Environ 1,5 milliard de dollars ont été volés chez Bybit le 21 février 2025 ou autour de cette date, selon le FBI, qui a attribué le vol à la Corée du Nord. Les fonds dormaient dans un portefeuille froid protégé par un multisig, la configuration que l’on conseille pour les sommes sérieuses. Plusieurs signataires ont validé une transaction, et ce n’était pas celle que leur montrait l’interface piratée. Une signature ne vaut que ce que vous êtes capable d’en lire.
À votre échelle, la règle est la même. Savoir révoquer une approbation de token compte parce qu’une autorisation cliquée en 2023 pour un blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool oublié peut encore déplacer vos USDC aujourd’hui : les approbations n’ont pas de date de fin. C’est une habitude de cette leçon, et wallet. It becomes permanent when the provider withdraws.">il y en a cinq autres : séparer ses portefeuilles, lire avant de signer, vérifier où l’on se trouve avant de se connecter, placer les gros montants derrière plusieurs clés, et garder par écrit un plan pour le mauvais jour. La mise en place prend un après-midi. L’entretien demande environ dix minutes par mois, d’après une estimation de la rédaction.
Cette leçon fait suite à ce que la couverture DeFi peut et ne peut pas rembourser. La couverture est la dernière ligne de défense ; la routine ci-dessous vient avant elle. Elle suppose que vous possédez déjà un portefeuille et que vous avez utilisé un protocole. Pour situer les erreurs d’utilisateur parmi les autres dangers, voyez la carte des risques DeFi.
Six attaques, six habitudes : ce que disent les chiffres
L’hameçonnage par « wallet drainer » sur les chaînes EVM a coûté 83,85 millions de dollars aux utilisateurs en 2025, soit 83 % de moins que les 494 millions de 2024, selon le rapport de Scam Sniffer de janvier 2026 (en anglais). La nouvelle semble bonne, et elle l’est en partie. Le rapport présente son chiffre comme un minimum et ne compte que les drainers qui passent par des sites d’hameçonnage. Les piratages directs, les compromissions de plateformes et les attaques de contrats sont hors périmètre, tout comme l’empoisonnement d’adresse, à l’origine de l’une des plus grosses pertes individuelles de l’année écoulée.
| Année | Pertes dues aux drainers | Victimes | Plus gros vol unique |
|---|---|---|---|
| 2024 | 494 millions de dollars | 332 000 | 55,48 millions de dollars |
| 2025 | 83,85 millions de dollars | 106 106 | 6,5 millions de dollars (signature Permit, septembre) |
Chaque attaque ci-dessous a son cas daté et l’étape qui y répond.
| Attaque | Cas daté | Habitude |
|---|---|---|
| Approbation ancienne ou malveillante | 1 576 ETH perdus, puis 95 ETH et 158 ETH de plus (rapporté en janvier 2024) | Étape 3 : révoquer |
| Signature Permit ou Permit2 | 6,5 millions de dollars (septembre 2025) | Étapes 2 et 3 |
| Signature par lot EIP-7702 | 1,54 et 1 million de dollars (août 2025) | Étapes 2 et 3 |
| Empoisonnement d’adresse | Environ 50 millions de dollars (décembre 2025) | Étape 4 : vérifier les adresses |
| Logiciel de portefeuille piégé | Environ 7 millions de dollars, extension Trust Wallet (décembre 2025) | Étapes 1 et 4 |
| Demande de multisig trompeuse | Environ 1,5 milliard de dollars, Bybit (février 2025) ; environ 285 millions de dollars, Drift (avril 2026) | Étape 5 : vérifier |
Étape 1. Répartir ses fonds entre un portefeuille froid, un portefeuille quotidien et un burner
Si la différence entre portefeuilles logiciels et dispositifs matériels est nouvelle pour vous, le guide des portefeuilles crypto la couvre. L’idée est ici plus étroite : donner un seul rôle à chaque portefeuille, pour qu’une mauvaise signature coûte un portefeuille et non tout votre avoir.
Le portefeuille froid contient ce que vous ne comptez pas toucher. Il vit sur un dispositif matériel, configuré comme dans le tutoriel sur le portefeuille matériel, et ne se connecte jamais à une application que vous n’avez pas déjà utilisée. Le portefeuille quotidien dialogue avec les quelques protocoles que vous connaissez et ne garde que ce que ces positions exigent. Le burner sert à tout ce qui n’est pas éprouvé : une nouvelle application, un mint, la réclamation d’un airdrop. Il reste presque vide, de sorte qu’un drainer qui le frappe n’y trouve presque rien. C’est pourquoi les faux airdrops perdent l’essentiel de leur venin quand vous les testez depuis un burner.
