Code étranger sur votre adresse Ethereum : comment vérifier votre délégation EIP-7702

Depuis la mise à jour Pectra, une adresse Ethereum qui vous appartient peut exécuter le code d'un programme étranger sans que son adresse, son solde ou sa clé ne changent. C'est EIP-7702 qui le permet : une seule signature de votre part suffit, et votre adresse se comporte dès lors comme un contrat. Ce mécanisme est à la base de nombreuses fonctions de confort dans les portefeuilles, et c'est aussi la voie par laquelle des attaquants gardent durablement la main sur un compte vidé. Cet article vous montre comment vérifier en deux minutes si votre propre adresse porte une telle délégation, et que faire si le contrat qui s'y trouve vous est inconnu.

Le point de départ est une mesure réalisée par nos soins sur la chaîne Ethereum, effectuée aujourd'hui. Elle montre à quel point ces délégations se sont répandues et vers quoi elles pointent majoritairement. La réponse est plus inconfortable que ne le laisse entendre la communication des éditeurs de portefeuilles, mais aussi plus nuancée qu'un simple pourcentage ne le suggère.

Ce qu'une délégation EIP-7702 fait à votre adresse Ethereum

EIP-7702 est une extension d'Ethereum qui permet à un compte à clé ordinaire d'exécuter le code d'un contrat sans devenir lui-même un contrat. Le compte conserve sa clé privée, son adresse, son solde et son compteur de transactions. Il reçoit uniquement un renvoi vers un contrat dont le code s'exécute au nom du compte à chaque appel.

Le terme technique est la délégation. Ce renvoi est inscrit dans le champ de code du compte, jusque-là vide pour un compte à clé. À partir de cet instant, quiconque appelle le compte appelle le contrat enregistré, et celui-ci accède à la mémoire et au solde du compte.

L'intérêt est évident. Un portefeuille peut regrouper plusieurs étapes au lieu de vous faire signer trois fois. Un prestataire peut prendre les frais à sa charge. Une application peut mettre en place une autorisation de dépense strictement limitée, qui expire au bout d'une heure. Ce sont précisément ces fonctions que les éditeurs de portefeuilles vendent depuis 2025 sous l'appellation Smart Account.

Le prix à payer tient dans la même phrase : le contrat enregistré agit avec la pleine procuration de votre compte. Il peut déplacer des fonds, accorder des autorisations et déclencher d'autres appels. Une délégation n'est donc pas un réglage, mais une procuration, et elle reste en vigueur jusqu'à ce que vous la remplaciez ou la révoquiez.

Le préfixe de code 0xef0100 : comment reconnaître une délégation dans l'explorateur

Un compte délégué porte exactement 23 octets dans son champ de code : l'identifiant fixe 0xef0100, suivi des 20 octets de l'adresse cible. Cet identifiant est la seule preuve fiable. Tout le reste de ce qu'une interface vous affiche relève de l'interprétation.

Au quotidien, cela se voit à deux endroits. Un explorateur de blocs présente soudain votre adresse comme un contrat, ou affiche une mention signalant un compte délégué, alors que vous n'avez jamais publié de contrat. Et la consultation du code, que tout explorateur propose, renvoie non pas une valeur vide, mais une courte chaîne de caractères commençant par ef0100.

Les 20 octets qui suivent forment l'adresse que vous devez vérifier. C'est elle qui décide de tout. Si l'adresse du contrat de votre éditeur de portefeuille s'y trouve, la délégation est probablement voulue. S'il s'y trouve quelque chose d'inconnu, vous avez un problème qui dépasse largement un clic malheureux.

Un point important pour l'interprétation : un champ de code vide est une bonne nouvelle. Qui n'y trouve rien n'a aucune délégation active, qu'il en ait existé une par le passé ou non.

Vérifier une délégation EIP-7702 : ces quatre étapes dans cet ordre

La vérification prend quelques minutes et n'exige ni outil ni installation.

1. Ouvrez l'adresse dans un explorateur de blocs. Saisissez votre adresse Ethereum et regardez si la page la présente comme un compte ordinaire ou comme un contrat. Une mention signalant un compte délégué constitue déjà le résultat.
2. Consultez le champ de code. Ouvrez l'onglet contenant le code enregistré. Vide signifie : pas de délégation. Une courte chaîne commençant par ef0100 signifie : délégation active.
3. Extrayez l'adresse cible et recherchez-la. Les 20 octets qui suivent l'identifiant forment l'adresse cible. Recherchez-la et vérifiez s'il existe un code source vérifié et quel nom ce code source porte.
4. Interprétez le résultat avant de déplacer quoi que ce soit. Si vous ne connaissez pas le contrat, n'envoyez plus aucun fonds à cette adresse, pas même des frais. La section suivante explique pourquoi c'est la règle la plus importante de cette liste.

