Comment la détection des arnaques WalletConnect fonctionne avec Blockaid

Points essentiels

Les arnaques « drainer » mobiles exploitant WalletConnect représentent aujourd’hui une menace majeure pour les utilisateurs de crypto, s’appuyant sur des dApps clonées, des infrastructures de phishing et des kits Drainer-as-a-Service pour piéger les utilisateurs et leur faire approuver des transactions malveillantes. Blockaid répond à ce risque en combinant analyses off-chain et on-chain, simulation de transactions et apprentissage automatique pour détecter et bloquer toute activité suspecte au moment de la signature. En intégrant ces défenses dans des wallets comme Tangem, les utilisateurs reçoivent des avertissements clairs et des explications avant d’approuver une action risquée, ce qui permet de neutraliser les escroqueries avant le vol des actifs.

Au cours de l’année écoulée, les arnaques « drainer » orientées mobile qui exploitent les flux WalletConnect sont devenues l’un des principaux vecteurs de menace pour les utilisateurs de crypto. Lorsque des millions d’utilisateurs de cryptomonnaies appuient sur un bouton Connecter un wallet ou scannent un QR code pour lier leur wallet mobile à une dApp, ils accordent une part de confiance à WalletConnect. Cet outil transmet discrètement les demandes d’approbation entre wallets et dApps, simplifiant un écosystème complexe. Mais cette commodité a été détournée ces derniers mois, et une série d’attaques ingénieuses a montré à quelle vitesse une simple signature peut se transformer en vol.

La surface d’attaque s’est élargie pour englober les e-mails de phishing, les applications usurpées et les dApps malveillantes qui envoient des demandes apparemment anodines tout en vidant les wallets. Puisque WalletConnect relaie les demandes de transaction à approuver, des escrocs se faisant passer pour des dApps légitimes ou pour le client WalletConnect lui-même peuvent tromper les utilisateurs et leur faire signer la perte de leurs actifs. 

Comment fonctionnent les dApps malveillantes

Voyons comment les dApps malveillantes sont construites et diffusées, les astuces techniques utilisées pour transformer une signature WalletConnect en vidage instantané, ainsi que les signaux concrets et contrôles (dont ceux recherchés par Blockaid) que les défenseurs peuvent exploiter pour les détecter et les stopper en temps réel.

Clonage d’une plateforme de confiance

Les attaquants copient l’intégralité de dApps, wallets et protocoles DeFi, pas seulement leur logo ou leur style. Ils dupliquent généralement tout le site web, y compris les fichiers HTML, CSS et JavaScript, souvent à l’aide d’outils comme HTTrack ou de scripts sur mesure. Ensuite, ils hébergent à nouveau le site copié avec quelques modifications.

This asset hijacking also involves embedding references to brand logos, fonts, and icons that are 
hotlinked directly from the original Content Delivery Network (CDN). It reduces forensic indicators, making the website appear authentic and trustworthy. 
Attackers use smart contract abstraction instead of rewriting the actual protocol. They create fake proxy contracts that look like real ones, but instead send calls to addresses they control. 

Fraudulent support ecosystems, including fake knowledge bases, live chat widgets, and Telegram “support admins," are created to further deceive users. These elements give the illusion of end-to-end legitimacy. As a result, cybercriminals can produce a pixel-perfect clone of legitimate sites, capable of intercepting seed phrases and private keys or misleading users into signing malicious transactions.

Infrastructure de phishing 

Les attaquants utilisent des algorithmes de génération de domaines pour créer à l’avance de nombreux domaines de phishing potentiels. Ces domaines ressemblent souvent beaucoup aux sites réels, en utilisant des techniques comme le typosquatting, les substitutions d’homographes ou les caractères Unicode trompeurs.