- Créez le burner avec sa propre seed phrase, toute neuve. Un compte supplémentaire dérivé de votre seed principale partage cette seed : il ne compte donc pas comme séparé.
- Notez quel portefeuille fait quoi, en vous servant du tableau ci-dessous comme modèle.
- Déplacez les avoirs de long terme vers le portefeuille froid, en commençant par un petit transfert test.
- Alimentez le burner depuis le portefeuille quotidien avec juste de quoi payer le gas et l’action que vous voulez essayer.
- Vérifiez le résultat : ouvrez un explorateur de blocs sur l’adresse froide et constatez qu’elle n’affiche aucune interaction récente avec une application.
| Portefeuille (exemple fictif) | Support | Contient | Peut faire |
|---|---|---|---|
| Froid | Dispositif matériel, rangé à l’écart | 20 000 dollars | Recevoir ; envoyer vers le portefeuille quotidien |
| Quotidien | Portefeuille navigateur ou mobile, avec sa propre seed | 3 000 dollars | N’utiliser que des protocoles connus |
| Burner | Second portefeuille avec sa propre seed | 50 dollars | Essayer nouvelles applications, réclamations et mints |
Les montants sont inventés pour montrer des proportions, pas pour suggérer votre propre répartition. Pendant les essais, l’argent doit circuler dans un seul sens : du quotidien vers le burner pour le test, et en retour uniquement par un simple virement, jamais par l’application testée.
Ce qu’un burner ne peut pas empêcher
Un burner limite les dégâts d’une mauvaise signature. Il ne fait rien contre un logiciel malveillant installé sur la machine, ni contre une seed qui a échappé à votre contrôle. Revoke.cash recense les voies habituelles (en anglais) : faux logiciels, sites d’hameçonnage, sauvegardes de la phrase dans le cloud, commandes de terminal collées sur la foi d’un inconnu, et agents d’IA auxquels on a donné accès au système. Les règles qui concernent la phrase elle-même figurent dans le guide de la seed phrase. En bref : aucun outil légitime de cette leçon ne vous la demandera jamais, et tout site qui la réclame est l’attaque.
Le cas de Trust Wallet montre jusqu’où cela va. La version 2.68.0 de son extension Chrome, publiée le 24 décembre 2025, contenait du code malveillant, et le vol a été estimé à environ 7 millions de dollars, comme BleepingComputer l’a rapporté le 26 décembre (en anglais). Un analyste cité dans l’article explique que le code se déclenchait à l’importation d’une seed phrase. Une seconde seed dans la même extension n’y change rien, et c’est pourquoi la seed du portefeuille froid ne se tape jamais dans un navigateur.
Étape 2. Simuler chaque transaction avant de la signer
Une simulation exécute votre transaction contre l’état actuel de la chaîne et montre ce qui se passerait, sans rien envoyer. Tenderly décrit ce principe comme l’exécution de transactions contre l’état en direct du mainnet ou d’un testnet, sans diffusion, et sa page de résultat liste les transferts d’actifs. Pour un usage ordinaire, vous en avez rarement besoin, car les portefeuilles font désormais une grande partie du travail. MetaMask indique que ses estimations de variation de solde sont activées par défaut. De nombreux autres portefeuilles affichent aussi un aperçu : lisez la documentation du vôtre pour savoir ce qu’il couvre et sur quels réseaux.
Le réflexe prend 30 secondes et comporte quatre parties.
- Lisez les variations de solde : ce qui sort, ce qui arrive, et en quelles quantités.
- Cherchez toute approbation dans l’aperçu, puis vérifiez son montant et son bénéficiaire (le spender).
- Si l’aperçu échoue ou reste vide, arrêtez-vous. Un portefeuille qui ne peut pas lire la transaction vous demande de signer à l’aveugle.
- Demandez-vous si le résultat correspond à ce que vous veniez faire. Une réclamation qui fait sortir des tokens n’est pas une réclamation.
