{"id":727,"date":"2026-10-05T22:33:49","date_gmt":"2026-10-05T22:33:49","guid":{"rendered":"https:\/\/hoge.gg\/fr\/empoisonnement-adresses-copier-coller-crypto-2026\/"},"modified":"2026-10-05T22:33:49","modified_gmt":"2026-10-05T22:33:49","slug":"empoisonnement-adresses-copier-coller-crypto-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/empoisonnement-adresses-copier-coller-crypto-2026\/","title":{"rendered":"Empoisonnement d’adresses : le casse du copier-coller"},"content":{"rendered":"

Le phishing crypto a deux visages en 2026. D’un c\u00f4t\u00e9, les wallet drainers, ces kits qui vidaient les portefeuilles via une signature pi\u00e9g\u00e9e, se sont effondr\u00e9s : leurs pertes ont chut\u00e9 d’environ 83 % sur un an, \u00e0 83,85 millions de dollars, selon Scam Sniffer<\/a>. De l’autre, une technique presque banale, sans lien malveillant ni contrat v\u00e9rol\u00e9, s’est hiss\u00e9e au rang des arnaques les plus co\u00fbteuses du secteur : l’empoisonnement d’adresses (address poisoning).<\/p>

Le principe tient en une phrase : l’attaquant glisse dans votre historique de transactions une adresse qui ressemble trait pour trait \u00e0 l’une de vos adresses habituelles, en pariant que vous la copierez-collerez sans v\u00e9rifier le milieu. Aucun code \u00e0 casser, aucune autorisation \u00e0 voler. Juste un copier-coller, et des sommes \u00e0 sept ou huit chiffres qui partent chez un inconnu.<\/p>

En d\u00e9cembre 2025 puis en janvier 2026, deux victimes ont perdu 62 millions de dollars (environ 55 millions d’euros) de cette fa\u00e7on, selon Scam Sniffer. Voici comment fonctionne le casse du copier-coller, pourquoi il explose pr\u00e9cis\u00e9ment en 2026, et comment ne pas en devenir la prochaine ligne.<\/p>

Deux victimes, 62 millions de dollars en deux mois<\/h2>

Le 20 d\u00e9cembre 2025, un portefeuille Ethereum a envoy\u00e9 49 999 950 USDT, soit pr\u00e8s de 50 millions de dollars (environ 45 millions d’euros), vers une adresse qu’il croyait conna\u00eetre. Selon les analystes de Lookonchain et de SlowMist, relay\u00e9s par The Block<\/a>, la victime venait d’effectuer un transfert test de 50 USDT vers sa vraie adresse. Un script automatis\u00e9 a aussit\u00f4t g\u00e9n\u00e9r\u00e9 une adresse sosie reprenant les cinq premiers et les quatre derniers caract\u00e8res de la bonne, puis l’a inject\u00e9e dans l’historique via de minuscules transactions. Pour le virement principal, la victime a copi\u00e9 la mauvaise ligne.<\/p>

L’attaquant n’a pas tra\u00een\u00e9. En une trentaine de minutes, les USDT ont \u00e9t\u00e9 convertis en DAI, puis en quelque 16 680 ETH, avant de dispara\u00eetre dans le mixeur Tornado Cash. La victime a offert une prime d’un million de dollars (environ 890 000 euros) pour la restitution de 98 % des fonds. \u00c0 ce jour, rien n’est revenu.<\/p>

Un mois plus tard, en janvier 2026, un second portefeuille a perdu environ 12,25 millions de dollars (pr\u00e8s de 11 millions d’euros), soit quelque 4 556 ETH, par le m\u00eame proc\u00e9d\u00e9, selon crypto.news<\/a>. Le r\u00e9sum\u00e9 de Scam Sniffer tenait en quatre mots : \u00ab Two victims. $62M gone. \u00bb Deux victimes, 62 millions envol\u00e9s.<\/p>

Dans les deux cas, l’alerte n’est pas venue d’un antivirus ni d’un exchange, mais d’enqu\u00eateurs on-chain comme Lookonchain ou SlowMist, qui surveillent les gros flux et rep\u00e8rent les sch\u00e9mas d’empoisonnement en quasi temps r\u00e9el. C’est devenu la norme en 2026 : la fraude est visible publiquement sur la cha\u00eene presque imm\u00e9diatement, ce qui n’emp\u00eache ni le vol, ni, le plus souvent, le blanchiment qui suit. La transparence de la blockchain documente le casse sans l’arr\u00eater.<\/p>

