Attaque du presse-papiers : comment un logiciel malveillant remplace votre adresse de portefeuille

Vous copiez l’adresse de réception depuis votre portefeuille, passez à la fenêtre de votre plateforme d’échange, la collez et validez le retrait. Si un logiciel dit « clipper » tourne sur votre ordinateur, l’adresse que vous venez de coller n’est plus celle que vous aviez copiée. Elle appartient à l’attaquant, elle est techniquement tout à fait valide, et votre portefeuille n’a aucune raison de la refuser. L’argent est perdu dès que la transaction est confirmée.

Ce type d’attaque est ancien, mais il a changé à l’été 2026 sur trois points qui vous concernent directement en tant que détenteur : la voie d’entrée sur la machine, le système d’exploitation et la question de savoir combien vous est finalement soustrait. Ce texte explique chacun de ces trois points à partir des publications qui les ont décrits, et indique pour finir quelle vérification fonctionne réellement.

L’attaque du presse-papiers expliquée : comment un logiciel malveillant remplace l’adresse copiée

Un clipper est un programme malveillant qui surveille le contenu du presse-papiers et remplace toute adresse cryptographique qu’il reconnaît par une adresse contrôlée par l’attaquant. Voilà toute l’idée. Rien n’est déchiffré, aucun fichier de portefeuille n’est ouvert, aucun mot de passe n’est deviné. L’attaque exploite le seul instant où une adresse quitte la zone sécurisée de votre portefeuille et circule en texte brut dans le système d’exploitation.

Ce qui distingue cette attaque de presque toutes les autres visant des cryptoactifs, c’est que vous faites tout correctement et perdez malgré tout. Vous avez copié l’adresse correctement. Votre portefeuille n’est pas compromis. Votre phrase de récupération repose intacte dans le coffre. La transaction que vous signez est exactement celle que vous voyez, à ceci près qu’elle va à un autre destinataire. Aucune des précautions qui protègent contre les autorisations falsifiées ou contre le vol de clés n’a donc de prise ici.

Le bitcoin n’est que l’une des cibles. Si le cours du plus grand des cryptoactifs vous intéresse, vous en trouverez l’analyse actuelle dans notre prévision du cours du bitcoin. Pour ce texte, une seule chose importe à son sujet : les formats d’adresse sont publiquement documentés et faciles à reconnaître par une machine, ce qui les rend précisément commodes pour un clipper.

ClickFix : pourquoi vous collez et exécutez vous-même le code malveillant

ClickFix désigne une tromperie dans laquelle un site web dépose une commande dans votre presse-papiers, puis vous amène à la coller et à l’exécuter vous-même dans la ligne de commande de votre ordinateur. Le nom vient de ce que la page vous met en scène un problème et vous propose dans la foulée la réparation adéquate.

C’est la raison pour laquelle ce type d’attaque fonctionne si bien. Il n’y a pas de pièce jointe qu’un antivirus pourrait examiner, ni de téléchargement que votre navigateur signalerait comme suspect. Le code malveillant arrive sous forme de texte dans le presse-papiers, et c’est l’utilisateur qui se charge de l’exécution, de sa propre main. Du point de vue du système d’exploitation, l’utilisateur connecté a saisi une commande. Ce qu’il a effectivement fait.

Le déroulé en détail : ce qu’a décrit l’Office fédéral de la cybersécurité

L’Office fédéral suisse de la cybersécurité a décomposé le déroulé en six étapes dans sa rétrospective hebdomadaire du 24 février 2026. Les attaquants manipulent d’abord un site web ou diffusent une annonce assortie d’une fenêtre trompeuse de réalisme. Dès l’ouverture de la page, le code malveillant est déjà copié automatiquement dans le presse-papiers, sans qu’il ait fallu cliquer sur quoi que ce soit. La fenêtre invoque ensuite un problème technique, le plus souvent une mise à jour du navigateur qui aurait échoué ou un CAPTCHA qui resterait à résoudre.