Quand l’aperçu ment
Un aperçu est un instantané, et un site peut modifier ce qui se passe après lui. Scam Sniffer a décrit en janvier 2025 (en anglais) une victime qui a perdu 143,45 ETH, soit environ 460 895 dollars à l’époque. Le site d’hameçonnage avait altéré l’état du contrat, et la victime a signé une trentaine de secondes plus tard, sur un aperçu qui ne tenait plus. Relancez donc la simulation juste avant de signer, et méfiez-vous de tout bouton « Claim » qui vous presse.
MetaMask propose une réponse. Avec ce que ses pages d’aide appellent Added protection (en anglais), les conditions simulées sont imposées sur la chaîne et une transaction qui ne correspond pas est annulée, au prix de gas supplémentaire. La société a précisé en septembre 2026 que cette protection se limite à Ethereum et aux applications EVM de son extension. Partout ailleurs, un aperçu propre n’est qu’un signal parmi d’autres.
Signature à l’aveugle et signature claire sur un dispositif matériel
Un portefeuille matériel prouve que vous avez approuvé quelque chose. Savoir ce que c’était dépend de son écran. De longues chaînes hexadécimales ne disent rien, d’où le Clear Signing : le standard ERC-7730 permet à un protocole de décrire ses contrats pour que l’appareil affiche l’action en toutes lettres. Selon Ledger (en anglais), la garde du standard est passée à l’Ethereum Foundation le 12 mai 2026, et le registre des descripteurs s’y trouve désormais. Deux limites s’appliquent. Le dispositif ne fait qu’afficher une transaction sans rien y changer, et il lui faut un descripteur pour le contrat concerné. Quand votre appareil retombe sur des données brutes, voyez-y une raison de ralentir.
Étape 3. Comment révoquer une approbation de token que vous n’utilisez plus
Une approbation est l’autorisation donnée à un contrat de dépenser l’un de vos tokens. Selon le standard ERC-20 (traduction), le bénéficiaire peut retirer de votre compte « plusieurs fois, jusqu’au montant _value ». Beaucoup d’applications demandent un montant illimité pour que vous ne payiez le gas qu’une fois, comme l’explique Revoke.cash (en anglais). L’autorisation reste en place quand vous quittez l’application. Les NFT ont leur propre version, qui peut couvrir toute une collection.
Les approbations restent actives indéfiniment : un projet utilisé il y a des années peut donc vous nuire s’il est piraté aujourd’hui. Le pire cas coûte cher. Dans un cas documenté par Scam Sniffer en janvier 2024, une victime a perdu 1 576 ETH de collatéral Aave à cause d’une approbation d’hameçonnage et n’a rien fait de plus. L’approbation permettait encore de déplacer 107 ETH. Le drainer en a ensuite pris 95, ce qui a poussé la position en liquidation, et 158 ETH de plus sont partis avec elle.
La revue mensuelle, pas à pas
- Tapez revoke.cash dans la barre d’adresse ou utilisez votre favori. Ne suivez pas un lien reçu dans un message ou une publicité.
- Collez votre adresse publique ou votre nom ENS pour l’inspecter. Rien n’a besoin d’être connecté à ce stade, et aucune seed phrase n’intervient jamais.
- Choisissez un réseau. Revoke.cash en couvre plus de 80, et une approbation sur Base n’apparaît pas sous Ethereum : recommencez pour chaque chaîne que vous utilisez.
- Triez du plus récent au plus ancien si vous soupçonnez une mauvaise signature. Pour une revue de routine, parcourez la liste et repérez chaque bénéficiaire que vous ne reconnaissez pas.
- Connectez le portefeuille concerné et cliquez sur Revoke pour chaque approbation devenue inutile, ou utilisez l’icône en forme de crayon pour abaisser le montant.
- Confirmez dans votre portefeuille, lisez l’aperçu comme à l’étape 2, puis rechargez la liste et vérifiez que la ligne a disparu.
Etherscan offre une seconde voie : le support d’OpenSea détaille (en anglais) son vérificateur d’approbations de tokens, à l’adresse etherscan.io/tokenapprovalchecker, où l’on connecte le portefeuille, parcourt les onglets ERC-20, ERC-721 et ERC-1155 puis clique sur Revoke. L’un ou l’autre outil convient. L’essentiel est de taper l’adresse vous-même, car un utilisateur paniqué qui cherche un outil de révocation est une proie facile.
