Comment réduire le risque de poisoning d'adresse dès la source ?

Rédaction : imToken

Dans le monde Web3, la première réaction de beaucoup face à la sécurité est de protéger la clé privée, la phrase de récupération et les autorisations.

Ce sont bien sûr des éléments importants, mais dans la pratique, il existe un type de risque qui ne provient pas d’une fuite de clé privée, ni d’une vulnérabilité de contrat, mais qui survient lors d’une opération tout à fait banale : copier une adresse.

Le poisoning d’adresse exploite précisément cela. Il ne s’agit pas de pirater le système pour en tirer profit, mais d’utiliser la dissimulation, la perturbation et l’induire en erreur, pour que l’utilisateur transfère ses actifs à une adresse erronée dans un processus de transfert apparemment normal.

Ce type d’attaque est difficile à contrer, non pas parce qu’il nécessite une expertise technique élevée, mais parce qu’il exploite précisément les habitudes visuelles et la dépendance aux chemins de l’utilisateur dans ses opérations quotidiennes.

Qu’est-ce que le poisoning d’adresse ?

Le poisoning d’adresse consiste à ce qu’un attaquant génère une adresse falsifiée très similaire visuellement à l’adresse couramment utilisée par l’utilisateur, puis, par des transactions à montant nul ou très faible, intègre cette adresse dans l’historique des transactions de l’utilisateur.

Lors de la prochaine opération de transfert, si l’utilisateur copie simplement l’adresse depuis l’historique sans vérifier chaque caractère, il risque de transférer ses actifs à une adresse falsifiée préparée par l’attaquant.

Ce type d’attaque n’est pas rare. Au cours des deux dernières années, plusieurs cas publics ont été documentés sur la blockchain, prouvant que le poisoning d’adresse peut entraîner des pertes réelles, et même que la pratique de « faire un petit test avant un transfert officiel » ne suffit pas toujours à éviter le risque.

Plus grave encore, avec la mise à niveau de Fusaka qui réduit considérablement les frais de Gas, le coût marginal de ces attaques a considérablement diminué. Selon Blockaid, en janvier 2026, le nombre de tentatives de poisoning sur la blockchain a atteint 3,4 millions, soit une croissance de 5,5 fois par rapport à novembre dernier (628 000), avec une explosion du taux d’attaques.

Pourquoi le poisoning d’adresse est-il si facile à exploiter ?

D’un point de vue technique, le poisoning d’adresse n’est pas complexe ; ce qui le rend difficile à prévenir, c’est qu’il exploite plusieurs faiblesses naturelles dans les opérations des utilisateurs.

1. La carte d’adresse elle-même n’est pas adaptée à une vérification manuelle

Une adresse sur la blockchain est généralement composée de 42 caractères. Pour la majorité des utilisateurs, vérifier chaque caractère n’est pas une opération réaliste, stable ou durable. Souvent, ils ne regardent que les premières et dernières lettres, pour confirmer que « c’est bien cette adresse », puis passent à l’étape suivante. Les attaquants conçoivent précisément leurs falsifications en s’appuyant sur cette habitude.

2. Les transactions malveillantes se mêlent au bruit des transactions normales

Les transactions de poisoning apparaissent souvent avec des montants très faibles ou nuls, et ne diffèrent pas fondamentalement des transferts classiques. Lorsqu’elles s’intègrent dans l’historique réel, il devient difficile pour l’utilisateur de distinguer rapidement, à l’œil nu, entre les transactions légitimes et celles qui sont intentionnellement perturbatrices.

3. Les rappels de sécurité traditionnels arrivent souvent trop tard

De nombreux rappels de sécurité interviennent avant la confirmation du transfert. Mais pour le poisoning d’adresse, le moment critique est généralement plus tôt — au moment où l’utilisateur décide de copier une adresse depuis l’historique.

Si la détection et l’alerte ne se produisent qu’à la toute fin, le chemin d’erreur a déjà été tracé.

Pour faire face au poisoning d’adresse, le portefeuille doit faire plus que simplement « rappeler »

Ce type de risque ne peut pas être complètement évité simplement en étant plus prudent ou en regardant un peu plus longtemps.

En tant qu’interface entre l’utilisateur et la blockchain, le portefeuille doit assumer davantage de responsabilités en matière de jugement préalable et de protection proactive, en repoussant le plus tôt possible le point de détection du risque, plutôt que de tout laisser à la vigilance de l’utilisateur.

Dans imToken 2.19.0, nous avons renforcé la gestion des risques liés au poisoning d’adresse. Notre approche ne consiste pas à ajouter un simple avertissement, mais à intégrer la détection, le filtrage, l’alerte et la vérification à des étapes plus appropriées dans le parcours utilisateur.

Une triple couche de protection contre le poisoning d’adresse

1. Masquer les transactions à haut risque, réduire la pollution de l’historique

Pour contrer la pollution des historiques par des adresses malveillantes via de petites transactions ou des montants nuls, la nouvelle version active par défaut la fonction « Masquer les transactions à risque ».

Lorsque le système détecte une transaction à haut risque de poisoning, il la filtre en priorité dans l’historique et les notifications associées, pour limiter la visibilité de ces perturbations.

L’objectif n’est pas seulement d’alléger l’interface, mais surtout de réduire dès la source la probabilité que l’utilisateur copie une adresse risquée depuis l’historique.

2. Anticiper l’alerte lors de l’action de copie

Le point clé du poisoning d’adresse n’est pas le bouton de transfert lui-même, mais l’étape de copie de l’adresse.