Ces montants ne sont pas des accidents isol\u00e9s. Ils illustrent un basculement : pendant que le phishing de masse par drainer s’essoufflait, l’empoisonnement d’adresses est devenu l’un des vecteurs les plus rentables du crime on-chain, en visant moins de cibles, mais beaucoup plus grosses.<\/p>

L’empoisonnement d’adresses, c’est quoi au juste ?<\/h2>

Une adresse crypto est une longue cha\u00eene de caract\u00e8res, par exemple 0x1f9a…4e2b sur Ethereum. Personne ne la lit en entier. Les portefeuilles l’affichent tronqu\u00e9e, les premiers et les derniers caract\u00e8res seulement, et les humains la v\u00e9rifient de la m\u00eame mani\u00e8re : un coup d’\u0153il au d\u00e9but, un coup d’\u0153il \u00e0 la fin. L’empoisonnement d’adresses exploite pr\u00e9cis\u00e9ment ce raccourci.<\/p>

L’attaquant g\u00e9n\u00e8re par force brute une adresse dite \u00ab vanity \u00bb, dont le d\u00e9but et la fin copient l’une de vos contreparties habituelles : un exchange, un proche, votre propre portefeuille froid. Il fait ensuite appara\u00eetre ce sosie dans votre historique, le plus souvent en vous envoyant une poussi\u00e8re (\u00ab dust \u00bb) de quelques centimes, ou une fausse entr\u00e9e qui en a l’apparence. Plus tard, quand vous voudrez refaire un virement vers cette contrepartie, vous risquez de copier l’adresse depuis l’historique, et de tomber sur le leurre.<\/p>

Pourquoi l’escroc peut-il fabriquer un sosie aussi convaincant ? Parce qu’il ne cherche pas \u00e0 reproduire l’adresse enti\u00e8re, ce qui serait impossible, mais seulement ses extr\u00e9mit\u00e9s. Obtenir une adresse dont les premiers et derniers caract\u00e8res co\u00efncident avec une cible demande quelques secondes de calcul sur du mat\u00e9riel grand public ; reproduire les quarante caract\u00e8res d’une adresse Ethereum, en revanche, d\u00e9passe tout ce que l’informatique sait faire aujourd’hui. L’attaque ne casse donc rien de cryptographique : elle vise l’endroit pr\u00e9cis o\u00f9 l’\u0153il humain rel\u00e2che son attention, ce milieu que personne ne lit jamais.<\/p>

C’est du hame\u00e7onnage, mais sans courriel, sans faux site, sans lien \u00e0 cliquer. Le pi\u00e8ge n’est pas un message : c’est une ligne dans votre propre application, qui ressemble \u00e0 s’y m\u00e9prendre \u00e0 quelque chose de l\u00e9gitime. D’o\u00f9 son surnom de casse du copier-coller.<\/p>

Un exploit de l’interface, pas du code<\/h2>

Aucun smart contract n’est pirat\u00e9 dans un empoisonnement d’adresses classique. L’attaquant ne prend pas le contr\u00f4le de votre portefeuille, ne vole pas votre cl\u00e9 priv\u00e9e, n’obtient aucune autorisation (\u00ab allowance \u00bb) sur vos jetons. La faille est ailleurs : dans la fa\u00e7on dont les portefeuilles affichent les adresses, et dans l’habitude humaine de copier-coller depuis un historique.<\/p>

Il faut distinguer cette attaque de l’autre grande famille du phishing on-chain, celle des wallet drainers, qui repose sur une signature ou une autorisation pi\u00e9g\u00e9e : la victime y approuve un contrat malveillant qui vide ensuite le portefeuille. L’empoisonnement d’adresses est plus primitif et, \u00e0 certains \u00e9gards, plus difficile \u00e0 parer : il n’y a pas de contrat hostile \u00e0 signaler, pas d’allowance \u00e0 r\u00e9voquer sur un outil comme revoke.cash. Il n’y a qu’une cha\u00eene de caract\u00e8res, parfaitement inerte, qui attend d’\u00eatre recopi\u00e9e.<\/p>