Permit et Permit2 : des approbations sans gas
Un permit est une approbation signée hors chaîne. Aucune transaction n’est envoyée, aucun gas n’est payé, et votre portefeuille affiche un message plutôt qu’une transaction, ce qui peut sembler inoffensif. Les permits EIP-2612 ne fonctionnent que sur les tokens qui les prennent en charge. Permit2, conçu par l’équipe d’Uniswap, contourne cette limite : vous accordez une approbation illimitée au contrat Permit2, qui gère ensuite des sous-approbations, chacune avec une échéance. Revoke.cash souligne le risque d’hameçonnage que cela ajoute, puisqu’une seule approbation peut couvrir plusieurs tokens et se lit mal, et recommande de révoquer l’approbation donnée à Permit2 lui-même dès que vous cessez de l’utiliser.
Scam Sniffer a compté les signatures permit et Permit2 pour 38 % des pertes dans ses cas de 2025 d’un million de dollars ou plus : trois cas, 8,72 millions de dollars. Un piège guette la revue mensuelle. Un permit reste hors chaîne tant que personne ne l’utilise, si bien que Revoke.cash dit qu’il ne peut jamais savoir quelles signatures vous avez données. Il liste des signatures potentielles dans un onglet Signatures, et en annuler une avant son utilisation est possible mais en général très difficile. Une fois utilisé, le permit devient une approbation ordinaire que vous pouvez révoquer. Lisez une demande de signature aussi attentivement qu’une transaction.
Les délégations EIP-7702 : la nouveauté à vérifier
Depuis la mise à niveau Pectra du 7 mai 2025, un compte Ethereum ordinaire peut déléguer son comportement à un contrat intelligent grâce à l’EIP-7702. Cela permet le traitement par lots et d’autres astuces utiles. Revoke.cash s’en sert lui-même pour révoquer plusieurs approbations d’un coup. L’EIP est franche sur le danger : « un délégué mal implémenté peut permettre à un acteur malveillant de prendre un contrôle quasi complet du compte EOA d’un signataire » (traduction). Scam Sniffer a relevé deux cas de lots EIP-7702 en août 2025, de 1,54 million et de 1 million de dollars.
N’acceptez une délégation que pour une fonction que vous avez demandée, dans une application ou un portefeuille de confiance. Gardez votre portefeuille froid comme simple compte, ainsi que le conseille Revoke.cash, et réservez la délégation aux portefeuilles quotidiens. Passez ensuite en revue ce qui existe : Revoke.cash affiche les délégations dans un onglet de la page de votre compte, mais la plupart des portefeuilles ne laissent pas des applications extérieures les modifier, de sorte qu’on en efface une depuis l’application du portefeuille. Au niveau du protocole, l’EIP supprime une délégation lorsqu’une nouvelle autorisation pointe vers l’adresse zéro.
Une mise en garde sur les histoires de bots balayeurs : Revoke.cash rappelle qu’ils ne fonctionnent qu’une fois la seed phrase compromise, et qu’à ce stade le portefeuille est déjà perdu. Cela mène à la limite de toute cette étape : révoquer retire une permission, et un voleur qui détient votre clé n’en a pas besoin.
Ce que coûte une révocation, et un entraînement gratuit
Révoquer est une transaction sur la chaîne, donc elle coûte du gas. Les deux actions ont été estimées sur le mainnet d’Ethereum le 1er novembre 2026, vers 10 h UTC, via un nœud public, avec l’USDC comme exemple. L’approbation est une approbation illimitée à Permit2 depuis une adresse sans autorisation préalable. Le chiffre de la révocation provient de trois adresses disposant d’une autorisation USDC active. La colonne du coût ne compte que les frais de base, avec l’ETH à 2 269 dollars selon DefiLlama.
| Action sur l’USDC | Gas estimé | À des frais de base de 0,0509 gwei | En dollars |
|---|---|---|---|
| Approbation illimitée | 56 650 | environ 0,0000029 ETH | environ 0,007 dollar |
| Révocation (approbation remise à zéro) | environ 38 900 | environ 0,000002 ETH | environ 0,005 dollar |
Ces chiffres sont donnés à titre d’exemple pour un matin calme, et ils ont bougé pendant la mesure : les frais de base valaient 0,0407 gwei un quart d’heure plus tôt. Les frais montent avec la congestion et diffèrent sur chaque Layer 2 : lisez le montant que votre portefeuille affiche avant de confirmer. N’attendez pas un prix inférieur au centime un jour de forte affluence.
