Un utilisateur de crypto a perdu environ 100 000 USDT après avoir transféré les fonds vers une adresse de portefeuille similaire, insérée dans l'historique des transactions de la victime 66 jours plus tôt.
Cyvers Alerts a rapporté le 11 août que son système de surveillance a détecté la perte après que la victime a envoyé des fonds à une adresse contrôlée par un attaquant.
Environ 66 jours avant le vol, l'attaquant a envoyé des transactions impliquant le portefeuille de la victime, selon Cyvers. Cette activité a placé une adresse malveillante dans l'historique des transactions du portefeuille, où elle est apparue similaire à une adresse que la victime avait utilisée pour un transfert normal.
Lorsque la victime a préparé le paiement de 100 000 USDT, Cyvers a indiqué que l'utilisateur s'était fié à l'historique sans comparer l'adresse de destination complète. Les fonds ont par conséquent été envoyés à l'adresse similaire plutôt qu'au destinataire prévu.
L'empoisonnement d'adresse ne nécessite pas qu'un attaquant obtienne une clé privée, ne compromette un contrat intelligent ou ne prenne le contrôle du portefeuille de la victime. Au lieu de cela, la méthode dépend de la longueur et du format des adresses blockchain, que de nombreux portefeuilles et explorateurs de blocs raccourcissent en n'affichant que leurs premiers et derniers caractères.
Les attaquants génèrent des adresses qui correspondent aux parties visibles de l'adresse authentique d'un destinataire, puis utilisent des transferts de petite valeur ou de valeur nulle pour insérer l'imitation dans l'historique des transactions d'une cible. Un utilisateur qui ne vérifie que les caractères de début et de fin peut donc sélectionner le portefeuille de l'attaquant même si les chaînes complètes sont différentes.
Dans le dernier cas, Cyvers a attribué la perte à l'incapacité de la victime de vérifier l'adresse complète. La société de sécurité a conseillé aux utilisateurs de ne pas considérer l'historique des transactions comme un carnet d'adresses fiable et a recommandé de vérifier chaque caractère avant d'approuver un paiement on-chain.
Après le transfert, l'attaquant a échangé l'USDT volé contre de l'Ethereum, a rapporté Cyvers. Le portefeuille récepteur détenait environ 52,8 ETH lorsque la société de sécurité a publié son alerte.
Cyvers a déclaré que la conversion semblait conçue pour réduire le risque que les stablecoins volés puissent être gelés. L'USDT est émis par Tether via des contrats intelligents qui permettent de bloquer des adresses spécifiques, tandis que l'ETH natif n'a pas d'émetteur avec une fonction de gel équivalente.
La conversion signifie également que la valeur des avoirs de l'attaquant peut changer avec le prix du marché de l'ETH. Cyvers n'a signalé aucune récupération, accord de retour ou intervention d'échange dans son alerte initiale, et la société n'a pas non plus identifié publiquement la victime.
Aucune preuve citée dans l'alerte ne suggérait qu'une faille dans Tether, Ethereum ou le logiciel de portefeuille de la victime ait causé le transfert. Cyvers a plutôt décrit l'incident comme une attaque d'ingénierie sociale qui a utilisé un enregistrement d'adresse falsifié pour exploiter les habitudes de paiement de la victime.
L'incident de 100 000 $ fait suite à plusieurs cas plus importants impliquant la même méthode. En février, crypto.news avait déjà rapporté que deux utilisateurs avaient perdu un total combiné de 62 millions de dollars après avoir copié des adresses frauduleuses de leurs historiques de transactions.
Scam Sniffer a attribué environ 50 millions de dollars de ce total à un incident de décembre 2025, tandis qu'une autre victime a perdu environ 12,25 millions de dollars, soit environ 4 556 ETH à l'époque, en janvier 2026. La société de sécurité a déclaré que les attaquants avaient discrètement inséré des adresses similaires dans les enregistrements d'activité récents des deux victimes.
Lors du cas de décembre, un détenteur de stablecoin a d'abord envoyé un paiement test de 50 USDT à la bonne destination. Un attaquant a ensuite inséré une adresse frauduleuse dans l'historique avec une transaction de poussière de 0,005 USDT, après quoi la victime a envoyé par erreur 49 999 950 USDT à l'adresse empoisonnée.
