, est le \u00ab clear signing \u00bb. Le principe : afficher, en clair et de fa\u00e7on lisible, ce que l’on signe, au lieu d’une charge hexad\u00e9cimale opaque. Le standard ERC-7730 a \u00e9t\u00e9 confi\u00e9 \u00e0 la Fondation Ethereum le 12 mai 2026, avec Ledger, Trezor, MetaMask et Fireblocks parmi les contributeurs, selon l’annonce de la Fondation<\/a>. Le directeur technique de Ledger, Charles Guillemet, milite de longue date contre la signature aveugle, qu’il d\u00e9crit comme une charge illisible que l’utilisateur valide sans comprendre. Pour les autorisations d\u00e9j\u00e0 accord\u00e9es, l’outil revoke.cash permet d’inventorier ses \u00ab approvals \u00bb et de les r\u00e9voquer.<\/p>

Une chose, en revanche, ne prot\u00e8ge pas contre un drainer : l’audit du protocole. Puisque le vol se produit hors du code, un smart contract audit\u00e9 cinq fois n’emp\u00eachera pas un utilisateur de signer sur un faux site. C’est l’angle mort que nous avons document\u00e9 en montrant que 88 % des pertes de 2026 ont frapp\u00e9 des projets pourtant audit\u00e9s<\/a>. La s\u00e9curit\u00e9 du portefeuille se joue au niveau de l’utilisateur, pas seulement \u00e0 celui du protocole.<\/p>

Ce que dit la loi : AMF, MiCA et coordination internationale<\/h2>

C\u00f4t\u00e9 fran\u00e7ais, le premier r\u00e9flexe utile est la liste noire de l’Autorit\u00e9 des march\u00e9s financiers (AMF). Le r\u00e9gulateur y recense en continu les sites et acteurs non autoris\u00e9s (forex, d\u00e9riv\u00e9s sur crypto-actifs, usurpations d’identit\u00e9), avec des centaines de pages d’entr\u00e9es r\u00e9guli\u00e8rement mises \u00e0 jour, tout en pr\u00e9cisant que ces listes ne peuvent \u00eatre exhaustives, sur son portail officiel<\/a>. L’usurpation, o\u00f9 des escrocs se font passer pour une soci\u00e9t\u00e9 agr\u00e9\u00e9e, voire pour l’AMF elle-m\u00eame, est l’une des cat\u00e9gories les plus fournies.<\/p>

Sur le fond, le cadre a chang\u00e9 en 2026. Le r\u00e9gime transitoire PSAN, h\u00e9rit\u00e9 de la loi PACTE, a pris fin le 1er juillet 2026 au profit de l’agr\u00e9ment CASP pr\u00e9vu par le r\u00e8glement europ\u00e9en MiCA. Depuis cette date, exercer sans autorisation constitue un d\u00e9lit p\u00e9nal, passible de deux ans d’emprisonnement et de 30 000 euros d’amende au titre du Code mon\u00e9taire et financier, comme l’a rappel\u00e9 l’AMF<\/a>. Cela discipline les interm\u00e9diaires, mais ne touche gu\u00e8re un op\u00e9rateur de drainer bas\u00e9 \u00e0 l’\u00e9tranger et pay\u00e9 en crypto.<\/p>

La r\u00e9ponse la plus efficace reste donc polici\u00e8re et internationale. En mars 2026, l’op\u00e9ration Atlantic a r\u00e9uni le Secret Service am\u00e9ricain, la National Crime Agency britannique et les autorit\u00e9s canadiennes pour identifier en temps r\u00e9el les victimes de phishing d’autorisation, selon Chainalysis<\/a>. Reste que, face \u00e0 un mod\u00e8le DaaS con\u00e7u pour se r\u00e9pliquer et se rebaptiser, le d\u00e9mant\u00e8lement d’un acteur ne fait, au mieux, que redistribuer les parts de march\u00e9.<\/p>

Se prot\u00e9ger : la checklist du portefeuille<\/h2>

Aucune technologie ne remplace quelques r\u00e9flexes. Voici les gestes qui coupent l’herbe sous le pied de la quasi-totalit\u00e9 des campagnes de drainers.<\/p>