Entraînez-vous une fois sur le testnet Sepolia, que ethereum.org désigne (en anglais) comme testnet par défaut pour le développement d’applications. Comptez 20 minutes, selon une estimation de la rédaction. L’ETH qui s’y trouve n’a aucune valeur marchande, l’exercice ne risque donc rien.
- Créez un nouveau portefeuille de test, sans fonds réels, et activez les réseaux de test dans ses réglages.
- Passez sur Sepolia et vérifiez que le nom du réseau est affiché à l’écran.
- Obtenez de l’ETH Sepolia gratuit auprès d’un faucet, comme le décrit la page des réseaux d’ethereum.org. Vous ne donnez que votre adresse publique : un faucet qui demande autre chose n’en est pas un.
- Ouvrez la version testnet d’une application bien connue, atteinte depuis son site officiel, et lancez une action qui demande une approbation de token.
- Lisez l’aperçu, puis approuvez. Notez le bénéficiaire et le montant.
- Ouvrez Revoke.cash, saisissez l’adresse, sélectionnez Sepolia et repérez l’approbation.
- Révoquez-la, puis rechargez la page et vérifiez que la ligne a disparu.
Une approbation sur testnet ne peut pas toucher vos fonds du mainnet : les signatures sont liées à un identifiant de chaîne, 11155111 pour Sepolia et 1 pour le mainnet. Méfiez-vous toutefois de tout ce qui se vend comme récompense de testnet. Revoke.cash prévient que des escrocs utilisent de faux airdrops de testnet pour obtenir de vraies approbations sur le mainnet ou des seed phrases. Rien ne se paie sur un testnet, et rien n’y exige votre portefeuille principal.
Étape 4. Vérifier les URL, les contrats et les adresses avant d’agir
Le guide pour éviter les arnaques crypto couvre les schémas généraux, et l’explication du rug pull traite les projets conçus pour disparaître. Pour un utilisateur de DeFi, l’habitude pratique est le favori. Visitez chaque protocole une fois depuis sa documentation, ou depuis le site officiel listé sur DefiLlama, enregistrez la page et n’utilisez rien d’autre. Les résultats de recherche ne sont pas une porte d’entrée sûre : en décembre 2023, Scam Sniffer a retracé environ 58,98 millions de dollars de vols commis par un seul drainer diffusé via des publicités Google et X.
- Ouvrez les protocoles depuis vos favoris uniquement, jamais depuis une réponse, un message privé ou une publicité.
- Avant d’approuver, copiez l’adresse du bénéficiaire affichée dans l’aperçu et comparez-la avec la documentation du protocole.
- Ouvrez cette adresse dans un explorateur de blocs. Cherchez le code source publié, son ancienneté, son activité et le fait qu’il s’agisse d’un proxy.
- Enregistrez vos destinataires habituels dans le carnet d’adresses de votre portefeuille, et collez depuis celui-ci ou depuis la source d’origine.
- Comparez chaque caractère de l’adresse, milieu compris.
- Mettez à jour les extensions de portefeuille uniquement depuis la boutique officielle, et traitez comme hostile toute « correction de sécurité » qui vous est envoyée par message.
L’étape de l’adresse mérite sa place. Dans un cas rapporté le 20 décembre 2025, un utilisateur a envoyé 49 999 950 USDT, près de 50 millions de dollars, vers une adresse sosie. La victime avait fait un transfert test de 50 USDT vers la bonne adresse. Quelques minutes plus tard, le minuscule transfert de l’attaquant figurait dans l’historique, et la victime y a copié l’adresse. Les trois premiers et les quatre derniers caractères coïncidaient. Le 31 janvier 2026, Cryptopolitan a rapporté, en citant Scam Sniffer, qu’une autre victime avait perdu 4 556 ETH, soit environ 12,25 millions de dollars, de la même manière. L’empoisonnement d’adresse n’exige aucune approbation de votre part, seulement l’habitude de copier depuis l’historique. Un transfert test ne vous protège que si le gros transfert part vers exactement l’adresse testée.
La bonne URL n’est pas une preuve non plus. Les attaquants de Bybit ont agi par une interface légitime, et la version malveillante de Trust Wallet était une version de la vraie extension, pas un sosie. Les contrôles se recoupent donc : ce que l’aperçu du portefeuille montre, ce qu’affiche l’écran de l’appareil et ce que dit la documentation doivent concorder avant que vous signiez.
