L'address poisoning est l'une des arnaques les plus simples contre les portefeuilles crypto : personne ne pirate votre mot de passe ni une plateforme, on se contente de glisser une adresse presque identique à la vôtre dans votre historique. Voici comment ça marche, pourquoi même un trader aguerri peut s'y laisser prendre, et ce qu'un exploitant d'exchanger doit mettre en place pour que ses clients ne perdent pas d'argent sur un simple copier-coller.
Ce qu'est vraiment l'address poisoning
L'address poisoning consiste à vous envoyer une transaction minime, voire nulle, depuis une adresse qui ressemble presque trait pour trait à celle que vous utilisez habituellement. L'objectif : apparaître dans votre historique pour que, la prochaine fois, vous copiiez par automatisme la fausse adresse plutôt que la vraie.
La plupart des portefeuilles affichent les adresses sous forme tronquée, du type 0x7a3f...9e21. On regarde le début et la fin, on voit que ça correspond, et on clique sur envoyer sans jamais dérouler la chaîne complète. C'est tout ce dont l'attaquant a besoin.
Comment on fabrique une adresse qui "a l'air vraie"
L'attaquant génère des millions de portefeuilles aléatoires jusqu'à en trouver un avec les bons caractères de début et de fin — ce qu'on appelle une vanity address. Des outils gratuits font cette recherche par force brute, sans casser aucune cryptographie. Il ne reste plus qu'à attendre un gros virement de la victime pour envoyer, juste après, une transaction poussière depuis l'adresse jumelle.
Cette transaction atterrit dans l'historique du portefeuille juste à côté de la vraie. La seule différence tient à quelques caractères noyés au milieu de la chaîne — la partie que presque personne ne vérifie.
Un cas concret : un exchanger, un client, et un clic qui coûte cher
Imaginez un exchanger qui envoie chaque jour des USDT sur le réseau TRON à des dizaines de clients. L'opérateur va vite : il ouvre le portefeuille, retrouve l'adresse voulue parmi les sorties récentes, la copie, la colle dans le nouveau paiement. Pratique — jusqu'à ce qu'une transaction empoisonnée se glisse pile dans cet historique.
Un clic distrait, et le paiement du client part chez l'escroc. Les transferts sur la blockchain ne se révoquent pas, il n'y a personne à qui réclamer, et le coup porté à la réputation fait souvent plus mal que la perte elle-même.
Comment protéger un portefeuille et les clients d'un exchanger
La règle de base est simple : ne jamais copier une adresse "à l'œil" depuis l'historique. Quelques habitudes suffisent à fermer presque tout ce risque :
- Vérifiez l'adresse du destinataire en entier, pas seulement le début et la fin — en cas de doute, collez les deux chaînes dans un fichier texte et comparez caractère par caractère.
- Tenez un carnet d'adresses interne, vérifiées et étiquetées, pour vos contreparties habituelles, et ne payez qu'à partir de cette liste.
- Utilisez des QR codes dès que possible : il est bien plus difficile de les substituer discrètement qu'une chaîne de texte.
- Configurez une alerte dans le portefeuille ou le back-office pour toute adresse jamais vue par le système.
- Séparez les rôles : une personne prépare le paiement, une autre confirme l'adresse — cette simple vérification croisée intercepte presque toutes ces substitutions.
Les erreurs les plus fréquentes en vérifiant l'adresse du destinataire
Ce qui piège le plus souvent, ce n'est pas l'ignorance, c'est la précipitation et l'habitude. Les mêmes erreurs reviennent :
- Ne comparer que les 4 à 6 premiers et derniers caractères de l'adresse.
- Copier une adresse directement depuis l'activité récente sans vérifier qui l'a réellement envoyée.
- Aucun second canal de confirmation pour les contreparties importantes ou nouvelles.
- Ignorer l'alerte "nouvelle adresse" du portefeuille simplement parce qu'on est pressé.
Conclusion
L'address poisoning n'exploite pas une faille de la blockchain, mais l'habitude de faire confiance à ses yeux et à son historique de transactions. Il n'existe pas de solution technique, seulement de la discipline : vérification complète de l'adresse, carnet de contreparties validées, rôles séparés sur les gros paiements. Pour un exchanger, cette discipline doit être intégrée au processus de travail, pas suspendue à la vigilance d'un seul opérateur — déployer sa propre infrastructure de portefeuille avec carnets d'adresses et séparation des rôles via iEXWallet allège cette routine pour l'équipe.
