Un trader perd près de 1 million de dollars après avoir validé une autorisation de jeton frauduleuse sur Ethereum

Un utilisateur de cryptomonnaies a perdu près de 1 million de dollars après avoir accordé, sur Ethereum, une autorisation ("approve") à un jeton malveillant, d'après un suivi on-chain partagé par Scam Sniffer. L'affaire illustre la montée en puissance des hameçonnages par "token approvals", passés de coups isolés à des scénarios de vol reproductibles. Scam Sniffer fait état d'une perte de 999 999 USDT (USDT) liée à une autorisation de phishing sur Ethereum. L'attaquant a d'abord tenté de siphonner les fonds via des requêtes multicall, sans succès faute de solde suffisant, avant de réussir quelques secondes plus tard en enchaînant des transferts qui ont vidé le reste du portefeuille. Points clés - Un simple "approve" sur un jeton Ethereum peut conférer à un attaquant un pouvoir étendu, permettant une extraction rapide via des transferts automatisés. - Le schéma décrit est en plusieurs étapes : une première tentative (multicall) peut échouer, puis des transactions suivantes peuvent tout de même vider le wallet. - Le phishing par autorisation reste une tactique très utilisée dans les écosystèmes d'arnaques on-chain, y compris les fraudes à l'investissement. - Les chercheurs soulignent la réutilisation de portefeuilles et de schémas d'autorisation : un incident identifié peut révéler un réseau plus large. - L'"address poisoning" accroît le risque ; prudence renforcée lors de la copie/collage d'adresses et de données de contrats. Une autorisation de jeton à l'origine d'un vol à près de 1 million Le mécanisme repose sur des autorisations qui paraissent anodines. Les victimes sont incitées à signer une transaction présentée comme une étape de routine ("activer" un transfert, une interaction ou une "vérification"). En réalité, la signature peut accorder à un acteur malveillant le droit de dépenser des jetons ou de router des fonds depuis le portefeuille, avec un accès large ou durable exploité immédiatement. Dans ce cas, Scam Sniffer indique que le script recalculait le solde restant du portefeuille et prélevait précisément le montant disponible après la première tentative de drain. L'attaquant n'avait donc pas à estimer le contenu du wallet : l'exécution s'ajustait en temps réel pour maximiser l'extraction. Sur Etherscan, l'activité apparaît au travers de trois transactions aboutissant au retrait de 999 999 USDT. Pourquoi le phishing par "approve" continue de fonctionner Ce type d'attaque n'a rien de nouveau : c'est un schéma récurrent. Des données de CertiK citées dans la couverture font état, en 2025, de pertes liées au phishing totalisant 723 millions de dollars sur 248 incidents. La mécanique reste la même : l'ingénierie sociale pousse la victime à cliquer "approve", ce qui confère à un contrat contrôlé par l'attaquant une capacité de dépense. Ces chiffres suggèrent un phénomène structurel. Pour les criminels, l'approche est scalable : une fois les permissions accordées, les soldes peuvent être drainés sans interaction supplémentaire de la victime. Le secteur reste frappé à grande échelle : l'article évoque 366 millions de dollars de pertes dues au phishing au premier semestre de l'année, soulignant que les arnaques fondées sur les permissions s'inscrivent dans une vague plus large de fraudes on-chain. Réutilisation des wallets et des schémas d'autorisation Le risque augmente lorsque les attaquants réemploient les mêmes infrastructures. Plus tôt dans le mois, un autre incident mentionne une victime ayant perdu 1,65 million de dollars après s'être connectée à un faux exchange et avoir signé un contrat malveillant. Dans ce scénario, l'autorisation donnait un "accès illimité", permettant à un outil de balayage automatisé de retirer les fonds, selon le chercheur Ryan Coleman. Chainalysis a par ailleurs indiqué que les arnaques on-chain ont généré au moins 14 milliards de dollars en 2025, les fraudes à l'investissement restant dominantes. Dans ses contenus sur l'approval phishing, Chainalysis explique que ces tactiques constituent un pont entre l'ingénierie sociale et le vol automatisé on-chain. Le cabinet avertit aussi que les criminels réutilisent des wallets, s'appuient sur des fonctionnalités d'autorisation légitimes des contrats et suivent des routes de conversion identiques d'une victime à l'autre. Cette réutilisation change la portée d'un "simple" signalement : cartographier des comportements répétés d'autorisation et de retrait peut mettre au jour une activité coordonnée plutôt qu'un attaquant isolé. Renato Bastos, enquêteur senior chez Chainalysis cité dans la couverture, souligne que chaque cas identifié peut révéler un réseau plus vaste, les escrocs reproduisant les mêmes parcours opérationnels. La répétition de signatures d'autorisation, de schémas de contrats ou de méthodes de drain constitue souvent un marqueur de campagnes systématiques. L'"address poisoning", un risque supplémentaire Les autorisations frauduleuses ne sont pas le seul levier. L'article met aussi en avant l'"address poisoning" : des escrocs créent des adresses proches visuellement d'adresses légitimes, puis envoient de petites sommes ("dust") à ces adresses similaires. Lors d'une copie/collage, l'adresse "empoisonnée" peut être réutilisée par erreur, conduisant à un envoi de fonds vers l'attaquant. Le risque est accru dans les écosystèmes où la copie/collage reste courante. MetaMask a lancé en juin une détection en direct de l'address poisoning : l'outil compare chaque adresse collée avec celles déjà utilisées par le wallet, afin de signaler des adresses nouvelles ou inattendues correspondant à des schémas trompeurs. À surveiller Les vols par approval phishing, comme celui de 999 999 USDT, peuvent se diffuser rapidement lorsque les attaquants affinent l'exécution et réutilisent des patterns. Les utilisateurs sont invités à se méfier de toute demande de signature liée à des autorisations de jetons, à ne pas valider dans la précipitation et à s'appuyer sur des outils de détection. Les équipes de sécurité et analystes on-chain continueront de suivre les scripts de drain récurrents et les infrastructures partagées pour identifier les campagnes avant qu'elles ne s'étendent.