Ils sont généralement enregistrés en grands lots, ce qui permet d’en avoir toujours de nouveaux disponibles. Pour compliquer les opérations de retrait, les attaquants recourent à l’hébergement Fast Flux, où les adresses IP d’un domaine changent rapidement via des botnets ou des serveurs compromis. De nombreux sites de phishing servent aussi de miroirs proxy inversés, paraissant légitimes en façade mais redirigeant en réalité vers des serveurs contrôlés par les attaquants. Ces sites disposent souvent de certificats SSL valides délivrés par des services comme Let’s Encrypt, ce qui les rend crédibles aux yeux des utilisateurs.

Ils peuvent également enregistrer des domaines à la dernière minute, les gardant inactifs jusqu’à leur utilisation effective pour le phishing. Cela complique la détection précoce par les systèmes de surveillance. 

La configuration de l’attaque est pensée pour être temporaire et facilement modifiable. Même si les défenseurs parviennent à fermer un domaine ou un serveur, de nombreuses copies subsistent, permettant aux attaquants de poursuivre leur campagne sans difficulté. Cela crée un jeu du chat et de la souris où les attaquants gardent une longueur d’avance en renouvelant leur infrastructure plus vite que les défenseurs ne peuvent l’arrêter.

Drainer-as-a-Service (DaaS)

Le modèle Drainer-as-a-Service (DaaS) a industrialisé et facilité le phishing crypto. Au lieu de nécessiter des compétences techniques, les criminels peuvent acheter des kits prêts à l’emploi contenant tout le nécessaire pour lancer une attaque. Ces kits incluent souvent des modèles de phishing pour wallets populaires, des smart contracts malveillants pour voler des tokens, et des outils de gestion de campagne. 

Certains kits identifient même le wallet utilisé et adaptent l’attaque en conséquence. Le modèle économique s’apparente au SaaS, où les opérateurs louent l’accès ou prennent une part sur les fonds volés. Ces kits sont fréquemment mis à jour pour contourner les correctifs de sécurité et les listes noires. 

Canaux de diffusion

Une fois les sites de phishing et drainers installés, les hackers cherchent à attirer des victimes. Ils utilisent des canaux populaires comme Telegram, Discord et X, en se faisant passer pour des membres de confiance ou en détournant des groupes existants. Ils manipulent aussi les moteurs de recherche pour faire remonter les sites malveillants dans les résultats. Les publicités payantes sont un autre levier, affichant de faux liens en résultats sponsorisés. 

En dehors du web, les attaquants diffusent des extensions de navigateur malveillantes qui injectent des scripts dans des dApps légitimes et distribuent de fausses applications mobiles via des stores non officiels, voire parfois sur les stores officiels malgré la modération. Toutes ces méthodes visent à faire apparaître du contenu de phishing dans des environnements où les victimes ont déjà confiance.

Tactiques d’arnaque courantes

Voici les schémas on-chain et off-chain typiques utilisés par les dApps malveillantes pour transformer une signature Approve ou autre en vol de fonds :

• Approvals illimités/approve(MAX_UINT) : la dApp demande à l’utilisateur d’approuver un token sans limite de montant ; l’attaquant appelle ensuite transferFrom pour vider les tokens. C’est la méthode la plus courante.
   
• Signatures offline Permit/EIP-712 (Permit, Seaport, Permit2) : au lieu d’une approbation on-chain, la dApp demande à l’utilisateur de signer un message structuré EIP-712 qui autorise la dépense. Cela rend la lecture plus difficile pour l’utilisateur et se déroule souvent hors de l’interface de la dApp. Blockaid a documenté des drains utilisant ce type de signature pour autoriser des transferts.
   
• Obfuscation des calldata encodés : la charge utile de la transaction contient des données ABI encodées, compressées ou en multicall, si bien que l’interface du wallet n’affiche qu’une ligne « appel de contrat » peu explicite, incompréhensible pour l’utilisateur.
   
• Contrats proxy ou intermédiaires : les drainers utilisent des contrats temporaires ou proxy qui reçoivent les approvals et transfèrent rapidement les fonds vers des adresses des attaquants, ce qui complique l’attribution et les défenses basées sur les listes noires.
   