L’utilisateur est alors invité à saisir des combinaisons de touches d’apparence anodine. Celles-ci ouvrent la console, y collent le code préparé et l’exécutent. Au bout de la chaîne vient le téléchargement d’un programme qui capte les identifiants et les données de portefeuille. L’autorité formule sa recommandation principale sans ambiguïté : se méfier dès qu’un site web affirme que le navigateur doit être mis à jour, et ne jamais copier directement dans la ligne de commande du code d’origine inconnue. Le communiqué ne cite volontairement aucune ligne de commande précise, les attaquants les remplaçant de toute façon en permanence.

Il en découle pour vous une règle empirique qui se passe de connaissances techniques. Aucun logiciel sérieux au monde ne vous fait coller une commande depuis le presse-papiers dans une fenêtre noire pour corriger un problème de navigateur ou pour prouver que vous êtes un être humain. Quiconque vous y invite est en train de vous attaquer.

Toutes les 500 millisecondes : à quelle fréquence un clipper lit le presse-papiers

Le 17 juin 2026, Microsoft a décrit une campagne visant Windows qui, selon ses propres indications, se déroule depuis février 2026. Le programme malveillant interroge son serveur de commande et lit le presse-papiers environ toutes les 500 millisecondes. Ce faisant, il ne cherche pas seulement des adresses : il capte tout autant les phrases de récupération et les clés privées dès qu’elles y apparaissent.

Deux fois par seconde signifie en pratique qu’il n’existe aucune fenêtre de temps trop courte. Entre le copier et le coller, un retrait dépasse rarement quelques secondes, et cela suffit très largement. Le second volet du constat est au moins aussi désagréable. Quiconque copie un jour ses mots de récupération dans le presse-papiers, par exemple lors d’un changement de logiciel de portefeuille, les expose ainsi sur une machine infectée.

Bitcoin, Tron et Monero : les formats d’adresse que le logiciel malveillant reconnaît

La variante documentée par Microsoft reconnaît six formats d’adresse à leur début et à leur longueur. Pour le bitcoin, il s’agit des anciennes adresses commençant par un un et longues de 32 à 36 caractères, des adresses P2SH commençant par un trois et de même longueur, des adresses Taproot commençant par bc1p et longues de 40 à 64 caractères, ainsi que des adresses Bech32 commençant par bc1q dans la même fourchette. S’y ajoutent les adresses Tron, qui commencent par un T majuscule et comptent exactement 34 caractères, et les adresses Monero, qui débutent par un quatre ou un huit et comptent exactement 95 caractères.

Cette liste n’a rien d’un savoir secret, et elle montre à quel point l’attaque procède mécaniquement. Un motif correspond ou ne correspond pas. Dès qu’il correspond, la substitution a lieu. Qui déplace fréquemment des valeurs entre réseaux devrait garder à l’esprit que la détection s’étend à d’autres formats en quelques lignes de code ; les six ci-dessus sont l’état d’une seule campagne documentée, non une énumération exhaustive de ce qui est possible.

Pourquoi la somme de contrôle de votre adresse bitcoin ne sert à rien ici

C’est ici que se loge le malentendu le plus dangereux. Les adresses cryptographiques comportent une somme de contrôle, c’est-à-dire quelques caractères supplémentaires dont on peut déduire par le calcul si le reste est resté inchangé. Beaucoup de détenteurs en concluent que leur portefeuille rejetterait forcément une adresse manipulée.

C’est un raisonnement erroné, et la raison en est simple. La somme de contrôle détecte une adresse endommagée. Or le clipper ne fournit pas une adresse endommagée : il fournit l’adresse parfaitement valide d’un autre destinataire. Elle est correctement construite, sa somme de contrôle est juste, son réseau est le bon, et le portefeuille la valide donc sans broncher. Une somme de contrôle protège des fautes de frappe et des erreurs de transmission. Contre une substitution, elle ne protège pas, car du point de vue des mathématiques une substitution n’est pas une erreur.

