L'empoisonnement d'adresse (address poisoning) est une façon discrète de vider un portefeuille crypto : l'escroc glisse une adresse presque identique dans l'historique de transactions et attend que la victime la copie par habitude. Pour un utilisateur ordinaire, c'est une mauvaise surprise isolée. Pour celui qui exploite un exchanger crypto, c'est un ticket de support, un litige sur un remboursement et un coup porté à la réputation qui était pourtant évitable.
Ce qu'est vraiment l'empoisonnement d'adresse
La combine fonctionne parce que la plupart des gens ne récupèrent pas l'adresse de paiement via un QR code ou un carnet d'adresses : ils copient la dernière adresse similaire trouvée dans leur propre historique. L'escroc envoie un virement minime, voire de valeur nulle, vers le portefeuille de la victime depuis une adresse dont les 4 à 6 premiers et derniers caractères correspondent à une adresse réelle et de confiance. Cette transaction parasite reste discrètement dans l'historique — et la prochaine fois que la victime paie, elle copie la ligne frauduleuse au lieu de la vraie.
Comment se fabrique cette adresse jumelle
Rien de magique là-dedans. Les adresses basées sur les courbes elliptiques peuvent être générées par millions à la seconde avec une carte graphique ordinaire, en testant des combinaisons jusqu'à en trouver une qui correspond au début et à la fin de l'adresse cible. C'est comme remplacer la plaque du numéro d'une maison : si le facteur ne vérifie que le premier et le dernier chiffre, il ne remarquera jamais la substitution. Plus les caractères coïncident visuellement, moins la victime a de raisons de se méfier.
Pourquoi c'est en réalité un problème d'exchanger
Imaginez un client qui, il y a un mois, a rechargé son solde via votre adresse de dépôt en USDT sans aucun souci. Aujourd'hui, il veut refaire un virement, ne scanne pas le QR code et copie l'adresse directement depuis son historique — sauf que cette ligne a déjà été empoisonnée par un virement de valeur nulle venu d'une adresse jumelle. 800 dollars disparaissent dans le vide, et le client ouvre un ticket exigeant le remboursement d'un argent que l'exchanger n'a jamais reçu. Techniquement, vous n'avez rien fait de mal. En pratique, c'est votre support qui perd des heures sur le dossier, et c'est votre nom qui apparaît dans le post furieux d'un forum.
Comment repérer une adresse empoisonnée dans l'historique
- Vérifiez l'adresse en entier, pas seulement le début et la fin — l'œil humain ne peut pas le faire de façon fiable, utilisez un carnet d'adresses ou un QR code.
- Toute transaction inattendue de valeur nulle ou de type « dust » dans l'historique est un signal d'alarme : ne copiez pas depuis cette ligne, n'interagissez pas avec elle.
- Enregistrez les adresses vérifiées dans des favoris ou un carnet d'adresses plutôt que de compter sur « reprendre la dernière ».
- Privilégiez les portefeuilles qui distinguent visuellement les adresses enregistrées et fiables des adresses nouvelles et inconnues.
Ce qui protège vraiment : la checklist pour l'exploitant d'un exchanger
- Ajoutez une alerte dans le parcours support chaque fois que l'adresse de retrait d'un client est nouvelle ou a changé.
- Formez le support à reconnaître un « mon argent n'est jamais arrivé » comme un cas possible d'empoisonnement, et pas seulement comme un litige de paiement classique.
- Offrez à vos clients un carnet d'adresses intégré au portefeuille de l'exchanger plutôt que « copiez depuis votre dernière transaction ».
- Enregistrez les transactions dust touchant les adresses clients comme un signal de sécurité, pas comme du bruit à ignorer.
Conclusion
Pour l'escroc, cette attaque ne coûte presque rien — un virement de valeur nulle et un peu de puissance de calcul. Pour un exchanger, elle coûte bien plus cher à récupérer : la confiance du client et des heures de support pour un problème que vous n'avez pas causé. La solution n'est pas la paranoïa, c'est la discipline — des carnets d'adresses vérifiés et l'habitude cassée de copier des informations de paiement à l'aveugle. Si vous exploitez votre propre exchanger, un portefeuille iEXWallet intégrant des adresses clients vérifiées réduit ces incidents sans alourdir la charge de votre support.