• Rug ou faux tokens : demander à « ajouter » un token ou à approuver un airdrop qui est en réalité un token malveillant, dont la logique de transfert vole les approvals ou déclenche un drain.
   
• Méta-transactions & relayers : des messages signés off-chain combinés à des relayers permettent aux attaquants de déclencher des transferts sans envoyer eux-mêmes la transaction, ce qui accroît la discrétion.
   
• Manipulations UX en plusieurs étapes : une dApp effectue d’abord une action anodine (connexion ou petite approval), puis déclenche immédiatement une seconde demande opaque (approval ou permit) pendant que l’utilisateur est encore dans la session.

Que fait Blockaid ?

Voici Blockaid, un prestataire de référence pour de nombreux wallets et plateformes souhaitant sécuriser le moment de l’approbation utilisateur. La mission de Blockaid est claire : prendre en charge l’analyse dès qu’une signature est demandée, scanner la destination, simuler la transaction, comparer la demande à une bibliothèque d’arnaques connues, puis avertir ou bloquer en cas de suspicion.

The company’s platform blends broad internet crawling and dApp cataloging with fast transaction simulation and on-chain intelligence. It is increasingly embedded inside wallets, so the warning appears inside the app where the user decides.

The technology is less magic and more orchestration. Blockaid says it scans millions of web pages and dApp endpoints daily, maintaining a threat intelligence feed of malicious domains, deceptive token contracts, and known drainer signatures. Before a user attempts to sign, Tangem Wallet forwards the metadata about the dApp to Blockaid’s service. 

Blockaid exécute alors une simulation rapide de l’appel, analyse le comportement des tokens et des contrats, vérifie la réputation des adresses et applique des heuristiques et des modèles appris pour déterminer si l’action est risquée.

Ce que Blockaid surveille dans les dApps

Blockaid met l’accent sur la détection large des dApps, la simulation rapide des transactions et les heuristiques on-chain. Voici les signaux et techniques employés pour décider d’autoriser, d’avertir ou de bloquer une transaction.

Indicateurs frontend (hors chaîne)

La première ligne de défense repose sur l’inspection des métadonnées hors chaîne. Les attaquants misent sur des frontends clonés et des domaines jetables, qui fournissent des signaux mesurables.

• Réputation du domaine et de l’hôte : la télémétrie DNS peut être confrontée à des bases de menaces pour identifier les nouveaux domaines enregistrés (NRD), ceux à faible durée de vie (Fast Flux), ou déjà associés à des campagnes malveillantes. Les bureaux d’enregistrement liés à de nombreux phishing sont aussi un signal fort.
   
• Schémas de clonage UI/UX : l’analyse de similarité au niveau DOM détecte les structures HTML/CSS, bundles JavaScript ou chaînes en ligne qui correspondent à des marques connues ou à des modèles de phishing déjà signalés. Des crawlers analysent des millions de domaines chaque jour pour extraire ces caractéristiques et repérer les faux frontends à grande échelle.
   
• Empreintes des logos et assets : les images (SVG, PNG) sont fingerprintées et comparées à des référentiels de marques légitimes. Les collisions ou quasi-doublons sur des domaines non liés signalent des tentatives d’usurpation.

Cette analyse frontend permet d’identifier une infrastructure malveillante avant toute interaction on-chain.

Simulation au niveau de la transaction

Dès qu’un utilisateur initie une transaction, la simulation déterministe fournit l’indicateur le plus fiable d’un comportement malveillant.

• Fork stateful et dry run : la transaction non signée est exécutée sur un fork de la blockchain à la hauteur de bloc courante. Cela simule les changements d’état exacts (transferts de tokens, mises à jour de stockage, événements) sans rien écrire on-chain. 
  Par exemple, si la simulation montre qu’une signature d’approbation accorde à un contrat malveillant une allowance illimitée suivie d’un transfert immédiat, la transaction est signalée à haut risque.
   
• Décodage des calldata : le décodage ABI traduit les calldata en méthodes lisibles (approve, permit, transferFrom, fillOrder, etc.), révélant l’intention même si l’interface masque l’opération. Si l’ABI est indisponible, des heuristiques comme la correspondance de sélecteurs de fonction sont utilisées.
   