  • Ne jamais r\u00e9clamer un airdrop ni connecter son portefeuille depuis un lien re\u00e7u par message priv\u00e9, un commentaire ou une publicit\u00e9 ; taper l’adresse officielle \u00e0 la main.<\/li>
  • Lire chaque signature : si le portefeuille affiche \u00ab Permit \u00bb, \u00ab setApprovalForAll \u00bb ou un message illisible, s’arr\u00eater et v\u00e9rifier.<\/li>
  • Activer le clear signing et refuser toute signature aveugle, en particulier sur un portefeuille mat\u00e9riel.<\/li>
  • Passer r\u00e9guli\u00e8rement ses autorisations en revue sur revoke.cash et r\u00e9voquer celles qui ne servent plus.<\/li>
  • S\u00e9parer les fonds : un portefeuille chaud de faible valeur pour interagir, un portefeuille froid pour l’\u00e9pargne.<\/li>
  • Se m\u00e9fier de l’urgence : une fen\u00eatre de r\u00e9clamation qui expire dans dix minutes est un signal d’alarme, pas une opportunit\u00e9.<\/li>
  • V\u00e9rifier le statut de tout prestataire sur la liste blanche de l’AMF avant de lui confier des fonds.<\/li><\/ul>

    Foire aux questions<\/h2>

    Qu’est-ce qu’un wallet drainer ?<\/h3>

    Un wallet drainer est un logiciel malveillant, souvent un kit JavaScript lou\u00e9 sous forme de \u00ab drainer-as-a-service \u00bb, qui pousse un utilisateur \u00e0 signer une transaction ou une autorisation sur un faux site. Cette signature permet ensuite \u00e0 l’attaquant de vider le portefeuille, sans jamais forcer le code d’une blockchain.<\/p>

    Le phishing crypto a-t-il vraiment recul\u00e9 en 2025 ?<\/h3>

    Oui, mais sur un segment pr\u00e9cis. Les pertes par drainer de signature sont pass\u00e9es d’environ 494 millions de dollars en 2024 \u00e0 83,85 millions en 2025, une chute de 83 % selon Scam Sniffer. En revanche, la fraude par ing\u00e9nierie sociale et usurpation, elle, progresse fortement : la menace globale ne recule pas.<\/p>

    Qu’est-ce que le \u00ab drainer-as-a-service \u00bb ?<\/h3>

    C’est un mod\u00e8le o\u00f9 des d\u00e9veloppeurs louent leur kit de vol \u00e0 des affili\u00e9s contre une commission, g\u00e9n\u00e9ralement de 20 \u00e0 30 % du butin. Le partage est souvent automatis\u00e9 dans le contrat : CLINKSINK, par exemple, reverse 80 % \u00e0 l’affili\u00e9 et 20 % \u00e0 l’op\u00e9rateur. Ce mod\u00e8le abaisse la barri\u00e8re technique et explique l’ampleur du ph\u00e9nom\u00e8ne.<\/p>

    Comment savoir si une signature est dangereuse ?<\/h3>

    M\u00e9fiez-vous des demandes \u00ab Permit \u00bb, \u00ab Permit2 \u00bb et \u00ab setApprovalForAll \u00bb, ainsi que de tout message illisible (signature aveugle). Utilisez un portefeuille qui simule la transaction avant validation et affiche en clair ce qu’elle autorise, et ne signez jamais depuis un lien non sollicit\u00e9.<\/p>

    Que faire si mon portefeuille a \u00e9t\u00e9 vid\u00e9 par un drainer ?<\/h3>

    D\u00e9placez imm\u00e9diatement les actifs restants vers un portefeuille s\u00fbr, r\u00e9voquez les autorisations actives sur revoke.cash, et signalez l’incident \u00e0 l’AMF ainsi qu’\u00e0 la plateforme cybermalveillance.gouv.fr. La r\u00e9cup\u00e9ration des fonds est malheureusement rare une fois qu’ils sont blanchis, mais un signalement rapide aide les enqu\u00eateurs.<\/p>