La cons\u00e9quence est inconfortable : un audit de code, aussi rigoureux soit-il, n’y peut rien. Le probl\u00e8me ne vit pas dans la blockchain, mais dans la couche de pr\u00e9sentation et chez l’utilisateur. C’est le m\u00eame enseignement que pour les grands casses de ponts, o\u00f9 les cl\u00e9s c\u00e8dent avant le code<\/a>, ou pour les incidents que documente CertiK, o\u00f9 le risque n’est pas le code<\/a> mais ce qui l’entoure.<\/p>

Autrement dit, la s\u00e9curit\u00e9 on-chain peut \u00eatre parfaite et vous co\u00fbter quand m\u00eame 50 millions. La signature que vous apposez est valide, la transaction est correctement ex\u00e9cut\u00e9e, le r\u00e9seau fait exactement ce que vous lui avez demand\u00e9. Vous avez simplement demand\u00e9 la mauvaise chose. C’est ce qui rend l’empoisonnement d’adresses si difficile \u00e0 endiguer : il n’y a pas de bug \u00e0 corriger, seulement une routine \u00e0 r\u00e9apprendre.<\/p>

Les trois variantes de l’attaque<\/h2>

La recherche universitaire, sur laquelle nous revenons plus loin, distingue trois grandes variantes. Elles partagent le m\u00eame but, salir votre historique d’une adresse sosie, mais diff\u00e8rent par la m\u00e9canique.<\/p>

La premi\u00e8re, le transfert de poussi\u00e8re, consiste \u00e0 vous envoyer une vraie petite somme depuis l’adresse sosie, pour qu’elle apparaisse comme une contrepartie r\u00e9cente. La deuxi\u00e8me, plus retorse, exploite une subtilit\u00e9 du standard ERC-20 : un appel transferFrom portant sur z\u00e9ro jeton \u00e9met quand m\u00eame un \u00e9v\u00e9nement Transfer, sans n\u00e9cessiter la moindre autorisation. L’attaquant fabrique ainsi une fausse ligne \u00ab vous avez envoy\u00e9 \u00e0 cette adresse \u00bb qui n’a jamais eu lieu. La troisi\u00e8me utilise un faux jeton, un contrat d\u00e9ploy\u00e9 pour imiter l’USDT ou l’USDC, depuis lequel l’escroc simule de gros transferts vers son adresse sosie.<\/p>

Variante<\/th>M\u00e9canique<\/th>Ce que voit la victime<\/th>Parade cl\u00e9<\/th><\/tr><\/thead>
Transfert de poussi\u00e8re (dust)<\/td>Minuscule envoi r\u00e9el depuis une adresse sosie<\/td>Une contrepartie r\u00e9cente de quelques centimes<\/td>Ne jamais copier depuis l’historique<\/td><\/tr>
transferFrom \u00e0 valeur nulle<\/td>Appel ERC-20 de 0 jeton \u00e9mettant un \u00e9v\u00e9nement Transfer sans autorisation<\/td>Une fausse ligne d’envoi sortant vers le sosie<\/td>Masquer les transferts \u00e0 valeur nulle<\/td><\/tr>
Faux jeton (counterfeit token)<\/td>Contrat imitant l’USDT ou l’USDC, montants fictifs \u00e9lev\u00e9s<\/td>De gros transferts cr\u00e9dibles vers le sosie<\/td>V\u00e9rifier le contrat du jeton, pas son nom<\/td><\/tr><\/tbody><\/table><\/figure>

La variante transferFrom \u00e0 valeur nulle est la plus vicieuse, car elle laisse croire que c’est vous qui avez d\u00e9j\u00e0 pay\u00e9 cette adresse, ce qui l\u00e8ve toute m\u00e9fiance. Etherscan a d’ailleurs fini par masquer par d\u00e9faut ces transferts \u00e0 z\u00e9ro, et MetaMask affiche d\u00e9sormais des alertes d\u00e9di\u00e9es. La variante au faux jeton, elle, joue sur le fait que n’importe qui peut d\u00e9ployer un contrat appel\u00e9 \u00ab USDT \u00bb : seul le v\u00e9ritable contrat compte, pas l’\u00e9tiquette.<\/p>

