Dans l’univers d’Ethereum, des contrats intelligents et de la DeFi, il existe aujourd’hui une menace manifeste, plus dangereuse qu’un piratage classique de portefeuille cryptographique, qui ne nécessite ni le vol d’une phrase de récupération, ni d’une clé privée, ni le piratage d’un ordinateur ou d’un portefeuille : une seule signature numérique imprudente et irréfléchie suffit.
Récemment, c’est précisément ainsi qu’un utilisateur du réseau Ethereum a perdu 999 999 USDT après avoir confirmé une demande d’approbation de jetons (token approval) issue d’une tentative de phishing. Cet incident est une nouvelle preuve que le phishing par « token approval » est devenu l’une des méthodes les plus efficaces pour voler des actifs.
D’après les informations publiées par le service Scam Sniffer, la victime s’est contentée de signer une demande frauduleuse d’autorisation d’utilisation de jetons. Au même moment, un script automatisé a tenté de prélever exactement 1 000 000 USDT. Bien que la transaction n’ait pas abouti en raison d’un solde insuffisant de 631 dollars, le script a corrigé son erreur 36 secondes plus tard et a transféré le solde vers des comptes tiers en trois transactions : 639 999, 200 000 et 159 999 USDT. L’utilisateur a ainsi perdu d’un seul coup 999 999 USDT. Il est à noter que la clé privée du propriétaire n’a pas été compromise, puisque c’est l’utilisateur lui-même qui a donné son autorisation au contrat intelligent. Les transferts ont été enregistrés dans les blocs Ethereum n° 25489460 et 25489463.
Qu’est-ce que le « phishing » lié à l’approbation de jetons ?
La fonction « approve() », dans la norme ERC-20, permet d’accorder à un contrat intelligent le droit de dépenser les jetons d’un utilisateur. Il s’agit d’un mécanisme de fonctionnement normal pour de nombreux protocoles DeFi, tels que : Uniswap, Aave, Curve, 1inch et quelques autres.
Les escrocs exploitent diverses failles, notamment en copiant le design de services connus ou en proposant de faux airdrops, des frappes de NFT ou une « vérification de portefeuille ». En cliquant sur le bouton, le détenteur d’actifs numériques signe de fait et de son propre chef une autorisation illimitée (« Unlimited Approval »). À partir de ce moment, le contrat obtient le droit légal de prélever des actifs sans confirmation supplémentaire de la part de l’utilisateur. Par conséquent, ces attaques ne constituent pas un piratage de la blockchain : elles exploitent simplement la confiance humaine.
Pourquoi cela fonctionne-t-il ? Cinq facteurs techniques
1. « Unlimited Allowance » : autorisation illimitée d’utiliser des tokens.
2. Multicall — regroupement de plusieurs opérations en une seule transaction, ce qui réduit considérablement le temps de réponse.
3. Les scripts adaptent instantanément le montant du débit au solde réel.
4. Utilisation différée de l’autorisation : les fonds peuvent être détournés même des heures, des jours, des semaines, voire des mois après la signature.
5. Visualisation insuffisante des signatures dans de nombreux portefeuilles Web3, ce qui empêche les utilisateurs de percevoir les conséquences réelles de la confirmation.
Le facteur humain reste déterminant. Ce sont précisément la précipitation, l’inattention, le désir d’obtenir un airdrop gratuit ou la peur de passer à côté d’une opportunité lucrative (FOMO) qui poussent une personne à valider des demandes dangereuses.
L'ampleur du problème
De tels cas ne sont plus isolés depuis longtemps et leur nombre ne cesse d'augmenter : rien qu'en 2025, les attaques de phishing ont entraîné des pertes d'environ 723 millions de dollars dans 248 incidents confirmés (selon CertiK). Au cours du premier semestre 2026, les pertes liées au phishing ont été estimées à environ 366 millions de dollars. Notons qu’au cours des trois dernières années, les experts de Scam Sniffer ont régulièrement constaté des vols à grande échelle via de fausses demandes d’approbation, et que l’automatisation des attaques ainsi que l’utilisation de l’IA ne font qu’accroître leur efficacité.
Comment ne pas devenir la prochaine victime
Le marché actuel des cryptomonnaies ressemble de moins en moins à une lutte entre des hackers et des systèmes technologiques. De nos jours, la cible principale n’est plus une vulnérabilité technique, mais l’individu. Une seule signature imprudente, donnée « à la va-vite », peut coûter plus cher que des années d’investissement.
Les experts en cybersécurité recommandent de ne jamais signer de messages incompréhensibles, de révoquer régulièrement les autorisations de jetons inutiles et d’utiliser des portefeuilles matériels pour stocker des sommes importantes. Par ailleurs, les spécialistes soulignent qu’il est nécessaire de disposer d’un portefeuille distinct pour interagir avec les nouveaux projets DeFi et de vérifier attentivement les adresses URL des sites avant de connecter son portefeuille.
