En janvier 2026, les pertes dues au phishing sur les portefeuilles de cryptomonnaies ont explosé pour atteindre 6,3 millions de dollars, soit une augmentation de 207 % par rapport à décembre. Selon les données de Scam Sniffer, les attaquants se sont tournés vers une stratégie de « chasse aux baleines », où seulement deux victimes représentent 65 % des pertes totales, avec une seule perte maximale de 3,02 millions de dollars. Un autre incident de « poisoning d’adresses » a également entraîné une perte d’1,225 million de dollars pour une seule victime.
Les pertes dues au phishing par signature ont augmenté de 207 %, tandis que le nombre de victimes diminue
Selon le rapport de Scam Sniffer, au cours du premier mois de cette année, les attaques de phishing par signature ont permis de voler environ 6,3 millions de dollars dans les portefeuilles de cryptomonnaies des utilisateurs. Cette méthode d’attaque consiste à inciter les utilisateurs à signer des « permissions » (Permit) ou des fonctions « d’augmentation d’autorisation » (IncreaseAllowance) malveillantes, donnant à un tiers un accès illimité, permettant aux attaquants de voler des fonds sans que l’utilisateur ait besoin d’approuver chaque transaction.
Ce qui est le plus surprenant, c’est la divergence entre la tendance du montant des pertes et celle du nombre de victimes. Bien que le nombre de victimes ait diminué de 11 % par rapport à décembre, le montant total volé a explosé de 207 %. Cette différence met en évidence un changement fondamental dans la stratégie des cybercriminels, qui passent d’un mode « de balayage large » à une attaque ciblée de type « chasse aux baleines », visant une minorité de personnes détenant de grandes quantités d’actifs, plutôt que d’attaquer massivement de petits comptes de détail.
Ce changement de stratégie pose de nouveaux défis à la sécurité des portefeuilles de cryptomonnaies. La protection traditionnelle contre le phishing se concentre souvent sur la détection du nombre d’attaques et de victimes, mais lorsque les attaquants ciblent des objectifs de grande valeur, ces indicateurs peuvent perdre leur efficacité d’alerte. Même si le nombre de victimes diminue, la croissance explosive du montant total des pertes montre que la menace s’intensifie.
Le phishing par signature est dangereux car il exploite les caractéristiques techniques des interactions sur la blockchain. De nombreuses applications décentralisées (DApp) nécessitent que l’utilisateur donne une permission à un contrat intelligent pour accéder à ses tokens, ce qui est une opération normale. Cependant, les attaquants déguisent des contrats malveillants en applications légitimes pour inciter les utilisateurs à signer des autorisations. Une fois signée, l’attaquant peut transférer indéfiniment des fonds du portefeuille victime sans nécessiter de nouvelle confirmation de l’utilisateur.
La stratégie de chasse aux baleines représente 65 % des pertes totales pour deux victimes, avec une seule perte de 3,02 millions de dollars
Le rapport de Scam Sniffer révèle un fait surprenant : seulement deux victimes représentent près de 65 % de toutes les pertes dues au phishing par signature en janvier. Dans le cas le plus important, un utilisateur a perdu 3,02 millions de dollars après avoir signé une fonction d’autorisation malveillante. Cette distribution très concentrée des pertes illustre clairement la nouvelle tactique des attaquants — cibler précisément les portefeuilles détenant de grandes quantités d’actifs.
La différence entre la chasse aux baleines et le phishing traditionnel réside dans la collecte d’informations avant l’attaque. Les attaquants ne se contentent plus d’envoyer des liens de phishing au hasard, mais analysent les données on-chain pour identifier des cibles de grande valeur, étudient leurs modèles de transaction et habitudes, puis élaborent des plans d’attaque sur mesure. Cette méthode demande plus de préparation et de compétences techniques, mais offre un retour sur investissement exponentiel.
Pour les utilisateurs détenant de grandes quantités d’actifs, cette menace est particulièrement sérieuse. Traditionnellement, les investisseurs à haute valeur nette pensent être mieux protégés, mais en réalité, leur valeur élevée en fait des cibles prioritaires. Les attaquants sont prêts à investir davantage pour concevoir des attaques de social engineering ciblées, y compris la création de sites web plus réalistes, la prétendue affiliation à des projets connus, voire l’établissement de relations de confiance à long terme via les réseaux sociaux.
Cette tendance se reflète également dans la sophistication croissante des techniques d’attaque. Les anciennes méthodes de phishing reposaient sur des emails frauduleux grossiers et des sites web évidents, mais les attaques de chasse aux baleines modernes peuvent impliquer des interfaces utilisateur parfaitement reproduites, des noms de domaine falsifiés (avec des caractères confus comme i et l), et des scénarios d’urgence soigneusement conçus pour pousser l’utilisateur à prendre une décision sous pression.
Poisoning d’adresses : une perte unique de 12,25 millions de dollars, un piège de copier-coller mortel
Outre le phishing par signature, une autre menace tout aussi destructrice — le « poisoning d’adresses » — trouble également les utilisateurs de portefeuilles de cryptomonnaies. En janvier, un cas typique a vu un investisseur perdre 12,25 millions de dollars après avoir transféré des fonds vers une adresse frauduleuse, ce qui constitue la plus grande perte unique du mois.