La même vérification fonctionne sur toutes les chaînes où EIP-7702 est actif. Une autorisation signée pour l'identifiant de chaîne zéro vaut même simultanément sur toutes les chaînes. Qui utilise plusieurs réseaux a donc intérêt à vérifier plusieurs fois.

Notre mesure du 13 septembre 2026 : 4 035 délégations en 40 minutes

Cette analyse a été réalisée par cryptoticker.io le 13 septembre 2026. Méthode : nous avons récupéré intégralement 200 blocs consécutifs depuis un nœud Ethereum public, les blocs 25 971 139 à 25 971 338, et analysé chaque transaction de type 0x04 ainsi que sa liste d'autorisations. La fenêtre s'étend de 21:14:35 à 21:54:23 UTC et couvre 39,8 minutes de temps de chaîne.

Les chiffres issus de cette fenêtre :

• 41 110 transactions au total, dont 1 229 transactions de délégation. Soit 2,99 % du volume total de transactions.
• 4 035 autorisations individuelles, car une transaction peut en porter un nombre quelconque. 889 transactions en portaient exactement une, la plus importante en portait 110.
• 56 adresses cibles différentes. Parmi les 55 contrats réels qu'elles comptent, 15 disposaient d'un code source publiquement vérifié, les 40 autres non.
• 140 autorisations, soit 3,5 %, pointaient vers l'adresse cible nulle. Ce sont des révocations, non de nouvelles procurations.
• Les quatre cibles les plus fréquentes concentrent à elles seules 71,7 % de toutes les autorisations.

Ce que nous n'avons pas pu mesurer, c'est le nombre total de comptes portant actuellement une délégation, car il faudrait pour cela un relevé complet de l'état de la chaîne et non une fenêtre temporelle. Ces données ne permettent pas davantage de déterminer quelles sommes ont transité par les contrats identifiés. Et une fenêtre de 40 minutes reste un instantané : un autre jour peut faire apparaître une autre répartition.

Poisoner et CrimeEnjoyor : ce que dit le code source vérifié des plus grandes cibles

Dans cette mesure, ce sont les noms qui en disent le plus, davantage que les proportions. Pour deux des trois cibles les plus fréquentes, un code source publiquement vérifié est disponible, et ces deux codes se décrivent eux-mêmes comme des outils de criminels.

La cible la plus fréquente, avec 2 007 autorisations, soit 49,7 % de la fenêtre, porte dans son code source vérifié le nom de Poisoner. Le commentaire du code source en nomme expressément l'objet : le contrat serait employé pour l'empoisonnement d'adresses, c'est-à-dire pour amener des utilisateurs inattentifs à effectuer un virement vers une adresse erronée, visuellement semblable. Comme auteur de la publication, le code source cite la maison de négoce Wintermute, qui indique avoir reconstitué et divulgué le contrat. Le code du programme lui-même est court : il exécute une liste d'appels quelconques, mais uniquement si la transaction a été déclenchée par exactement l'adresse qui a créé le contrat.

La troisième cible la plus fréquente, avec 170 autorisations, porte le nom de CrimeEnjoyor. Là encore, l'explication figure dans le code source, et elle est écrite en majuscules : quiconque trouve ce contrat dans une liste d'autorisations a un compte compromis ; plus aucun fonds ne doit y être envoyé, car il sera immédiatement siphonné. Le code est plus court encore que celui du premier contrat. Il fait exactement une chose : tout montant entrant est immédiatement transféré vers une adresse cible fixée lors de la configuration.

À titre de comparaison, le versant légitime de la même liste : en huitième position figure un contrat vérifié d'un éditeur de portefeuille connu avec 110 autorisations, auxquels s'ajoutent plusieurs comptes de contrat issus de l'abstraction de comptes, avec 10 à 49 autorisations. Ces contrats pèsent plusieurs milliers d'octets, tandis que les deux cibles suspectes se contentent de 772 et 1 042 octets. Un contrat qui ne fait que siphonner a besoin de peu de code.

Pourquoi une part de 49,7 % ne signifie pas 2 007 victimes

La prudence s'impose ici, car le pourcentage invite à une conclusion erronée. Nous avons donc vérifié qui avait réellement envoyé ces transactions.

Le résultat : les 2 007 autorisations visant le contrat classé premier proviennent de 186 transactions, et ces 186 transactions émanent d'un seul expéditeur. Sur 176 expéditeurs différents dans l'ensemble de la fenêtre, près de la moitié de toutes les autorisations est donc imputable à une seule adresse, qui inscrit à la minute des lots allant jusqu'à 110 procurations d'un coup.

