Phishing, drainers et signatures piégées

L’essentiel

Qu'est-ce qu'un drainer ?

Un drainer (de l'anglais to drain, vider) est un ensemble d'outils prêts à l'emploi que des escrocs louent ou achètent pour monter des sites de phishing. Le site imite une application connue (un DEX, une place de marché NFT, une page d'airdrop), vous invite à connecter votre wallet, puis analyse automatiquement ce que vous possédez pour vous présenter la demande de signature la plus rentable.

La différence avec le phishing « classique » est importante. Autrefois, il fallait vous soutirer votre phrase de récupération (seed phrase). Aujourd'hui, un drainer peut obtenir le droit de déplacer vos tokens simplement parce que vous avez cliqué sur « Signer » ou « Confirmer ». Votre clé privée reste en sécurité, mais vos fonds partent quand même.

Pour donner un ordre de grandeur, la société de sécurité Scam Sniffer a recensé en 2025 environ 83,85 millions de dollars de pertes liées au phishing de type drainer, pour 106 106 victimes. C'est nettement moins qu'en 2024 (environ 494 millions de dollars), mais le phénomène reste massif, et le plus gros vol individuel de l'année, environ 6,5 millions de dollars, est passé par une simple signature Permit.

Transaction ou signature : la nuance qui coûte cher

Votre wallet peut vous demander deux choses différentes :

• Une transaction : une action envoyée sur la blockchain, qui coûte des frais de réseau (gas). Exemple : un transfert, un swap, une approbation classique.
• Une signature de message : un texte ou un ensemble de données que vous signez hors chaîne (« off-chain »). Cela ne coûte rien et ne s'affiche pas immédiatement sur la blockchain.

Beaucoup d'utilisateurs pensent qu'une signature gratuite est inoffensive, du genre « prouver que vous êtes bien le propriétaire du wallet ». C'est parfois vrai (connexion à un site avec « Sign-In with Ethereum », par exemple). Mais certaines signatures valent autorisation de dépense, et c'est précisément là que les drainers frappent.

Les principales signatures piégées

Permit (ERC-2612)

Le standard ERC-2612 permet d'accorder une autorisation de dépense sur un token au moyen d'un message signé, au lieu d'une transaction d'approbation. Le message contient notamment le bénéficiaire (« spender »), un montant, un numéro unique (nonce) et une date limite (deadline). N'importe qui peut ensuite soumettre ce message sur la blockchain et payer le gas à votre place.

Le côté pratique (pas de frais pour vous) est aussi le danger : vous signez gratuitement, le drainer soumet la signature, puis transfère vos tokens dans la foulée. Comme il s'agit d'une signature et non d'une transaction, certains wallets affichent des alertes moins visibles que pour une approbation classique. Tous les tokens ne gèrent pas Permit, mais de nombreux tokens répandus le font.

Permit2

Permit2 est un contrat publié par Uniswap Labs pour mutualiser les autorisations entre applications. Vous approuvez une fois le contrat Permit2 pour un token, puis chaque application vous demande une signature pour obtenir une autorisation, qui peut être limitée dans le temps, ou pour effectuer un transfert ponctuel.

Le mécanisme est légitime et plutôt plus sûr que les approbations illimitées. Mais si vous avez déjà approuvé Permit2 pour un token, un site malveillant n'a besoin que d'une signature pour obtenir le droit de le déplacer. Selon Scam Sniffer, les signatures Permit et Permit2 ont dominé les gros vols en 2025.

setApprovalForAll

Sur les NFT (ERC-721 et ERC-1155), la fonction setApprovalForAll donne à un « opérateur » le droit de gérer tous les NFT d'une collection que vous possédez, pas un seul. C'est normal quand vous mettez des NFT en vente sur une place de marché connue. C'est catastrophique si l'opérateur est l'adresse d'un escroc.

approve et increaseAllowance

L'approbation classique d'un token (fonction approve, ou increaseAllowance sur certains contrats) est une transaction. Le piège le plus fréquent est l'approbation d'un montant illimité à une adresse inconnue. Scam Sniffer classe ces approbations parmi les méthodes à l'origine de pertes importantes en 2025. Pour aller plus loin, consultez notre guide sur les approvals et leur révocation.

eth_sign et signatures illisibles

La méthode eth_sign signe une empreinte brute (une suite hexadécimale) sans aucun contexte lisible. En pratique, elle peut servir à signer n'importe quoi, y compris une transaction. Plusieurs wallets l'ont désactivée par défaut ou l'entourent d'avertissements très explicites. Règle simple : si vous ne pouvez pas lire ce que vous signez, ne signez pas.

Les signatures groupées (EIP-7702)

Depuis la mise à jour Pectra d'Ethereum, un compte classique peut déléguer temporairement son fonctionnement à un contrat (EIP-7702), ce qui permet notamment de regrouper plusieurs actions en une seule validation. Scam Sniffer signale que des drainers ont commencé à exploiter ce type de signature groupée en 2025. Méfiez-vous de toute demande de « mise à niveau du compte » que vous n'avez pas initiée.

