De temps en temps, il convient de s’arrêter, de ralentir et de réfléchir à la sécurité de vos fonds cryptographiques.
Il y a quelques jours un « pauvre » L'utilisateur a perdu la beauté de 50 millions de dollars en USDT dû à une très simple erreur de copier-coller lors de l'envoi de la somme à une autre adresse. La sécurité dans le monde de la cryptographie est, encore aujourd’hui, plus d’une décennie après le développement de cette technologie, l’un des sujets les plus délicats et les plus impitoyables que nous puissions aborder.
Il suffit d’une erreur et le tour est joué. Vous pouvez perdre en une seconde tout ce que vous avez construit au fil des années avec tant d’efforts et de travail acharné. C’est malheureusement l’un des compromis encore non résolus d’un système sans confiance, dans lequel vous pouvez échanger de l’argent sans intermédiaires et sans limites, où cependant il n’y a aucune protection et où toute la responsabilité incombe entièrement à l’utilisateur final.
En tout cas, autant que ça « problème » ne peut jamais être complètement surmonté, la bonne nouvelle est que le risque peut être considérablement réduit. Dans la pratique, deux facteurs fondamentaux suffisent pour éviter de subir des dommages irréparables : prévention et calme. Nous expliquons pourquoi dans cette étude approfondie.
Address Poisoning crypto : un piège qui surgit lorsque l’on baisse la garde
Le cas que nous avons évoqué au début, celui deutilisateur qui a perdu 50 millions de dollars en raison d’une erreur de transfert, c’est un parfait exemple de la façon dont opérer dans le secteur de la crypto nécessite toujours une bonne dose d’attention. Ce qui s'est passé est le résultat d'un attaque appelée Address Poisoningune menace souvent sous-estimée de la part des utilisateurs, qui vise à exploiter l'imprudence des opérateurs.
Comment ça marche ? Ce n’est en fait pas quelque chose d’extrêmement complexe. Il existe simplement des escrocs qui utilisent des outils spécialisés pour créer des escroqueries. adresses (adresse personnalisée) qui ressemblent beaucoup à ceux des autres utilisateurs qu'ils souhaitent cibler, généralement ceux qui sont souvent actifs sur la chaîne et ont une bonne disponibilité. Le logiciel génère des adresses qui ont i premier et dernier caractères identiquesavec évidemment la partie centrale de la corde, inévitablement, différente.
À ce stade, les attaquants surveillent l'historique de leur proie et ils envoient de petites transactions immédiatement après une véritable opération, de manière à faire apparaître leur adresse « empoisonnée » parmi celles utilisées récemment. À quoi ça sert, demandez-vous ? Parce qu'il arrive souvent que les utilisateurspour des raisons de commodité, ils copient et collent les adresses de leur historique sans les vérifier ligne par ligne.
C'est une pratique courante, notamment lorsqu'on effectue plusieurs transactions périodiquement, et encore plus lors de dépôts. « procès »avant d'exécuter la transaction proprement dite. Le risque, cependant, est de vous retrouver comme « 0xcB80 », qui s'est fait envoyer 50 millions de dollars USDT à l'adresse d'un escroc, car elle était apparemment similaire à la sienne.
Un fléau du monde de la cryptographie qui dure depuis un certain temps
L'empoisonnement d'adresse est l'une des escroqueries les plus subtiles du monde de la cryptographie, car elle n'exploite pas les défauts techniques ou les vulnérabilités du protocole, mais affecte directement le problème de sécurité opérationnel des utilisateurs, en profitant des habitudes consolidées et des manques d'attention. Pensez-vous que l'année dernière, en mai 2024un utilisateur a bien perdu 1 155 WTC, égal à aujourd'hui plus de 100 millions de dollars (je répète, 100 MILLIONS DE DOLLARS) avec ce genre d'attaque.
Un escroc a «empoisonné » son adresse en envoyant des transactions à partir d'une autre fausse adresse, qui rapportait six caractères identiques au début et à la fin.