Clés USB et tâches planifiées : comment le clipper s’installe et se propage

La variante Windows décrite par Microsoft arrive par des fichiers de raccourci préparés sur des supports USB. Après exécution, elle parcourt le support à la recherche de documents ordinaires, masque les originaux et place à leur emplacement des raccourcis portant les mêmes noms de fichier. Qui ouvre ensuite la clé croit voir ses fichiers et lance en réalité le programme malveillant.

Pour s’installer durablement, le logiciel crée deux tâches planifiées sans échéance. L’une veille à ce que chaque support USB fraîchement inséré, encore sain, soit préparé à son tour ; l’autre assure la captation proprement dite. Cela explique pourquoi de telles infections reviennent dans les foyers et les petits bureaux après avoir semblé éliminées : la clé suivante les ramène.

Tor et un mandataire local : pourquoi le trafic reste discret

La campagne embarque un client Tor portable et fait transiter son trafic par un mandataire SOCKS5 local sur le port 9050. Concrètement, cela signifie qu’aucune connexion suspecte vers un serveur douteux n’est visible sur le réseau, contre laquelle un pare-feu ou un routeur pourrait intervenir. Qui compte sur son réseau domestique pour bloquer les destinations malveillantes n’a ici aucune prise.

Un contrat sur la BNB Smart Chain : pourquoi les listes de blocage peuvent peu contre ClickFix

Le 6 août 2026, Microsoft Threat Intelligence a décrit un ensemble de sites web compromis qui diffusent des leurres ClickFix. Le code JavaScript injecté, encodé en Base64, se connecte à un nœud d’accès de la BNB Smart Chain et y interroge un contrat intelligent pour recevoir ses instructions. Sont notamment distribués Lumma Stealer, les outils de prise de contrôle à distance Xworm et AsyncRAT, ainsi qu’un chargeur nommé MintsLoader. Microsoft évoque des campagnes qui visent chaque jour des milliers d’appareils dans des entreprises et des foyers du monde entier.

L’astuce réside dans le lieu de dépôt des instructions. Un nom de domaine peut être désactivé, un serveur saisi. Une inscription dans un contrat public sur une chaîne de blocs ne peut être supprimée de l’extérieur, et elle ne peut être modifiée que par celui qui détient la clé correspondante. La défense y perd son levier le plus efficace, et la protection se déplace du réseau vers l’appareil et vers les habitudes de son utilisateur. Que ce soit précisément une chaîne publique qui endosse ce rôle constitue la chute désagréable de l’affaire : la propriété même qui en fait un livre de comptes précieux en fait ici une boîte aux lettres inaccessible.

macOS n’est plus un havre de sécurité : le constat du début août

Le 7 août 2026, The Hacker News a rendu compte d’un logiciel malveillant pour macOS écrit en Go et distribué par des leurres ClickFix. L’analyse émane des chercheurs en sécurité de l’éditeur Huntress. Sont concernés, selon leur exposé, le bitcoin, le litecoin, le dogecoin, le monero, l’ether et le XRP.

Une hypothèse tenace parmi les détenteurs tombe ainsi. L’idée qu’un Mac constituerait le choix le plus sûr pour la conservation de cryptoactifs relevait déjà davantage de l’habitude que du constat, et la voie d’attaque par une commande collée dans le terminal fonctionne sous macOS pour la même raison que sous Windows : elle repose sur le fait que l’utilisateur exécute lui-même. Le communiqué de l’autorité, en février, cite lui aussi expressément Windows et macOS côte à côte.

Vidage partiel plutôt que perte totale : pourquoi un petit manque peut être plus dangereux

Un détail du constat du 7 août mérite une attention particulière. Le logiciel malveillant comporte une routine qui interroge d’abord le solde d’un portefeuille et peut ensuite n’en prélever qu’une partie plutôt que la totalité. Le chercheur cité y voit le premier programme malveillant doté de cette capacité à sa connaissance.