Les autres techniques courantes

Faux airdrops et faux sites de claim

Des tokens ou NFT inconnus apparaissent dans votre wallet, avec un nom qui renvoie vers un site « pour réclamer vos récompenses ». ethereum.org le rappelle : ces faux airdrops dirigent vers des sites malveillants qui vous demandent des approbations. Même logique pour les publicités sponsorisées dans les moteurs de recherche et les faux comptes sur les réseaux sociaux qui annoncent un « claim » urgent.

Adresses empoisonnées (address poisoning)

L'empoisonnement d'adresse vise votre historique de transactions. D'après Etherscan, l'attaquant génère une adresse qui commence et se termine par les mêmes caractères qu'une adresse avec laquelle vous échangez, puis vous envoie un transfert de 0 token, ou un transfert d'un faux token imitant USDC ou USDT. La fausse adresse apparaît alors dans votre historique. Si vous copiez-collez « la dernière adresse utilisée » sans la vérifier en entier, vous envoyez les fonds à l'escroc. Aucune signature n'est nécessaire : l'erreur vient d'un simple copier-coller.

Faux support en message privé

Sur Discord, Telegram ou X, un « modérateur » ou un « agent du support » vous contacte en privé pour résoudre votre problème. Il vous envoie un lien de « synchronisation » ou de « validation du wallet », ou vous demande votre phrase de récupération. ethereum.org est clair : un vrai support ne vous contacte pas de lui-même et ne vous demandera jamais vos clés ou votre seed.

Extensions de navigateur malveillantes

Une fausse extension de wallet, ou une extension compromise, peut modifier ce qui s'affiche sur une page, remplacer une adresse copiée ou récupérer des données. Installez uniquement des extensions depuis des sources fiables, en vérifiant l'éditeur, et limitez au strict minimum le nombre d'extensions sur le navigateur qui héberge votre wallet.

Comment lire une demande de signature

Avant de cliquer, prenez trente secondes pour vérifier les points suivants :

1. Le site : l'adresse dans la barre du navigateur est-elle exactement celle du service ? Passez par un favori, pas par un lien reçu ou une publicité.
2. Le type de demande : est-ce une connexion, une transaction ou une signature de message ? Une simple connexion n'a pas besoin de mentionner un token, un montant ou un « spender ».
3. Les mots-clés sensibles : « Permit », « PermitSingle », « PermitBatch », « setApprovalForAll », « approve », « spender », « operator », « allowance ». Leur présence signifie que vous accordez un droit de dépense.
4. Le bénéficiaire : à qui accordez-vous ce droit ? S'il s'agit d'une adresse inconnue plutôt que du contrat officiel d'un protocole, arrêtez-vous.
5. Le montant et la durée : une autorisation illimitée ou valable très longtemps mérite une vraie raison.
6. La cohérence : pourquoi un site de « claim d'airdrop » vous demanderait-il un droit de dépense sur vos stablecoins ?

La simulation de transaction

De nombreux wallets et extensions de sécurité proposent une simulation : avant que vous validiez, ils rejouent l'opération et vous montrent le résultat attendu (« vous allez envoyer X, vous allez recevoir Y », « vous accordez un droit de dépense sur Z »). C'est une aide précieuse, surtout pour les signatures difficiles à lire. Mais une simulation peut se tromper ou être contournée ; elle complète votre vigilance, elle ne la remplace pas.

Le burner wallet

Un burner wallet (wallet jetable) est une adresse secondaire qui ne contient que le strict nécessaire. Vous l'utilisez pour tester un nouveau site, réclamer un airdrop ou minter un NFT. Si vous signez quelque chose de malveillant, seul ce petit montant est exposé. Votre épargne reste sur un autre wallet, idéalement protégé par un hardware wallet, qui ne se connecte qu'à des applications que vous connaissez.

Exemple concret

Claire reçoit sur son wallet un token baptisé d'après un protocole connu, avec un nom du type « Récompense disponible sur [site] ». Curieuse, elle ouvre le site : il ressemble à s'y méprendre à l'interface officielle. Elle connecte son wallet, clique sur « Claim », et son wallet affiche une demande de signature, sans frais.

Au lieu de signer, Claire lit le contenu. Elle y voit « PermitSingle », un token (ses USDC), un montant maximal et un « spender » qui est une adresse inconnue. Un claim ne devrait jamais demander un droit de dépense sur ses stablecoins : elle rejette la demande et ferme l'onglet.