Pourquoi l’attaque explose en 2026 : Fusaka et l’effondrement du co\u00fbt<\/h2>

Empoisonner un historique co\u00fbte de l’argent : chaque poussi\u00e8re, chaque faux Transfer est une transaction qui paie des frais. Tant que les frais Ethereum restaient \u00e9lev\u00e9s, arroser des dizaines de milliers de portefeuilles demeurait co\u00fbteux. La mise \u00e0 niveau Fusaka a chang\u00e9 l’\u00e9quation.<\/p>

Selon Blockaid<\/a>, la mise \u00e0 niveau Fusaka, d\u00e9ploy\u00e9e le 3 d\u00e9cembre 2025, a r\u00e9duit les frais de transaction d’environ six fois, retirant le principal frein \u00e9conomique aux campagnes de masse. R\u00e9sultat : les tentatives d’empoisonnement recens\u00e9es par la firme sont pass\u00e9es de 628 000 en novembre 2025 \u00e0 3,4 millions en janvier 2026, une multiplication par 5,5 en deux mois.<\/p>

Les ordres de grandeur donnent le vertige. Depuis janvier 2025, Blockaid dit avoir signal\u00e9 plus de 65,4 millions de transactions d’empoisonnement, soit plus de 160 000 par jour. Environ 316 000 ont \u00ab r\u00e9ussi \u00bb, au sens o\u00f9 la victime a r\u00e9ellement envoy\u00e9 des fonds \u00e0 l’adresse pi\u00e9g\u00e9e, soit \u00e0 peu pr\u00e8s une tentative sur deux cents. crypto.news \u00e9voque de son c\u00f4t\u00e9 plus d’un million de tentatives par jour sur le seul r\u00e9seau Ethereum.<\/p>

Le calcul de l’escroc devient alors limpide : des milliers de leurres pour quelques centimes chacun, et il suffit qu’une seule baleine se trompe pour empocher huit chiffres. Quand le co\u00fbt d’un leurre tombe \u00e0 presque rien, la rentabilit\u00e9 d’une campagne ne d\u00e9pend plus que du nombre de cibles arros\u00e9es.<\/p>

Ce basculement s’inscrit dans un paradoxe plus large. Les pertes agr\u00e9g\u00e9es du phishing par drainer ont fondu, passant de pr\u00e8s d’un demi-milliard de dollars en 2024 \u00e0 83,85 millions en 2025, mais ce recul masque une recomposition : l’argent ne dispara\u00eet pas, il migre vers des attaques plus cibl\u00e9es, plus patientes et moins d\u00e9tectables. L’empoisonnement d’adresses en est l’exemple le plus net, car il ne d\u00e9clenche aucune des alertes con\u00e7ues pour les signatures pi\u00e9g\u00e9es ; techniquement, aucune transaction frauduleuse n’a lieu tant que la victime n’a pas elle-m\u00eame cliqu\u00e9 sur envoyer.<\/p>

270 millions de tentatives : ce que dit la recherche<\/h2>

L’\u00e9tude de r\u00e9f\u00e9rence vient de l’universit\u00e9 Carnegie Mellon. Dans un article intitul\u00e9 \u00ab Blockchain Address Poisoning \u00bb, accept\u00e9 \u00e0 la conf\u00e9rence USENIX Security 2025, les chercheurs Taro Tsuchiya, Jin-Dong Dong, Kyle Soska et Nicolas Christin ont pass\u00e9 au crible deux ans de donn\u00e9es sur Ethereum et BNB Smart Chain. Le papier est public sur arXiv<\/a>.<\/p>

Leurs chiffres : environ 270 millions de tentatives d’empoisonnement, visant plus de 17 millions d’adresses victimes, 6 633 incidents ayant effectivement caus\u00e9 une perte, pour au moins 83,8 millions de dollars (environ 75 millions d’euros) de dommages document\u00e9s. C’est treize fois plus d’attaques que les estimations ant\u00e9rieures. Les auteurs qualifient le ph\u00e9nom\u00e8ne de \u00ab one of the largest cryptocurrency phishing schemes observed in the wild \u00bb, l’un des plus vastes dispositifs de hame\u00e7onnage crypto jamais observ\u00e9s.<\/p>