Notre appréciation, et il s'agit expressément d'une appréciation et non d'un fait établi : le schéma ne correspond pas à 2 007 utilisateurs fraîchement lésés, mais à un opérateur qui équipe ses propres adresses jetables. Outre l'expéditeur unique, la conception du contrat plaide en ce sens, puisqu'il n'exécute d'appels que pour son propre créateur. Dans l'empoisonnement d'adresses, l'attaquant génère lui-même les adresses trompeusement semblables et n'a besoin pour cela d'aucune clé étrangère. Ce que nous mesurons ici relève donc davantage de l'infrastructure que du butin.

Pour le second contrat suspect, le tableau est différent. Ses 170 autorisations se répartissent sur 170 transactions distinctes émanant de deux expéditeurs, soit une procuration par transaction. Un contrat collecteur qui transfère immédiatement les montants entrants n'a de sens que pour un compte dont la clé est déjà entre des mains étrangères. Pour vous, lecteur, la différence est décisive : le premier cas ne vous concerne presque certainement pas, le second vous concerne directement si votre compte figure dans cette liste.

Contrat siphonneur détecté : pourquoi révoquer ne suffit pas

Un siphonneur est un contrat ou un programme qui transfère automatiquement, en quelques secondes, les montants entrants vers une adresse étrangère. Si vous trouvez sur votre adresse une délégation vers un tel contrat, la délégation n'est pas la cause mais la conséquence. Quelqu'un a pu signer en votre nom, et cela exige votre clé privée ou vos mots de récupération.

Il en découle un ordre d'opérations qui contredit le premier réflexe. Le réflexe dit : révoquer la procuration et passer à autre chose. Ce qui est juste, c'est ceci : le compte est perdu, et tout montant que vous y envoyez, y compris les frais de la révocation, ira selon toute vraisemblance à l'attaquant. Une révocation que vous payez vous-même finance, dans le doute, la partie adverse.

Créez donc d'abord un nouveau compte, de préférence sur un appareil dont la clé n'a jamais transité par un ordinateur. Quelles conceptions entrent en ligne de compte et ce qui distingue les appareils, notre comparatif des portefeuilles logiciels le montre, en complément du choix de l'appareil. Ce n'est qu'ensuite que vous vous occupez de ce qui reste sur l'ancien compte, et ce avec de l'aide.

Pour ce cas précis, il existe un point de contact gratuit, que le code source du contrat siphonneur cite lui-même : la hotline whitehat de Flashbots. Elle aide à faire passer les soldes restants devant un siphonneur, en réglant le sauvetage et les frais dans un même lot que le siphonneur ne peut pas intercepter séparément. Ce n'est pas une garantie, mais c'est la seule voie sérieuse qui se passe de paiement d'avance.

Révoquer correctement : l'adresse cible nulle comme seule fin

Si le compte est sain et la délégation seulement indésirable, par exemple parce que vous n'utilisez plus une fonction du portefeuille, la révocation est simple et pourtant source de malentendus.

Une délégation ne prend pas fin parce que vous supprimez l'application, changez d'appareil ou retirez une autorisation. Elle prend fin uniquement par une nouvelle autorisation pointant vers l'adresse cible nulle, c'est-à-dire une adresse composée exclusivement de zéros. Alors seulement le champ de code de votre compte redevient vide. Notre mesure montre que cette étape se produit au quotidien : 140 des 4 035 autorisations de la fenêtre étaient de telles révocations.

Après la révocation, vérifiez une nouvelle fois le champ de code. Une interface qui vous annonce le succès n'est pas une preuve. La preuve, c'est un champ de code vide dans l'explorateur.

Un deuxième point est volontiers oublié : une nouvelle délégation remplace intégralement l'ancienne. Qui passe d'un fournisseur de portefeuille à un autre a ensuite dans son compte la procuration du nouveau fournisseur, et non les deux. C'est rassurant, mais cela ne dispense pas de la vérification, car le contrat qui s'y trouve finalement est déterminé par l'autorisation inscrite en dernier.

Autorisation sans gaz : pourquoi une signature sur un site étranger suffit

La partie la plus dangereuse d'EIP-7702 tient à son prix. Une autorisation est une pure signature. Elle ne vous coûte rien, elle n'apparaît dans aucun relevé de frais, et vous n'avez même pas à la soumettre vous-même : n'importe quel tiers peut l'intégrer dans sa propre transaction et prendre les frais à sa charge.

Pour les prestataires honnêtes, c'est un avantage, car un nouveau compte devient immédiatement utilisable sans disposer de fonds. Pour un site frauduleux, c'est un cadeau. Il n'a besoin de vous ni d'un virement, ni d'une autorisation, ni du moindre solde sur le compte. Une seule signature dans une fenêtre qui ressemble à une connexion, à une réclamation de jetons gratuits ou à une vérification de sécurité suffit.