Elle vérifie ensuite sur le site officiel du protocole, via son favori : aucun airdrop n'est en cours. Le token reçu était un appât. Elle ne tente pas de le vendre ni de le « supprimer » via un autre site, se contente de le masquer dans son wallet, et contrôle par précaution la liste de ses autorisations actives. Si elle avait signé, le drainer aurait pu soumettre la signature puis transférer ses USDC en quelques instants.

Que faire si votre wallet a été vidé ?

Agissez vite, mais dans l'ordre. Commencez par identifier le type d'attaque, car la réponse n'est pas la même.

Ensuite :

• Seed compromise : il n'existe aucun moyen de « re-sécuriser » ce wallet. Créez un wallet neuf, sur un appareil sain, avec une nouvelle phrase de récupération générée hors ligne, et vérifiez votre ordinateur (malware, extensions).
• Approbation ou signature : révoquez immédiatement les autorisations actives vers l'adresse de l'escroc. Revoke.cash indique qu'une fois la révocation faite, le wallet peut être réutilisé normalement, sa clé n'ayant pas fuité.
• Signature Permit pas encore utilisée : il est parfois possible de l'invalider avant son exécution, mais les drainers l'utilisent en général presque aussitôt.
• Documentez : notez les adresses, les hash de transactions, les URL du site frauduleux. Déposez plainte et signalez l'adresse aux plateformes d'échange où les fonds pourraient arriver.
• Méfiez-vous des « récupérateurs » : toute personne qui vous contacte en promettant de récupérer vos fonds contre paiement est très probablement un second escroc.

Ce guide fournit des informations générales de sécurité et ne constitue ni un conseil juridique ni un conseil en investissement.

Les erreurs à éviter

• Signer parce que c'est gratuit : une signature sans frais peut accorder un droit de dépense complet sur vos tokens.
• Interagir avec un token reçu sans l'avoir demandé : ni vente, ni claim, ni « unlock » sur un site inconnu.
• Copier une adresse depuis l'historique : utilisez un carnet d'adresses et vérifiez les caractères du milieu, pas seulement le début et la fin.
• Répondre à un « support » en message privé : les vrais services ne vous contactent pas de leur propre initiative.
• Utiliser le même wallet pour tout : séparez l'épargne des expérimentations avec un burner wallet.
• Laisser traîner des approbations illimitées : faites le ménage régulièrement dans vos autorisations.
• Cliquer sur une publicité sponsorisée pour accéder à un protocole : passez par vos favoris.

Questions fréquentes

Qu'est-ce qu'un wallet drainer ?

Un kit de phishing prêt à l'emploi que des escrocs utilisent pour monter de faux sites. Il ne cherche pas forcément votre phrase de récupération : il lui suffit que vous signiez la bonne demande pour obtenir le droit de déplacer vos tokens.

Une signature gratuite peut-elle vider mon wallet ?

Oui. Une signature Permit, Permit2 ou setApprovalForAll ne coûte aucun frais, mais elle peut accorder un droit de dépense sur vos tokens ou sur toute une collection de NFT. Selon Scam Sniffer, les signatures Permit et Permit2 ont dominé les gros vols en 2025.

Que faire si j'ai signé une demande malveillante ?

Identifiez la cause. Après une approbation ou une signature malveillante, révoquez immédiatement les autorisations concernées. Si votre phrase de récupération est compromise, le wallet est perdu : créez-en un nouveau et transférez ce qui reste. Documentez tout et déposez plainte.

Comment reconnaître une signature dangereuse ?

Cherchez les mots « Permit », « setApprovalForAll », « approve », « spender » ou « operator » : ils signifient que vous accordez un droit de dépense. Vérifiez le site, le bénéficiaire, le montant et la durée, et refusez tout ce qui est illisible ou incohérent.

À retenir

• Un drainer n'a pas besoin de votre seed : une seule signature Permit, Permit2 ou setApprovalForAll peut suffire à vider un wallet.
• Lisez chaque demande : type, site, bénéficiaire, montant, durée. Si c'est illisible, incohérent ou urgent, refusez.
• La simulation de transaction et un burner wallet réduisent fortement le risque, sans remplacer votre vigilance.
• Faux airdrops, faux support et adresses empoisonnées exploitent la curiosité, la panique et le copier-coller : ralentissez.
• Après un vol, identifiez la cause : seed compromise, nouveau wallet ; approbation malveillante, révocation immédiate.
• Personne ne peut « récupérer » vos fonds contre paiement : c'est une seconde arnaque.

Sources

• Scam Sniffer — 2025 Crypto Phishing Report: losses fall 83% to $84 million
• Ethereum Improvement Proposals — ERC-2612: Permit Extension for EIP-20 Signed Approvals
• Uniswap Labs — Introducing Permit2 & Universal Router
• Etherscan Information Center — Address Poisoning Attacks
• Revoke.cash — What to do when you've been scammed
• ethereum.org — Ethereum security and scam prevention

Comparer les services liés à ce sujet

• Meilleur wallet crypto : comparatif