Ce travail a transform\u00e9 l’empoisonnement d’adresses, longtemps trait\u00e9 comme une nuisance de second ordre, en objet d’\u00e9tude s\u00e9rieux. Il a surtout montr\u00e9 que les pertes m\u00e9diatis\u00e9es, les gros casses, ne sont que la partie \u00e9merg\u00e9e : l’essentiel du volume tient \u00e0 des dizaines de millions de tentatives silencieuses, dont la plupart \u00e9chouent, mais dont le co\u00fbt unitaire est si faible que l’op\u00e9ration reste gagnante.<\/p>

La force de ce d\u00e9compte tient \u00e0 sa m\u00e9thode. Plut\u00f4t que de recenser des plaintes, forc\u00e9ment lacunaires, les chercheurs ont d\u00e9tect\u00e9 les attaques directement dans les donn\u00e9es de la cha\u00eene, en rep\u00e9rant les paires d’adresses aux extr\u00e9mit\u00e9s identiques et les sch\u00e9mas de transferts caract\u00e9ristiques. C’est ce qui explique l’\u00e9cart d’un facteur treize avec les estimations fond\u00e9es sur les seuls cas signal\u00e9s : l’immense majorit\u00e9 des empoisonnements ne fait jamais l’objet d’un signalement, parce que la plupart \u00e9chouent sans m\u00eame que la cible s’en aper\u00e7oive.<\/p>

Anatomie d’une campagne, chiffres \u00e0 l’appui<\/h2>

Pour comprendre l’\u00e9conomie de ces campagnes, l’analyse la plus d\u00e9taill\u00e9e reste celle de Chainalysis<\/a>, qui a d\u00e9cortiqu\u00e9 une op\u00e9ration unique de 66 jours, du 28 f\u00e9vrier au 4 mai 2024.<\/p>

Huit portefeuilles semeurs ont g\u00e9n\u00e9r\u00e9 82 031 adresses sosies, soit un peu moins de 1 % de toutes les nouvelles adresses Ethereum cr\u00e9\u00e9es sur la p\u00e9riode. Sur ces dizaines de milliers de leurres, 2 774 ont re\u00e7u des fonds, pour un total de 69 720 993 dollars (environ 62 millions d’euros). Mais la distribution est extr\u00eame : seules 22 adresses ont re\u00e7u plus de 100 dollars (hors remboursement ult\u00e9rieur), tandis que 756 ont capt\u00e9 entre 1 et 100 dollars, probablement des virements test. Le taux de succ\u00e8s r\u00e9ellement utile est donc de 0,03 %.<\/p>

\u00c9tape de la campagne (28 f\u00e9v. au 4 mai 2024)<\/th>Chiffre<\/th><\/tr><\/thead>
Portefeuilles semeurs<\/td>8<\/td><\/tr>
Adresses sosies g\u00e9n\u00e9r\u00e9es<\/td>82 031 (moins de 1 % des nouvelles adresses ETH)<\/td><\/tr>
Adresses ayant re\u00e7u des fonds<\/td>2 774<\/td><\/tr>
Adresses ayant re\u00e7u plus de 100 $<\/td>22<\/td><\/tr>
Total d\u00e9rob\u00e9<\/td>69,72 M$ (environ 62 M\u20ac)<\/td><\/tr>
Solde moyen des victimes<\/td>338 900 $ (environ 303 000 \u20ac)<\/td><\/tr>
Profit net de la campagne<\/td>environ 1,49 M$ (environ 1,3 M\u20ac)<\/td><\/tr><\/tbody><\/table><\/figure>

Le profil des victimes est \u00e9loquent : un solde moyen de 338 900 dollars, pr\u00e8s de 598 transactions chacune et plus de 500 jours d’activit\u00e9 on-chain. Ce ne sont pas des d\u00e9butants. Ce sont des utilisateurs aguerris, actifs, dont la routine de copier-coller est pr\u00e9cis\u00e9ment ce que l’attaque retourne contre eux. Reconstituer un tel encha\u00eenement rel\u00e8ve du m\u00eame travail de police on-chain que celui par lequel Halborn a reconstitu\u00e9 le casse de Drift<\/a> transaction par transaction.<\/p>

