Wallet drainers : ce que vous autorisez réellement en confirmant, et comment le révoquer

Les informations fournies dans cet article le sont à titre purement informatif et ne constituent pas un conseil financier. Investir dans les cryptomonnaies comporte un risque élevé.

La plupart des portefeuilles vidés n’ont jamais été piratés. Personne n’a deviné la phrase de récupération, personne ne s’est introduit dans un appareil. Leurs propriétaires ont eux-mêmes appuyé sur « confirmer », autorisant ainsi un contrat étranger à déplacer leurs jetons quand bon lui semble.

C’est la différence décisive avec tout ce que vous avez lu sur la sécurité des portefeuilles : un wallet drainer n’a pas besoin de votre clé privée. Il lui suffit d’une autorisation que vous avez accordée une fois. Elle n’expire pas, elle est souvent illimitée en montant, et elle n’apparaît pas dans votre historique de transactions. Elle ne devient visible que si vous recherchez délibérément les autorisations ouvertes.

L’essentiel en bref

• Les autorisations de jetons selon la norme ERC-20 n’ont aucune date d’expiration, la norme n’en prévoyant pas. Le montant de l’autorisation est fixé par l’application, et beaucoup inscrivent par défaut un plafond pratiquement illimité.
• Un wallet drainer exploite précisément cela : il n’a pas besoin d’une phrase de récupération, mais d’une autorisation confirmée.
• Depuis l’EIP-2612 (« Permit »), une signature sans transaction de votre part y suffit. Elle ne vous coûte aucun gaz et n’apparaît pas dans votre historique.
• Une autorisation au sens décrit ici n’existe que pour les jetons. Votre ETH n’est pas à l’abri pour autant : depuis l’EIP-7702, une seule signature délègue votre adresse à un contrat étranger, qui déplace alors aussi l’ETH natif.
• Les anciennes autorisations se révoquent une à une, via le vérificateur d’autorisations de jetons de l’explorateur de blocs concerné ou via un outil de révocation.
• Après un incident, l’ordre compte : révoquer d’abord toutes les autorisations, déplacer ensuite le reste vers un portefeuille neuf.

Ce qu’est une autorisation et pourquoi le wallet drainer en a besoin

Lorsque vous échangez un jeton sur une plateforme d’échange, deux choses se produisent. Vous autorisez d’abord le contrat de la plateforme à prélever ce jeton dans votre portefeuille. Il exécute ensuite l’échange.

La première étape est l’autorisation, et c’est elle qui compte véritablement. Son montant n’est pas imposé par la norme ERC-20 : c’est l’interface que vous utilisez qui en décide. Beaucoup inscrivent par défaut un plafond pratiquement infini, pour vous éviter de confirmer à nouveau lors du prochain échange. Commode, tant que le contrat d’en face fait ce qu’il doit.

Le hic : la permission subsiste même si vous ne revenez jamais sur le site. Si le contrat devient malveillant par la suite, ou l’était depuis le début, il peut intervenir à tout moment de son choix. Des semaines plus tard, quand vous n’y pensez plus depuis longtemps.

Un wallet drainer n’est donc pas un outil d’effraction, mais un formulaire. Il vous amène à lui donner la permission de votre plein gré.

Le wallet drainer par la signature : invisible et gratuit

Il y a quelques années encore, une autorisation était toujours une transaction. Elle coûtait des frais, figurait dans l’historique et restait vérifiable ensuite.

La norme EIP-2612 a changé cela. Une autorisation « permit » est signée hors chaîne : vous signez un message, et la partie adverse soumet elle-même cette signature plus tard. Pour vous, cela signifie aucun frais, aucune inscription dans l’historique des transactions, aucune impression d’avoir accompli un acte lourd de conséquences.

C’est précisément pour cela que la demande de signature est la plus dangereuse des deux. Une transaction ressemble à une décision. Une signature ressemble à une connexion.

Une signature permit comporte certes un délai, le champ deadline. Cela protège moins qu’il n’y paraît : la valeur est libre, et la spécification évoque elle-même la possibilité de la fixer de sorte que la signature n’expire pratiquement jamais. Surtout, le délai ne limite que la durée pendant laquelle la signature peut être soumise ; l’autorisation qui en résulte est ensuite une autorisation ordinaire, sans terme.

Comment reconnaître une autorisation : pas à l’absence de montant de gaz. Une connexion inoffensive se signe elle aussi sans frais. Ce qui compte est le contenu du message, que tout portefeuille sérieux sait déplier.

• Une simple connexion mentionne le domaine, votre adresse, un nombre aléatoire et un horodatage. Rien d’autre.
• Une disposition mentionne un destinataire (spender), un montant (value) et un délai (deadline), ou porte un type de message tel que Permit, PermitSingle ou PermitBatch.

Dans le doute, annulez. Une véritable connexion se répète sans risque.

Reconnaître un wallet drainer : les trois questions avant de confirmer

Avant de confirmer, répondez à trois questions. Ensemble, elles coûtent vingt secondes.

1. Ai-je ouvert ce site moi-même ? Presque tous les drainers atteignent leur victime par un lien, issu d’un message privé, d’un commentaire sous une publication, d’une annonce publicitaire. Qui saisit l’adresse lui-même échappe à la moitié de la catégorie.
2. L’action correspond-elle à ce que je voulais faire ? Vous vouliez frapper un NFT, mais la fenêtre demande une autorisation de jeton ? Alors quelque chose cloche.
3. Que dit la zone de détail ? Tout portefeuille sérieux montre sur demande quel contrat reçoit quelle permission. Un montant illimité pour un contrat que vous ne connaissez pas est un motif d’annulation.