Et ce n’est pas seulement un fléau qui touche les super riches. UN étude de l'Université Cornelldans l'État de New York, a révélé que ce n'est que sur les réseaux Ethereum et BNB Chain qu'au cours des deux années précédentes à compter de la publication, Address Poisoning a bien ciblé 17 millions d'utilisateurs, avec environ 6 633 accidents ce qui a entraîné des pertes de plusieurs millions de dollars.
Au total, les tentatives d'attaque enregistrées dépassent les 270 millions, un chiffre qui met en évidence la portée systémique de ce type d'attaque. Nous ne pouvons pas nous permettre de baisser la garde et d’ignorer la question de la sécurité opérationnelle.
Sécurité dans le monde de la cryptographie : comment éviter l’empoisonnement d’adresse ?
Et comment tu fais limiter au maximum le risque de se retrouver impliqué dans ce type d'attaque ? La réponse, aussi banale qu’elle puisse paraître, part précisément de ces deux concepts évoqués au début : prévention et calme.
Tout d'abord, nous pouvons empêcher éviterdans la mesure du possible, pour copier les adresses directement à partir de votre historique de transactions et au lieu de cela, il se réfère toujours à la source originale. Nous copions ensuite les adresses directement depuis le portefeuille de référence ou depuis une liste déjà vérifiée et enregistrée de manière sécurisée, et surtout nous revérifions toujours que la chaîne correspond, en regardant dans son intégralité et pas seulement la partie initiale.
Un niveau supplémentaire de prévention peut alors venir deutilisation d'une ENS connectée à votre adressec'est-à-dire un nom lisible associé à votre portefeuille, qui remplace la longue chaîne alphanumérique typique des adresses blockchain. L'utilisation d'une ENS réduit considérablement le risque d'erreur, car rend le destinataire immédiatement reconnaissable et neutralise fondamentalement les techniques qui se concentrent sur la similitude visuelle des adresses. Il est donc beaucoup plus difficile de tomber dans le piège.
Il existe des services similaires aux domaines ENS pour chaque type de blockchain (celui-ci se trouve sur le réseau principal Ethereum). Clairement le domaine doit être enregistré par l'autre partie auquel nous devons envoyer des transactions, nous ne pouvons donc pas nous défendre à cet égard. Mais si nous commençons tous à adopter cette approche comme norme opérationnelle, le niveau moyen de sécurité de l’écosystème pourrait s’améliorer considérablement. Pensez-y, cela coûte quelques dollars, vous pourriez sauver un de vos amis d’une mauvaise perte.
Véritable sécurité dans le monde de la cryptographie : ralentir est la meilleure défense
Comme nous le disions plus haut, le deuxième concept à exploiter pour renforcer la sécurité dans le monde crypto est calme. Hélas, nous vivons dans une industrie où l’on nous a appris qu’il faut toujours agir vite, avant les autres, pour saisir les opportunités à la volée. Au contraire, c’est précisément cette course continue qui est souvent la principale source de problèmes et la raison pour laquelle nous finissons par abaisser notre seuil d’attention et par commettre des erreurs.
Et attention, même les utilisateurs les plus experts, ceux qui ont confiance en leurs capacités et sont convaincus de savoir exactement ce qu’ils font, ne sont pas à l’abri des erreurs. N'oubliez pas que les opérations dans le monde de la cryptographie sont irréversibles. Peu importe combien vous avez étudié, juste un moment de distraction et vous pouvez tout perdre.
Le conseil le plus précieux dont vous puissiez vous inspirer est donc bougez calmement et sereinement. Surtout lorsque l’on opère en dehors des CEX et que l’on interagit directement sur la chaîne, le ralentissement devient la meilleure défense possible. Le temps que l'on semble gagner en agissant rapidement est souvent le même temps que, à la première erreur, on finit par payer très cher, avec intérêts. Comme l’enseigne un vieil adage : celui qui va lentement, va en bonne santé et va loin.