Un d\u00e9tail de cette analyse en dit long sur la psychologie de l’attaque. Parmi les adresses sosies, 756 ont re\u00e7u de tout petits montants, entre 1 et 100 dollars : tr\u00e8s probablement des transferts test, ceux-l\u00e0 m\u00eames que les prudents effectuent avant un gros virement. Autrement dit, le r\u00e9flexe cens\u00e9 rassurer, envoyer d’abord une petite somme, alimente l’historique dans lequel l’adresse pi\u00e9g\u00e9e se fond, et ne garantit rien pour le virement suivant. La prudence mal plac\u00e9e devient une pi\u00e8ce du pi\u00e8ge.<\/p>

Le casse WBTC \u00e0 68 millions, et l’exception qui a \u00e9t\u00e9 rendue<\/h2>

Le cas le plus c\u00e9l\u00e8bre reste le vol de mai 2024. Le 3 mai, une baleine a envoy\u00e9 1 155 WBTC, soit environ 68 millions de dollars (pr\u00e8s de 61 millions d’euros), \u00e0 une adresse sosie, apr\u00e8s avoir re\u00e7u une poussi\u00e8re destin\u00e9e \u00e0 semer le leurre, comme l’a document\u00e9 CoinDesk<\/a>.<\/p>

L’histoire a connu un d\u00e9nouement rare. Apr\u00e8s une s\u00e9rie de messages on-chain entre la victime et le voleur, ce dernier a renvoy\u00e9 environ 22 960 ETH, soit quelque 65,7 millions de dollars (environ 59 millions d’euros), c’est-\u00e0-dire plus de 96 % de la valeur en dollars initialement d\u00e9rob\u00e9e, autour du 9 mai 2024. La victime avait d’abord propos\u00e9 de lui laisser 10 % en guise de prime ; l’escroc en a finalement rendu plus de 90 %, comme l’a relat\u00e9 Cointelegraph<\/a>.<\/p>

Pourquoi rendre le butin ? L’hypoth\u00e8se la plus r\u00e9pandue est la peur : un montant \u00e0 neuf chiffres attire l’attention des enqu\u00eateurs et des traceurs on-chain, et blanchir une telle somme est difficile. Comparez avec d\u00e9cembre 2025 : 50 millions aussit\u00f4t noy\u00e9s dans Tornado Cash, et aucune restitution. La fronti\u00e8re entre un casse rendu et un casse d\u00e9finitif tient souvent \u00e0 la vitesse de blanchiment, pas \u00e0 la morale du voleur.<\/p>

La n\u00e9gociation s’est jou\u00e9e en public, inscrite dans les champs de donn\u00e9es des transactions elles-m\u00eames, chaque partie r\u00e9pondant \u00e0 l’autre par messages on-chain. D\u00e9tail relev\u00e9 par Chainalysis : \u00e0 cause de l’appr\u00e9ciation du Bitcoin entre le vol et la restitution, le voleur a tout de m\u00eame conserv\u00e9 l’\u00e9quivalent d’environ 3 millions de dollars de plus-value, alors m\u00eame qu’il rendait la quasi-totalit\u00e9 des jetons. Une anomalie qui rappelle que, sur la blockchain, la valeur continue de bouger pendant qu’on n\u00e9gocie.<\/p>

Bitcoin n’est pas \u00e9pargn\u00e9<\/h2>

On associe l’empoisonnement d’adresses \u00e0 Ethereum et \u00e0 ses jetons, mais Bitcoin est touch\u00e9 aussi. Jameson Lopp, cofondateur et directeur de la s\u00e9curit\u00e9 de la soci\u00e9t\u00e9 de conservation Casa, a scann\u00e9 l’int\u00e9gralit\u00e9 de la cha\u00eene Bitcoin et identifi\u00e9 environ 48 000 attaques pr\u00e9sum\u00e9es depuis juillet 2023, comme l’a rapport\u00e9 The Block<\/a>.<\/p>

Sa m\u00e9thode de d\u00e9tection : rep\u00e9rer les transactions \u00e0 une entr\u00e9e et une sortie o\u00f9 deux portefeuilles partagent les quatre premiers et les quatre derniers caract\u00e8res, signature typique d’un leurre. La hausse co\u00efncide avec la baisse des frais Bitcoin observ\u00e9e depuis juillet 2024, confirmant le m\u00eame moteur \u00e9conomique que sur Ethereum : moins \u00e7a co\u00fbte, plus on arrose.<\/p>