Le poisoning d’adresses exploite les habitudes des utilisateurs et les caractéristiques techniques des adresses blockchain. Les adresses de portefeuilles de cryptomonnaies sont généralement des chaînes hexadécimales de 42 caractères, leur vérification complète étant fastidieuse. Beaucoup d’utilisateurs ont pris l’habitude de vérifier uniquement les premiers et derniers caractères, ce que les attaquants exploitent. Ils génèrent de fausses adresses ou des adresses imitant des adresses légitimes en copiant précisément les premiers et derniers caractères de l’historique des transactions du portefeuille ciblé.
Processus d’attaque de poisoning d’adresses
Surveillance de la cible : les attaquants suivent l’historique des transactions de portefeuilles de grande valeur
Génération de fausses adresses : création d’adresses factices avec les mêmes premiers et derniers caractères via des algorithmes
Envoi d’appâts : envoi de petites quantités de tokens (souvent des poussières) vers ces fausses adresses
Pollution de l’historique : apparition des fausses adresses dans l’historique des transactions de la victime
Attente d’une erreur : la victime copie-colle l’adresse dans une transaction suivante, en utilisant la fausse adresse
Les attaquants espèrent que l’utilisateur, lors de la prochaine opération, copiera l’adresse depuis l’historique sans vérifier la chaîne complète. Comme la fausse adresse a le même début et la même fin que la vraie, sauf si l’utilisateur examine attentivement la partie centrale, il est presque impossible de faire la différence. Une fois que les fonds sont envoyés à la fausse adresse, la transaction étant irréversible sur la blockchain, les actifs sont immédiatement et définitivement transférés à l’attaquant.
La perte unique de 12,25 millions de dollars illustre la gravité de cette attaque. Pour les investisseurs ou institutions gérant de gros fonds, une seule erreur peut avoir des conséquences catastrophiques. Ce qui est encore plus inquiétant, c’est que cette attaque ne nécessite pas de vulnérabilités techniques complexes, mais repose uniquement sur la psychologie humaine et les habitudes opérationnelles, rendant la prévention plus difficile.
Alerte de Safe Labs : 5000 adresses malveillantes en coordination pour une attaque massive
L’augmentation de ces incidents a conduit Safe Labs (anciennement connu pour le développement de Gnosis Safe, un portefeuille multisignature populaire) à publier une alerte de sécurité urgente. La société a découvert qu’un groupe organisé utilisait environ 5 000 adresses malveillantes pour lancer une attaque massive de social engineering contre ses utilisateurs.
Safe Labs indique : « Nous avons constaté que des acteurs malveillants agissent de concert, créant des milliers d’adresses ressemblant à celles de Safe, dans le but d’inciter les utilisateurs à envoyer leurs fonds à de mauvaises destinations. Il s’agit d’une attaque combinant ingénierie sociale et poisoning d’adresses. » La mise en œuvre à grande échelle de cette attaque montre que le phishing est passé d’un acte individuel à une industrie organisée.
Le déploiement coordonné de 5 000 adresses malveillantes indique que les attaquants disposent d’une infrastructure technique robuste et d’outils automatisés. La génération d’un tel volume d’adresses précises nécessite d’importantes ressources de calcul et des algorithmes optimisés. Cette capacité d’attaque à l’échelle industrielle suggère qu’il s’agit probablement d’un groupe criminel professionnel plutôt que d’un seul hacker.
Pour les fournisseurs de portefeuilles de cryptomonnaies, cette menace de grande ampleur pose de nouveaux défis en matière de sécurité. Les mesures classiques telles que l’authentification à deux facteurs (2FA) ou le stockage à froid sont presque inefficaces contre le poisoning d’adresses et le phishing par signature, car ces attaques exploitent des mécanismes transactionnels légitimes et les habitudes des utilisateurs. La prévention doit passer par une conception améliorée de l’interface utilisateur, des processus de confirmation de transaction, et une éducation accrue des utilisateurs.
Mesures clés pour prévenir le phishing et le poisoning d’adresses
Face à la montée des menaces de phishing, Safe Labs et d’autres experts en sécurité recommandent plusieurs mesures de prévention. La plus importante consiste à vérifier scrupuleusement l’adresse complète en caractères alphanumériques avant d’effectuer un transfert important, plutôt que de se fier uniquement aux premiers et derniers caractères.
Meilleures pratiques pour la sécurité des portefeuilles de cryptomonnaies
Vérification complète de l’adresse : comparer chaque caractère de l’adresse de 42 caractères, en particulier la partie centrale
Utiliser un carnet d’adresses : enregistrer les adresses fréquentes en tant que contacts pour éviter de copier depuis l’historique
Transfert test en petite quantité : effectuer un petit transfert pour vérifier la bonne adresse avant un transfert important
Vérifier les autorisations : examiner et révoquer régulièrement les autorisations de tokens inutiles
Activer la simulation de transaction : utiliser un portefeuille permettant de prévisualiser la transaction avant signature
Protection par multisignature : pour les portefeuilles de grande valeur, utiliser une configuration multisignature pour renforcer la sécurité
De plus, les utilisateurs doivent rester vigilants face aux sites de phishing, en tapant directement l’URL dans le navigateur plutôt qu’en cliquant sur des liens, et en lisant attentivement les demandes d’autorisation avant de signer. Pour la gestion de fonds importants, l’utilisation de portefeuilles matériels et de solutions multisignatures peut considérablement augmenter la sécurité.