Un portefeuille matériel aide en plus ici, car il affiche le contenu sur son propre écran, et aucun logiciel malveillant présent sur l’ordinateur n’atteint cet écran. Les portefeuilles ne détaillent pas tous les autorisations de façon compréhensible, loin de là ; notre comparatif des portefeuilles logiciels l’aborde.

Écarter le wallet drainer : vérifier et révoquer les anciennes autorisations

Ce que vous avez autorisé une fois, vous pouvez le reprendre. Cela ne se fait simplement pas tout seul.

Chaque grand explorateur de blocs propose pour cela un vérificateur d’autorisations de jetons : saisissez votre adresse et vous voyez chaque autorisation ouverte avec le contrat, le jeton et le montant. À côté existent des services de révocation spécialisés qui affichent la même chose sur plusieurs chaînes.

En pratique :

• Révoquer coûte du gaz. Il s’agit d’une transaction sur la chaîne concernée. Avec de nombreuses anciennes autorisations, il vaut la peine de tout traiter en une fois à un moment où les frais sont bas.
• Chaque chaîne séparément. Les autorisations sur Arbitrum ne sont pas visibles sur Ethereum, et inversement.
• Deux fois par an suffit pour la routine. Plus important encore : le faire après chaque contact avec une nouvelle application.

Qui travaille régulièrement avec de nouvelles applications a intérêt à séparer d’emblée : un portefeuille pour les avoirs, un second pour tout ce qui relève de l’expérimentation. Ce qui se trouve dans le second constitue le dommage maximal.

Si c’est arrivé : l’ordre est déterminant

Si vous constatez que des jetons disparaissent, l’ordre n’est pas indifférent. Qui transfère d’abord transfère peut-être vers un portefeuille dont les autorisations sont encore ouvertes.

1. Révoquez toutes les autorisations, en commençant par les jetons de plus grande valeur.
2. Vérifiez si votre adresse est déléguée à un contrat étranger (EIP-7702) et réinitialisez la délégation. Révoquer les autorisations ne suffit pas ici : une délégation atteint aussi l’ETH natif. Dans l’explorateur de blocs, vous la reconnaissez au fait que du code est enregistré sous votre adresse.
3. Déconnectez-vous de toutes les applications.
4. Alors seulement, déplacez les avoirs restants vers un portefeuille nouvellement créé, et non vers un portefeuille existant.
5. Si la phrase de récupération elle-même est compromise, aucune révocation n’y change rien. Le portefeuille est alors perdu dans son ensemble et seule compte la rapidité du déplacement.

Et comme pour toute déclaration de perte : quiconque vous propose de récupérer vos jetons contre un paiement d’avance fait partie du problème. Ces offres cherchent leurs victimes délibérément sous les publications de personnes lésées.

La seconde manœuvre visant la même bonne foi consiste en de fausses injonctions de la plateforme à mettre les avoirs « en sécurité ». Comment les démonter figure dans notre guide sur les messages d’hameçonnage après l’échéance MiCA.

Questions fréquentes

Un wallet drainer peut-il voler ma phrase de récupération ? Non. Il travaille exclusivement avec des permissions que vous avez accordées. C’est pourquoi une meilleure conservation de la sauvegarde ne protège pas contre lui, seule l’attention au moment de confirmer le fait.

Mon ETH est-il en sécurité si je ne détiens pas de jetons ? Pas automatiquement. Il n’existe pas d’autorisation pour l’ETH au sens décrit ici, mais depuis l’EIP-7702 une seule signature peut déléguer votre adresse à un contrat étranger. La spécification avertit elle-même qu’un délégué mal conçu pourrait donner à un attaquant un contrôle quasi complet de l’adresse, ce qui inclut le solde.

Mes bitcoins sont-ils concernés ? Bitcoin lui-même ne connaît pas la construction de l’autorisation permanente. Deux réserves s’imposent : le bitcoin tokenisé sur Ethereum, comme WBTC ou cbBTC, est un jeton tout à fait ordinaire et pleinement concerné. Et sur Bitcoin aussi existent des transactions signées à l’aveugle sur des places de marché, où la partie adverse insère les destinataires après coup.

Pourquoi ne vois-je pas l’autorisation dans mon historique de transactions ? Parce qu’une autorisation permit est signée hors chaîne. Elle n’apparaît que lorsque la partie adverse la soumet, et alors comme sa transaction à elle, non comme la vôtre.

Suffit-il de supprimer l’application de portefeuille ? Non. L’autorisation se trouve sur la chaîne de blocs, pas dans l’application. Elle subsiste quel que soit le logiciel que vous utilisez.

Une autorisation illimitée est-elle toujours une erreur ? Pas nécessairement : pour une application que vous utilisez quotidiennement, elle économise des frais. L’erreur consiste à l’accorder puis à l’oublier.

Sources

• Ethereum Improvement Proposals : EIP-20 – Token Standard (autorisations sans mécanisme d’expiration)
• Ethereum Improvement Proposals : ERC-2612 – Permit Extension for EIP-20 Signed Approvals (signature hors chaîne, deadline)
• Ethereum Improvement Proposals : EIP-7702 – Set EOA account code (considérations de sécurité sur la délégation)
• Ledger Academy : Ethereum Token Approvals Explained