Lopp a rep\u00e9r\u00e9 au moins un cas vraisemblablement r\u00e9ussi : une victime a envoy\u00e9 0,1 BTC \u00e0 une adresse malveillante, puis 0,1 BTC douze heures plus tard \u00e0 l’adresse probablement vis\u00e9e au d\u00e9part. \u00ab Cette seule tromperie r\u00e9ussie aurait facilement pu rapporter un rendement bien plus \u00e9lev\u00e9, car l’adresse depuis laquelle les fonds ont \u00e9t\u00e9 d\u00e9pens\u00e9s d\u00e9tenait pr\u00e8s de 8 BTC \u00bb, a-t-il not\u00e9. Sa recommandation est simple : que les portefeuilles d\u00e9tectent les adresses ressemblantes et affichent un avertissement clair avant tout envoi.<\/p>

Bitcoin complique pourtant la t\u00e2che de l’escroc. Son mod\u00e8le en UTXO et l’usage r\u00e9pandu d’adresses \u00e0 usage unique font qu’une adresse recopi\u00e9e y est moins souvent r\u00e9utilis\u00e9e que sur Ethereum, o\u00f9 l’on renvoie volontiers vers la m\u00eame adresse de compte. Mais les montants en jeu compensent : viser un d\u00e9tenteur dont le portefeuille froid p\u00e8se plusieurs BTC suffit \u00e0 rentabiliser des milliers de leurres \u00e0 quelques satoshis pi\u00e8ce.<\/p>

La chasse \u00e0 la baleine<\/h2>

Le trait commun de 2026, c’est le ciblage. Le phishing de masse arrosait tout le monde ; l’empoisonnement d’adresses, lui, se concentre sur les gros portefeuilles. Les chiffres de Scam Sniffer sont parlants : en janvier 2026, le phishing par signature a co\u00fbt\u00e9 6,27 millions de dollars (environ 5,6 millions d’euros) \u00e0 4 741 victimes, en hausse de 207 % sur un mois ; mais deux victimes \u00e0 elles seules ont repr\u00e9sent\u00e9 62 millions via l’empoisonnement d’adresses.<\/p>

La logique est celle de n’importe quel march\u00e9 de l’attention : on va l\u00e0 o\u00f9 est l’argent. Le solde moyen des victimes de la campagne analys\u00e9e par Chainalysis, 338 900 dollars, n’a rien d’un hasard ; les semeurs trient leurs cibles. C’est un ph\u00e9nom\u00e8ne que nous avons d\u00e9crit dans un tout autre contexte, celui des d\u00e9riv\u00e9s, quand la foule devient la cible<\/a> des liquidations.<\/p>

Pour l’escroc, la bascule est rationnelle : un drainer de masse rapportait des milliers de petites prises, faciles \u00e0 rep\u00e9rer et \u00e0 bloquer ; une campagne d’empoisonnement bien cibl\u00e9e peut rapporter huit chiffres avec une poign\u00e9e de transactions quasi impossibles \u00e0 distinguer d’une activit\u00e9 normale. Moins de bruit, plus de butin. C’est la m\u00eame trajectoire, fewer nets, bigger fish, que tout le secteur du phishing a prise cette ann\u00e9e.<\/p>

Les acteurs institutionnels ont d’ailleurs tir\u00e9 les le\u00e7ons de ces pertes. Bureaux OTC, tr\u00e9soreries d’entreprise et d\u00e9positaires imposent de plus en plus des listes d’adresses pr\u00e9approuv\u00e9es (allowlisting), o\u00f9 toute destination nouvelle doit \u00eatre valid\u00e9e hors ligne par plusieurs personnes avant le moindre envoi. Pour un particulier fortun\u00e9, l’\u00e9quivalent tient en une discipline : figer ses contreparties une fois pour toutes, et traiter toute adresse in\u00e9dite comme suspecte par d\u00e9faut.<\/p>

Se prot\u00e9ger : la pile de d\u00e9fense<\/h2>

Bonne nouvelle : contrairement \u00e0 un drainer qui vous fait signer une autorisation pi\u00e9g\u00e9e, l’empoisonnement d’adresses ne peut rien faire sans vous. Il a besoin que vous copiiez et validiez vous-m\u00eame le virement. Quelques r\u00e9flexes suffisent \u00e0 neutraliser la quasi-totalit\u00e9 des cas. Le guide de Ledger Academy<\/a> en d\u00e9taille l’essentiel ; voici la version courte.<\/p>