Les actifs volés ont été convertis en ETH et répartis sur plusieurs portefeuilles, selon un rapport antérieur sur le vol. La victime a ensuite offert à l'attaquant une récompense d'un million de dollars pour le retour des fonds restants et a menacé d'impliquer les forces de l'ordre internationales.
Les faibles coûts de transaction ont également rendu les campagnes d'empoisonnement automatisées moins chères à opérer. Scam Sniffer a déclaré en février que des millions de transactions de poussière étaient envoyées chaque jour, beaucoup étant créées pour préparer d'éventuels vols futurs plutôt que pour déplacer des fonds entre des utilisateurs légitimes.
En mars, un utilisateur de stablecoin a signalé avoir reçu 89 alertes d'empoisonnement en 30 minutes après avoir effectué seulement deux transferts légitimes. L'ancien PDG de Binance, Changpeng Zhao, a ensuite critiqué les explorateurs de transactions qui continuaient à afficher les entrées malveillantes.
Pour les utilisateurs américains, l'empoisonnement d'adresse s'inscrit dans une catégorie croissante de fraude aux actifs numériques que les législateurs ont cherché à résoudre par une coordination interinstitutionnelle. Les sénateurs Elissa Slotkin et Jerry Moran ont présenté la loi bipartisane « Strengthening Agency Frameworks for Enforcement of Cryptocurrency Act », connue sous le nom de SAFE Crypto Act, en 2025.
Selon les parrains du projet de loi, la législation proposée établirait un groupe de travail fédéral axé sur l'identification, la surveillance et la prévention des arnaques de cryptomonnaies. Ses membres comprendraient des représentants d'agences gouvernementales, des forces de l'ordre, des entreprises d'actifs numériques, des émetteurs de stablecoins, des sociétés d'intelligence blockchain et des organisations de protection des consommateurs.
La proposition couvre plusieurs formes de cybercriminalité liée aux cryptos, notamment la fraude à l'investissement, le blanchiment d'argent, les systèmes de Ponzi, les rug pulls et les ventes de tokens frauduleuses. Les parrains ont déclaré que le groupe de travail examinerait les schémas d'arnaques et améliorerait la coordination entre les autorités fédérales et les spécialistes du secteur privé.
Le projet de loi ne crée pas de programme de remboursement pour les utilisateurs qui autorisent par erreur des transferts irréversibles. Comme l'expliquait une couverture antérieure, le groupe de travail proposé se concentrerait sur la détection, la perturbation et la coopération entre les agences et les acteurs de l'industrie.
Cyvers a conseillé aux utilisateurs de comparer les adresses de portefeuille complètes plutôt que de se fier aux enregistrements raccourcis dans les historiques de transactions. Pour les transferts importants, les spécialistes de la sécurité recommandent également de confirmer la destination via un canal de communication séparé et d'envoyer un petit montant test avant de transférer le solde restant.
Un paiement test seul ne suffit pas toujours à prévenir une attaque par empoisonnement, comme l'a démontré le vol de décembre 2025. Parce qu'un attaquant peut insérer une adresse similaire immédiatement après le test, l'expéditeur doit vérifier que l'adresse utilisée pour le transfert principal est identique à celle utilisée pour la transaction test.
Les listes blanches d'adresses peuvent ajouter une vérification supplémentaire en limitant les retraits aux destinations approuvées à l'avance. Les portefeuilles matériels (hardware wallets) peuvent également afficher les détails de la transaction avant la signature, bien que les utilisateurs doivent toujours lire et comparer la destination affichée sur l'appareil.
Les interfaces de portefeuille et les explorateurs de blockchain ont commencé à filtrer les entrées suspectes, mais les protections varient selon les plateformes. Un rapport de mars a révélé qu'Etherscan masquait les transferts de valeur nulle par défaut, tandis que BscScan et Basescan exigeaient des utilisateurs qu'ils activent une option « masquer les transactions de montant 0 » pour supprimer ces enregistrements de la vue.
