Selon Scam Sniffer, un utilisateur de cryptomonnaie a perdu environ 50 000 $ en USDT lors d'une attaque par empoisonnement d'adresse sur Ethereum.
Résumé
- Selon Scam Sniffer, un utilisateur a perdu environ 50 000 $ en USDT sur Ethereum.
- L'adresse frauduleuse correspondait aux quatre premiers et six derniers caractères du destinataire prévu.
- Une victime précédente a perdu 100 000 USDT après qu'une adresse est restée implantée pendant 66 jours.
- MetaMask indique qu'il affiche un avertissement bloquant lorsqu'une destination ressemble à une adresse précédemment utilisée.
Scam Sniffer a déclaré que l'adresse frauduleuse correspondait aux quatre premiers et six derniers caractères du destinataire prévu. La plateforme de sécurité a partagé les deux adresses accompagnées d'une capture d'écran de l'historique des transactions montrant le paiement mal dirigé.
L'empoisonnement d'adresse exploite les historiques de paiement d'apparence familière
Dans ses conseils de sécurité, MetaMask décrit l'empoisonnement d'adresse comme une arnaque qui place une adresse ressemblante dans l'historique des transactions d'un utilisateur. Les attaquants surveillent les transferts de jetons, souvent impliquant des stablecoins, puis génèrent une adresse ressemblant à une adresse que la cible a utilisée.
Selon le fournisseur de portefeuille, un transfert de valeur négligeable ou de zéro jeton peut inscrire l'imitation dans l'historique d'activité de la cible. L'attaquant attend que l'utilisateur copie la mauvaise destination lors de la préparation d'un paiement ultérieur.
MetaMask explique que l'affichage abrégé des adresses peut masquer la différence : les caractères d'ouverture et de fermeture semblent familiers tandis que le milieu de l'adresse diffère.
Des vols d'USDT antérieurs impliquaient des adresses implantées et des transferts de test
Dans un cas du 11 août, crypto.news a précédemment rapporté qu'un utilisateur a perdu environ 100 000 USDT après avoir sélectionné une adresse imitation implantée dans l'historique du portefeuille 66 jours plus tôt, selon Cyvers Alerts.
Cyvers a déclaré que la victime s'était fiée à l'historique sans comparer l'intégralité de la destination. Après avoir reçu le paiement, l'attaquant a échangé les USDT contre des ETH, le portefeuille récepteur contenant environ 52,8 ETH lorsque la société de sécurité a publié son alerte.
La société a décrit l'incident comme une ingénierie sociale impliquant un enregistrement d'adresse falsifié. Son compte initial n'a pas identifié la victime ni signalé de récupération, d'accord de restitution ou d'intervention d'un échange. Cyvers a attribué la perte à l'échec de la vérification de l'adresse complète et a déconseillé de traiter l'historique des transactions comme un carnet d'adresses de confiance. La société de sécurité a déclaré que la conversion semblait destinée à réduire le risque de gel des stablecoins.
Un cas distinct couvert le 21 décembre 2025 impliquait un trader qui a transféré 49 999 950 USDT vers une destination frauduleuse après avoir d'abord envoyé un paiement de test de 50 USDT au destinataire prévu.
Selon ce récit, l'attaquant a inséré une transaction de poussière de 0,005 USDT dans l'historique de la victime avant le paiement plus important. L'imitation correspondait aux trois premiers et quatre derniers caractères de la destination légitime, et la victime l'a copiée lors de la préparation du transfert restant.
La surveillance de SlowMist citée dans la couverture a indiqué que les fonds ont été convertis en ETH, répartis entre plusieurs portefeuilles et partiellement déplacés via Tornado Cash. La victime a ensuite offert une prime de 1 million de dollars et exigé le retour de 98 % des fonds dans les 48 heures via un message on-chain.
MetaMask documente les avertissements avant l'envoi des fonds
MetaMask indique que son portefeuille compare une destination proposée avec les adresses de l'historique des transactions de l'expéditeur. Si une nouvelle destination ressemble étroitement à une adresse précédemment utilisée, le logiciel affiche un avertissement bloquant avant la soumission.
Sa documentation donne l'exemple d'une correspondance des quatre premiers et quatre derniers caractères avec des caractères différents au milieu. Un avertissement distinct apparaît lorsque les utilisateurs envoient des fonds à une adresse avec laquelle ils n'ont jamais interagi, bien que le fournisseur indique qu'une destination inconnue n'est pas nécessairement malveillante.
Le filtrage des explorateurs a suscité des critiques concernant les enregistrements empoisonnés
Le 14 mars, le cofondateur de Binance, Changpeng Zhao, a critiqué le spam dans l'historique des transactions après qu'un utilisateur identifié comme Nima a signalé avoir reçu 89 e-mails d'empoisonnement d'adresses en moins de 30 minutes à la suite de deux transferts de stablecoins sur Ethereum.
Zhao a déclaré que Trust Wallet filtrait déjà les transactions et a appelé les explorateurs de blockchain à supprimer les entrées malveillantes. Le rapport incluait une clarification d'un utilisateur identifié comme Xeift selon laquelle Etherscan masquait par défaut les transferts de valeur nulle, tandis que BscScan et Basescan exigeaient des utilisateurs qu'ils activent un contrôle « masquer les transactions à montant 0 ».
Nima a averti : « Beaucoup seront victimes de cela », selon la couverture. Les messages signalés documentaient des tentatives d'empoisonnement répétées ; ils n'étaient pas décrits comme 89 vols accomplis. Etherscan a émis un avertissement concernant la méthode, expliquant que les attaquants tentent de persuader les utilisateurs de copier des destinations d'apparence similaire depuis l'historique des transactions.
Zhao a reconnu que le filtrage pourrait affecter les petits paiements entre agents d'IA et a suggéré d'utiliser l'IA pour distinguer les transferts légitimes du spam.
En juin 2024, Ledger a averti au sujet de transactions factices conçues pour faire croire aux utilisateurs qu'ils avaient déjà envoyé des fonds à l'adresse d'un attaquant. Son avertissement décrivait des adresses d'imitation partageant les quatre ou cinq premiers et les quatre ou cinq derniers caractères d'une destination légitime.
Ledger a déclaré qu'une entrée non sollicitée ne transférerait pas en soi de valeur hors du compte du destinataire. Un paiement sortant nécessiterait que l'utilisateur initie et signe une transaction avec l'appareil. L'entreprise a conseillé aux utilisateurs de masquer les jetons et NFT indésirables dans l'interface du portefeuille et d'éviter d'interagir avec des actifs suspects ou leurs adresses associées.
L'avertissement de Ledger couvrait les petits dépôts de cryptomonnaies et les NFT déguisés en bons, qui pourraient amener les utilisateurs à renvoyer des actifs vers un compte frauduleux.
Selon les recommandations de Ledger de juin 2024, les utilisateurs pouvaient retirer un actif non sollicité de la vue en cliquant dessus avec le bouton droit et en choisissant l'option pour masquer le jeton ou la collection NFT.