Il en découle une règle pour le quotidien : traitez toute demande de signature dont vous ne pouvez pas lire le contenu comme un virement. Cela vaut particulièrement pour les demandes qui vous invitent à mettre à jour, à migrer ou à sécuriser un compte. Vous connaissez déjà cette technique sous sa forme classique dans l'univers des bénéficiaires de paiement manipulés ; son déroulement, nous l'avons exposé dans notre analyse de l'empoisonnement d'adresses du mois d'août.

Délégations légitimes : comment reconnaître un véritable compte de portefeuille

Il serait faux d'en conclure que toute délégation est une attaque. À côté des cibles suspectes, notre mesure fait aussi apparaître une série de contrats de portefeuille clairement attribuables, dont celui d'un grand éditeur de portefeuille de navigateur et plusieurs modèles de comptes issus de l'abstraction de comptes.

Trois caractéristiques séparent les deux groupes de façon assez fiable dans la pratique :

• Le code source est publiquement vérifié et porte un nom qui correspond au prestataire. Dans notre fenêtre, c'était le cas pour 15 des 55 adresses cibles. L'absence de code source ne prouve rien de malveillant, mais c'est une raison de ne pas poursuivre.
• Le contrat est volumineux. Les modèles de comptes pèsent plusieurs milliers d'octets, car ils embarquent la vérification des signatures, la gestion des droits et des interfaces. Les cibles suspectes de notre mesure restaient sous les 1 100 octets.
• Vous avez déclenché la délégation vous-même. Un portefeuille qui bascule vers un Smart Account l'annonce au préalable et affiche l'adresse cible. Une délégation dont vous ne vous souvenez pas est un signalement.

Qui travaille régulièrement avec plusieurs portefeuilles devrait noter une fois pour toutes l'adresse cible de son propre prestataire. La vérification se réduira la prochaine fois à une comparaison de vingt octets plutôt qu'à une recherche.

Portefeuille matériel et blind signing : pourquoi l'appareil ne protège pas automatiquement ici

Un malentendu répandu veut qu'un portefeuille matériel rende cette question sans objet. C'est vrai pour la clé, mais pas pour la procuration. Une autorisation selon EIP-7702 est elle aussi signée avec la clé privée, et dans le pire des cas l'appareil n'affiche qu'une adresse cible et un compteur, sans pouvoir expliquer ce qui en découle.

L'essentiel est donc de savoir si votre appareil présente en clair le contenu d'une demande de signature et si vous avez désactivé la signature de données illisibles. Ce qui compte à cet égard, nous l'avons détaillé dans notre article sur le blind signing sur les portefeuilles matériels. La recommandation qui y figure vaut ici sans changement : ce que l'appareil ne peut pas afficher, vous ne le signez pas.

La seconde protection est la séparation des usages. Un compte pour les échanges quotidiens avec les applications, un second pour les avoirs qui restent en place, et aucune signature du second compte sur un site web. Une délégation sur le compte du quotidien est agaçante, une délégation sur le compte de réserve coûte cher. Le vocabulaire technique de la spécification se lit au besoin dans le texte d'EIP-7702, en particulier les règles relatives à l'identifiant de chaîne zéro.

Vérifier une délégation EIP-7702 : ce qu'il faut en retenir

1. Consultez dès aujourd'hui le champ de code de votre adresse principale. Vide signifie que tout va bien. Une chaîne portant l'identifiant ef0100 signifie : extraire l'adresse cible et la rechercher. Commencez par les adresses sur lesquelles se trouve effectivement quelque chose, puis installez ces avoirs sur un appareil choisi dans le comparatif des portefeuilles matériels.
2. Si vous ne connaissez pas le contrat, n'envoyez plus rien à cette adresse. Pas même des frais de révocation. Considérez la clé comme perdue, créez un nouveau compte et traitez le reste via la hotline whitehat. Ce que vous voulez mettre à l'abri à court terme est pour l'instant mieux placé sur un compte auprès d'une plateforme de négociation supervisée que sur une adresse dont vous ne contrôlez pas la procuration ; la sélection figure dans notre panorama des plateformes d'échange de cryptomonnaies.
3. Révoquez activement les délégations voulues mais inutilisées. Seule une autorisation vers l'adresse cible nulle y met fin, et seul un champ de code vide dans l'explorateur en atteste. Qui utilise plusieurs portefeuilles en parallèle note les adresses cibles de ses propres prestataires ; quels programmes affichent proprement cette fonction, le comparatif des portefeuilles logiciels l'indique.

(Au 13 septembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)