Pourquoi c’est pire qu’il n’y paraît : un portefeuille vidé se remarque immédiatement. Un manque qui reste assez faible peut n’être remarqué de personne pendant des mois, et durant ce temps l’infection persiste, continue de collecter des identifiants et migre par la clé USB suivante. Qui n’a de ses avoirs qu’une idée approximative ne s’aperçoit pas d’une telle fuite. Un relevé rigoureux de ses positions constitue donc aussi une mesure de sécurité, et pas seulement une obligation envers l’administration fiscale.

Empoisonnement d’adresse et clipper : deux chemins vers la mauvaise adresse

Nous avons décrit en détail, le 22 août 2026, un cas d’empoisonnement d’adresse dans lequel environ deux millions de dollars sont partis vers une adresse imitée. La différence avec le sujet du jour est importante, car elle détermine la parade adéquate.

Dans l’empoisonnement d’adresse, aucun logiciel malveillant ne se trouve sur votre ordinateur. L’attaquant place une adresse trompeusement ressemblante dans votre historique de transactions, et c’est vous qui, plus tard, saisissez la mauvaise ligne. Contre cela, le carnet d’adresses, la liste blanche et le refus délibéré de copier depuis l’historique fonctionnent. Vous trouverez précisément ces étapes dans notre guide sur la vérification d’une adresse de réception, et nous ne les répétons volontairement pas ici.

Dans le cas du clipper, le logiciel malveillant se trouve sur l’appareil. Il intervient entre le copier et le coller, donc après chaque choix que vous faites. Un carnet d’adresses dans un logiciel de portefeuille n’aide que dans la mesure où l’adresse ne passe pas par le presse-papiers. C’est là le cœur de la différence, et cela explique pourquoi un détenteur devrait connaître les deux attaques, même si le résultat se ressemble dans les deux cas. Apparentées, mais de nature encore différente, sont les autorisations falsifiées, que nous avons traitées sous wallet drainers et autorisations de signature, ainsi que les extensions de navigateur malveillantes.

L’écran du portefeuille matériel : l’affichage que le clipper n’atteint pas

Contre une substitution d’adresse sur l’ordinateur, il existe une parade qui fonctionne indépendamment de la qualité du logiciel malveillant. Un portefeuille matériel affiche l’adresse de réception d’une transaction sortante sur son propre petit écran, avant que vous ne la validiez. Cet appareil n’a pas de système d’exploitation dans lequel un clipper pourrait s’installer, et il montre ce qui est réellement signé.

L’intérêt ne naît toutefois que de la lecture. Qui se contente d’appuyer sur le bouton de validation de l’appareil sans comparer les caractères avec la destination visée a gaspillé l’avantage. Il est judicieux de comparer les cinq premiers et les cinq derniers caractères, ainsi qu’un groupe pris au milieu, car les attaquants génèrent délibérément leurs adresses de sorte que le début et la fin se ressemblent. Les appareils qui affichent l’adresse en entier et dans une taille suffisante diffèrent sensiblement ; un coup d’œil à notre panorama des portefeuilles matériels vaut la peine avant l’achat, précisément pour cette raison.

Liste blanche de retrait sur la plateforme : ce qu’elle apporte et ce qu’elle n’apporte pas

La plupart des grandes plateformes permettent d’enregistrer une fois pour toutes des adresses de retrait et de bloquer les retraits vers toute autre adresse. La protection est ici plus étendue qu’il n’y paraît d’abord : même si un clipper insère une adresse étrangère au moment du retrait, le paiement n’aboutit pas, faute de destination autorisée.