Étape 5. Placer les gros montants derrière un multisig Safe, et vérifier ce qu’il signe
Un portefeuille multisig exige plusieurs clés pour déplacer des fonds, si bien qu’une seule clé volée ne suffit pas. Safe, le portefeuille à contrat intelligent le plus connu de ce type, donne deux règles simples sur les seuils (en anglais) : en choisir un supérieur à un, pour qu’aucun compte ne puisse agir seul, et le garder inférieur au nombre total de signataires, pour qu’une clé perdue ne vous bloque pas et que les autres puissent la remplacer. Son centre d’aide décrit une configuration courante pour un particulier : trois signataires, un MetaMask et deux portefeuilles matériels, avec un seuil de deux, le second portefeuille matériel étant rangé à l’abri comme sauvegarde.
- Fixez un total qui justifierait ces étapes supplémentaires. Vous seul pouvez le décider, et aucun chiffre n’est suggéré ici.
- Préparez les signataires, chacun avec sa propre seed. Ne gardez jamais deux seeds de signataires au même endroit.
- Créez le Safe depuis le site officiel que vous avez mis en favori. Vérifiez le réseau, car un Safe vit sur la chaîne où il a été déployé.
- Fixez le seuil, par exemple deux sur trois.
- Envoyez un petit montant, puis ressortez-le avec deux signataires. Le déploiement et l’exécution coûtent du gas : lisez le chiffre dans votre portefeuille.
- Testez le signataire de secours une fois par an, et passez en revue la liste des signataires chaque trimestre.
Un multisig réduit le risque d’une clé volée. Il ne réduit pas le risque que plusieurs personnes signent la même fausse image, comme le montre l’historique des piratages DeFi. Chez Bybit, Sygnia a remonté la piste jusqu’au Mac d’un développeur de Safe{Wallet}, probablement compromis par ingénierie sociale, puis jusqu’à du JavaScript altéré dans l’interface. Le code qui a créé la transaction malveillante « provenait directement de l’infrastructure AWS de Safe{Wallet} », selon les mots de Sygnia (traduction). La vraie transaction a été remplacée par un appel délégué vers un contrat que les attaquants avaient déployé, ce qui leur a donné le contrôle du portefeuille froid.
Le 1er avril 2026, Drift, sur Solana, a perdu environ 285,3 millions de dollars, d’après l’analyse de BlockSec (en anglais). La société affirme que l’attaquant a amené deux des cinq signataires du Security Council à présigner des transactions malveillantes, par hameçonnage ou par des demandes trompeuses, sans leur voler leurs clés. L’attaquant a ensuite conservé ces transactions grâce aux durable nonces, une fonction de Solana qui maintient valide une transaction signée jusqu’à son utilisation. La leçon pour un petit Safe est simple : une signature peut survivre à l’instant où vous l’avez donnée.
Comment vérifier une transaction Safe avant de signer
Le guide de Safe lui-même (en anglais) contient une règle à retenir : « Si vous ne pouvez pas la vérifier, ne la signez pas » (traduction). Ses contrôles prennent quelques minutes et valent pour un Safe de n’importe quelle taille.
- Lisez la destination, la valeur, les données et le nonce dans l’interface, et notez-les.
- Vérifiez les mêmes champs sur le dispositif matériel et comparez-les à vos notes.
- Confirmez que l’opération vaut 0, un appel simple. Une valeur de 1 signifie delegatecall, que Safe qualifie de dangereux : faites vérifier par une personne technique.
- Pour un Safe en version 1.3.0 ou ultérieure, confirmez que safeTxGas, baseGas et gasPrice valent 0, et que gasToken et refundReceiver sont l’adresse zéro.
- Comparez le hash affiché sur l’appareil avec un outil indépendant, sur un autre appareil. Safe cite Safe Utils d’OpenZeppelin et l’outil en ligne de commande safe-tx-hashes-util.
- Simulez la transaction dans Tenderly, idéalement depuis une machine distincte.
Un hash identique montre que l’appareil signe la transaction que vous avez examinée. Il ne dit rien sur la pertinence de cette transaction : lisez donc aussi les données. Pour un solde modeste, un portefeuille matériel et ces habitudes peuvent suffire. Un Safe ajoute des étapes, et des étapes sautées sous la pression ne protègent personne.