Ainsi, lorsque l’utilisateur effectue une opération de copie depuis la page de détails d’une transaction, le système affiche une alerte claire, guidant l’utilisateur à vérifier l’adresse plus attentivement, plutôt que de se fier uniquement aux premiers et derniers caractères.

Comparé à une simple alerte avant le transfert, cette approche se situe à un moment plus critique, plus proche du risque réel, et aide à interrompre la routine de « copie automatique ».

3. Marquer en continu les risques dans les étapes clés

Au-delà de la liste d’historique et de la scène de copie, le système indique également de manière visible et cohérente les adresses suspectes dans les détails de transaction, avant transfert, etc.

L’objectif n’est pas de multiplier les interruptions, mais de fournir un retour d’information plus immédiat et cohérent avant que l’utilisateur ne passe à l’étape suivante.

Une explication technique : pourquoi le détection dynamique est-elle nécessaire pour le poisoning d’adresse ?

Le poisoning d’adresse ne repose pas sur une vulnérabilité du protocole blockchain, mais sur l’exploitation des habitudes et de l’inertie visuelle de l’utilisateur. L’attaquant crée une adresse falsifiée très similaire à une adresse réelle, puis, par de petites transactions ou des montants nuls, l’intègre dans l’historique, induisant l’utilisateur en erreur lors de la copie ou du transfert.

Ce qui rend cette menace difficile à gérer, c’est que : d’un point de vue des résultats sur la blockchain, ces transactions apparaissent souvent comme « normales ». Il n’y a pas de signature d’attaque évidente ni de comportement anormal évident, ce qui rend la simple utilisation de listes noires statiques ou de rappels après coup insuffisante pour couvrir tous les risques.

imToken ne se contente pas d’étiqueter ces adresses comme « bonnes » ou « mauvaises » de façon permanente. Au contraire, lors de la consultation des transactions, de la vérification des détails, de la copie d’adresse ou de l’initiation d’un transfert, il combine des données en temps réel de la blockchain et le contexte actuel pour effectuer une détection dynamique, et pilote le client pour filtrer, marquer, alerter ou vérifier en amont.

La détection du risque ne consiste pas seulement à « ressembler » ou pas

L’identification du poisoning ne se limite pas à la similarité de chaîne de caractères, mais consiste à combiner plusieurs preuves dans un environnement bruité pour prendre une décision. La logique de détection actuelle considère principalement plusieurs types de signaux :

Preuves de similarité

Pour qu’une adresse falsifiée soit considérée comme risquée, elle doit d’abord être visuellement « suffisamment proche ». Le système quantifie les caractéristiques structurelles de l’adresse falsifiée pour repérer ces risques élevés.

Preuves de coût

Le poisoning d’adresse cherche à se diffuser à faible coût, souvent en présentant une distribution spécifique de montants et de transactions. La valeur du montant seul n’est pas déterminante, mais peut être utilisée en combinaison avec d’autres preuves pour réduire les faux positifs.

Preuves de comportement temporel

Certaines transactions de poisoning apparaissent immédiatement après une opération réelle de l’utilisateur, tentant de profiter de l’inertie post-opération pour insérer rapidement l’adresse falsifiée dans l’historique. Le système évalue ces comportements dans un contexte temporel et situationnel précis.

Pourquoi une décision de risque unifiée est-elle nécessaire ?

Une seule preuve ne suffit pas pour une évaluation fiable du risque. Le système doit agréger plusieurs preuves pour produire un résultat global, puis appliquer une stratégie adaptée à chaque point de contact.

Ce design offre trois avantages principaux :

• Réduction des faux positifs : les signaux faibles ne déclenchent pas seuls une action de haute gravité.

• Cohérence de l’expérience utilisateur : la même transaction bénéficie d’une évaluation cohérente sur différentes interfaces.

• Faciliter la rétrospective et l’optimisation : chaque détection peut être analysée pour améliorer la stratégie.

Pour les portefeuilles non custodial, cette capacité de gestion des risques est particulièrement difficile.

Car le poisoning d’adresse exploite le chemin d’action de l’utilisateur, plutôt qu’une anomalie claire sur la blockchain ; et ses méthodes évoluent constamment avec la chaîne, les actifs, le rythme et les techniques de falsification. En l’absence de contrôle centralisé, la qualité de la détection dépend fortement de la capacité à identifier, concevoir des points d’interaction et faire évoluer la stratégie.

C’est pourquoi imToken construit cette capacité comme un système de sécurité évolutif, supportant la mise à jour des stratégies, la gestion versionnée, et l’observation des résultats pour un ajustement continu, afin que la défense puisse suivre le rythme des nouvelles attaques.

Comment faire évoluer la protection ?

Si vous utilisez déjà imToken, il est conseillé de mettre à jour rapidement vers la version 2.19.0.

Le nouveau version intègre par défaut la protection contre le poisoning d’adresse, sans configuration supplémentaire, pour une détection et une alerte plus proactive.

Pour conclure

Le poisoning d’adresse nous rappelle que la sécurité Web3 ne se limite pas aux moments « les plus dangereux », mais peut aussi se cacher dans les opérations quotidiennes et familières.

Lorsque le risque exploite les habitudes humaines, la capacité de sécurité doit évoluer d’un simple « rappel du résultat » vers une « protection du processus ». Pour le portefeuille, il ne s’agit pas seulement d’exécuter la transaction, mais d’aider l’utilisateur à réduire les erreurs et les risques à chaque étape critique.

C’est aussi la raison pour laquelle imToken continue d’améliorer ses capacités de sécurité : permettre aux utilisateurs de garder le contrôle tout en bénéficiant d’une protection plus immédiate et concrète.