La limite de cette protection réside dans la création de l’entrée elle-même. Si l’adresse est collée depuis le presse-papiers lors du premier enregistrement, elle a pu être remplacée à cet instant précis, et c’est ensuite la mauvaise adresse qui est autorisée. C’est pourquoi la comparaison sur l’écran du portefeuille a sa place à ce moment-là, et non au retrait ultérieur. Il est en outre judicieux d’utiliser le délai de modification que beaucoup de prestataires imposent après l’ajout d’une nouvelle adresse.

Ce qui est établi et ce qui relève de l’appréciation

Sont établies les données techniques, parce qu’elles proviennent des publications citées et y sont datées : le déroulé de la tromperie ClickFix selon le communiqué de l’autorité du 24 février 2026, l’intervalle d’interrogation d’environ 500 millisecondes, les six formats d’adresse, la propagation par supports USB, les deux tâches planifiées et la voie Tor selon l’analyse de Microsoft du 17 juin 2026, l’interrogation d’un contrat sur la BNB Smart Chain selon l’observation de Microsoft du 6 août 2026, ainsi que la variante macOS et son prélèvement partiel selon le rapport du 7 août 2026.

Relève de l’appréciation, et est signalé comme tel, le fait de lire ces éléments comme une évolution d’ensemble. Qu’une voie d’attaque s’étende à un deuxième système d’exploitation en quelques semaines et déplace son pilotage sur une chaîne de blocs indique des moyens croissants. Combien d’appareils sont réellement touchés et à combien s’élèvent les dommages en Allemagne n’est pas connu, et nous n’avançons volontairement aucun chiffre à ce sujet. Ce texte ne se prononce pas davantage sur l’identité des auteurs de ces campagnes.

Une appréciation sur la gestion du risque résiduel a également sa place ici. Aucune procédure ne rend de nouveau digne de confiance un ordinateur infecté. Qui a de bonnes raisons de soupçonner qu’un clipper tourne sur son appareil ne devrait plus y saisir aucune adresse ni y taper aucun mot de récupération, mais déplacer ses avoirs depuis une autre machine, saine.

Contrer les attaques du presse-papiers : ce qu’il faut retenir

1. Ne collez jamais dans une ligne de commande ou un terminal une instruction qu’un site web a déposée dans votre presse-papiers. C’est la seule étape qui empêche réellement l’infection ; tout le reste ne fait plus que limiter les dégâts. Aucune mise à jour de navigateur ni aucune vérification d’humanité n’exige une telle chose. Si vous conservez des valeurs sur un appareil qui sert aussi à naviguer, déplacez cette conservation vers un appareil doté de son propre écran ; les différences apparaissent dans notre panorama des portefeuilles matériels.
2. Lisez l’adresse de réception sur l’écran de l’appareil qui signe, et non sur celui de l’ordinateur. Comparez les cinq premiers caractères, les cinq derniers et un groupe pris au milieu. Si vous utilisez une solution purement logicielle, les limites de cette démarche sont plus étroites, car l’affichage et le presse-papiers résident sur le même système ; ce que les différents programmes interceptent figure dans notre aperçu des portefeuilles logiciels.
3. Enregistrez une liste blanche de retrait auprès de votre plateforme et vérifiez l’adresse avec un soin particulier au moment de la créer. Ensuite, une substitution ultérieure n’aboutit à rien. Les prestataires qui proposent ce verrou et la durée de leurs délais de modification figurent dans notre relevé des plateformes de cryptomonnaies.
4. Tenez un relevé traçable de vos avoirs. Un prélèvement partiel ne se remarque que si vous savez ce qui devrait s’y trouver. Cela vaut indépendamment du fait qu’une déclaration fiscale soit due en fin d’année.

Les deux publications sur lesquelles ce texte s’appuie pour l’essentiel sont consultables par vous-même : l’analyse technique de la campagne Windows chez Microsoft Security et la description en allemand du déroulé de ClickFix auprès de l’Office fédéral de la cybersécurité.

(Au 1er septembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)