Étape 6. Que faire pendant un incident : un plan pour la première heure
Écrivez ce plan dès maintenant et gardez-le hors ligne, car vous le lirez les mains tremblantes. Vous trouverez des conseils qui disent de révoquer d’abord et d’autres qui disent de déplacer les fonds d’abord. Chacun est juste dans un cas et peut vous coûter de l’argent dans l’autre, car une révocation retire une permission et un voleur qui détient votre clé n’en a pas besoin. Le premier geste est donc une décision, et elle dépend de ce que montrent les indices. Le tableau suit les causes que présente Revoke.cash (en anglais), les deux dernières lignes et la ligne de la signature en attente étant ajoutées ici.
| Ce que vous voyez | Cause probable | Premier geste |
|---|---|---|
| Plusieurs tokens disparus sur plusieurs chaînes ou adresses, ou des tokens natifs pris dès leur arrivée | Seed phrase ou clé exposée | Déplacez d’abord. Révoquer ne sert à rien ici |
| Un seul actif disparu après une approbation signée, et un bénéficiaire inconnu sur Revoke.cash | Approbation de token | Révoquez d’abord, tout de suite |
| Une signature permit ou Permit2 que vous regrettez, sans rien de pris pour l’instant | Signature en attente | Consultez l’onglet Signatures. Si vous ne pouvez pas l’annuler, déplacez ce token vers un autre de vos portefeuilles |
| Plusieurs actifs préapprouvés disparus d’un coup, avec des fonctions comme MatchOrders ou BulkExecute sur l’explorateur | Signature de place de marché | Annulez dans l’onglet Signatures s’il reste du temps, puis révoquez les approbations de place de marché |
| Un seul actif disparu, sans approbation inattendue | Transfert direct que vous avez signé | Rien à révoquer. Signalez-le et renforcez la routine |
| Une délégation que vous ne reconnaissez pas | Le délégué peut contrôler le compte | Déplacez d’abord, puis effacez-la depuis votre portefeuille |
| Vous ne pouvez pas trancher | Supposez la clé exposée | Déplacez d’abord |
La dernière ligne est voulue. Déplacer des fonds qui n’étaient pas en danger vous coûte des frais et une nouvelle adresse. Passer son temps à révoquer pendant qu’un voleur détient votre clé peut coûter tout ce qui reste. Une fois les actifs de valeur à l’abri, Revoke.cash propose un moyen de confirmer le diagnostic : envoyer une très petite somme du token natif vers le portefeuille ; si elle est balayée aussitôt, la seed est exposée.
- Cessez de signer. Déconnectez-vous du site et fermez-le. Se déconnecter n’annule pas une approbation : cela empêche seulement que cette page fasse d’autres dégâts. Ne cliquez sur rien de ce qu’on vous envoie à propos de l’incident.
- Trouvez votre ligne dans le tableau. Ouvrez votre adresse dans un explorateur de blocs et sur Revoke.cash depuis votre favori. Consulter une adresse ne demande aucune connexion de portefeuille.
- Clé exposée, ou impossible de trancher : prenez un autre appareil, sain, et créez un nouveau portefeuille avec une nouvelle seed, de préférence sur un portefeuille matériel. Ne tapez jamais la nouvelle seed sur la machine suspecte. Toutes les adresses issues de l’ancienne seed sont exposées : prévoyez de les quitter toutes.
- Déplacez d’abord les actifs les plus précieux que vous pouvez, tant que l’ancien portefeuille a encore du gas. Ne le réapprovisionnez pas pour payer le sauvetage : Revoke.cash avertit que des bots balayeurs prennent les fonds entrants, souvent dans le même bloc, si bien qu’envoyer de l’ETH pour le gas fonctionne rarement.
- Clé saine : révoquez tout de suite. Triez Revoke.cash du plus récent au plus ancien, fermez l’approbation malveillante, y compris celles passées par Permit2, et recommencez sur chaque chaîne où vous avez signé. Ici, un petit complément d’ETH envoyé depuis un autre portefeuille est acceptable si le gas manque. S’il ne peut pas arriver à temps, déplacer le token approuvé vers un autre de vos portefeuilles le met aussi hors de portée, puisqu’une approbation ne touche que ce que détient l’adresse concernée.
- Vérifiez les positions ouvertes. Un attaquant approuvé peut prendre du collatéral, et un retrait peut provoquer une liquidation, comme dans le cas des 1 576 ETH plus haut. Une position laissée dans un portefeuille exposé reste exposée.
- Ouvrez l’onglet des délégations et effacez, depuis votre portefeuille, tout ce que vous n’avez pas accepté en connaissance de cause.
- Quand les fonds sont sortis, nettoyez l’appareil suspect : Revoke.cash conseille de sauvegarder les fichiers et de l’effacer complètement, et de changer vos mots de passe importants. Sans second appareil, son ordre s’applique : effacer d’abord, puis créer le nouveau portefeuille et déplacer les fonds.
- Consignez tout : adresses, hashes de transactions, adresses de sites, captures d’écran et heures.
- Prévenez la plateforme d’échange si les fonds y sont arrivés, et le protocole concerné si le problème vient de lui, par leurs canaux officiels.
- Signalez les faits à la police ou à la gendarmerie (voir plus bas). Faites-le même pour de petites sommes, car cela crée une trace.
Pour une délégation malveillante, Yu Xian, de SlowMist, a suggéré en septembre 2025 (en anglais) de la remplacer par la vôtre et de sortir les tokens. Pour un Safe, un seul signataire exposé est moins urgent tant que le seuil exige encore d’autres clés : utilisez les signataires restants pour le remplacer, comme le centre d’aide de Safe le décrit.
Attendez-vous ensuite à la seconde attaque. Après l’incident de Trust Wallet, BleepingComputer a décrit un faux site de réparation qui demandait aux utilisateurs leur phrase de récupération. Attendez-vous à des réponses qui proposent de l’aide, à des agents de « récupération » et à des personnes qui se font passer pour la police. Revoke.cash affirme qu’il n’existe aucun moyen de récupérer des actifs volés sur la blockchain elle-même, et l’IC3 du FBI précise qu’il ne travaille pas avec des entités qui ne relèvent pas des forces de l’ordre, comme des cabinets d’avocats ou des services crypto, pour récupérer des fonds perdus. Quiconque demande votre seed phrase ou une avance n’est pas là pour vous aider, et aucun service de ce genre n’est recommandé ici. Le guide sur ce qu’il est réaliste de faire après un vol détaille le reste.
Où signaler un vol de cryptos
En France, 17Cyber, service de la Police nationale, de la Gendarmerie nationale et de Cybermalveillance.gouv.fr, propose un diagnostic et une assistance ; en cas d’urgence, composez le 17 ou le 112 (le 114 pour les personnes qui ne peuvent ni parler ni entendre). Une escroquerie en ligne ou un contenu illicite peut être signalé sur internet-signalement.gouv.fr. Pour déposer plainte, présentez-vous dans un commissariat ou une brigade de gendarmerie ; 17Cyber renvoie vers la page « Déposer plainte » de service-public.fr. Hors de France, adressez-vous à la police de votre pays. Le traitement fiscal d’un actif volé dépend de votre pays et de votre cas : demandez conseil à un fiscaliste.
La routine entière sur une page
Les durées ci-dessous sont des estimations de la rédaction. La liste est courte à dessein, car une routine qui prend une heure par semaine ne tiendra pas jusqu’en mars.
| Habitude | Quand | Durée | Outil |
|---|---|---|---|
| Ouvrir les protocoles depuis les favoris | À chaque session | 10 secondes | Navigateur |
| Lire l’aperçu avant de signer | À chaque signature | 30 secondes | Aperçu du portefeuille, Tenderly |
| Alimenter le burner avec le strict nécessaire à l’application | À chaque nouvelle application | 2 minutes | Second portefeuille |
| Passer en revue approbations et délégations | Chaque mois, et après chaque réclamation d’airdrop | 10 minutes | Revoke.cash, Etherscan |
| Revoir les signataires et le seuil du Safe | Chaque trimestre | 15 minutes | Safe |
| Relire le plan d’incident et tester une révocation | Une fois, puis chaque année | 20 minutes | Sepolia |
Si vous ne faites qu’une chose aujourd’hui, apprenez à révoquer une approbation de token sur votre propre adresse : collez-la dans Revoke.cash et comptez les permissions que vous aviez oubliées. La leçon suivante passe de votre portefeuille aux protocoles eux-mêmes, et à la façon d’en juger un avant de lui confier de l’argent.