• Expansion des multicall : de nombreux drainers masquent leur logique dans des multicalls imbriqués. La simulation développe chaque sous-appel pour révéler les actions cachées et empêcher les transferts dissimulés dans des opérations groupées.

Cette inspection au niveau exécution est la seule façon de valider avec certitude l’effet économique réel d’une transaction.

Heuristiques on-chain

Au-delà de la simulation directe, des heuristiques complémentaires détectent les schémas associés aux drainers et contrats malveillants :

• Âge du contrat : les transactions accordant des approvals à des contrats récemment déployés, peu sollicités ou liés à des adresses blacklistées sont suspectes.
   
• Allowance illimitée + transfert immédiat : si un drainer récurrent demande une approval ERC-20 infinie suivie d’une transaction de sweep, les moteurs de détection signalent les séquences où approve ou permit précèdent des transferts sortants dans une courte fenêtre de blocs.
   
• Empreintes de drainer : de nombreux kits DaaS réutilisent des séquences d’appels, des signatures de gas au niveau opcode ou des routers connus. Une fois profilées, ces empreintes comportementales sont stockées comme des signatures de type YARA et comparées aux futures transactions. Blockaid publie régulièrement ces empreintes et des indicateurs de compromission (IOC), incluant adresses de contrats, schémas de routers et comportements de drainer.

Ces heuristiques constituent un ensemble de règles constamment actualisé, capable d’attraper les drainers connus comme les nouveaux grâce à des tactiques, techniques et procédures communes.

Signaux comportementaux et machine learning

Enfin, la détection d’anomalies statistiques et comportementales complète les contrôles déterministes :

• Déviation du flux UX : les systèmes de détection surveillent les séquences de signature inhabituelles, comme des approvals en plusieurs étapes où la seconde transaction est l’exploit, ou des popups réclamant des montants improbables par rapport à l’historique du wallet.
   
• Schémas de sweep tiers : des contrats malveillants transfèrent souvent les actifs vers des adresses de « sweep » dans le même chemin de transaction. En regroupant ces adresses, les modèles ML peuvent identifier des wallets malveillants avant même qu’ils ne soient largement signalés.
   
• Télémétrie et effet réseau : lorsqu’une tentative de phishing est détectée par un wallet intégré, ce signal est immédiatement partagé avec tous les autres. Cela crée une défense collaborative, transformant un incident isolé en protection préventive pour des milliers d’utilisateurs. Blockaid met en avant cet aspect clé de sa chaîne de détection.

TL :DR

Une stratégie de défense multicouche combine plusieurs approches pour renforcer la sécurité. Blockaid met en œuvre :

• L’analyse des métadonnées off-chain, incluant la vérification des domaines et assets et la détection de similarités frontend.
• Des techniques de simulation on-chain comme l’exécution sur fork, l’analyse des calldata et l’expansion des multicall.
• Des règles heuristiques pour évaluer la provenance des contrats, repérer les approvals illimités et détecter les empreintes de drainer.
• La surveillance comportementale et la télémétrie machine learning pour repérer les anomalies de flux, les sweeps et propager rapidement les listes de blocage.
• Un modèle de défense en profondeur qui détecte les menaces depuis l’infrastructure initiale jusqu’à l’exécution on-chain.
• La neutralisation des campagnes de drainer avant tout dommage irréversible.

Règles pratiques mises en place dans Tangem Wallet

Voici les contrôles concrets ajoutés à la chaîne de signature grâce à l’intégration Blockaid :

• En présence de signatures approve ou assimilées, Tangem affiche une explication claire et lisible : « Cela accorde à SPENDER X la permission de transférer jusqu’à Y TOKEN. »
• Le wallet simule la transaction avant signature. Si la simulation détecte un transfert de l’utilisateur vers une adresse externe, la transaction est signalée à haut risque.
• Des options sont proposées pour les approvals limités ou illimités, avec une confirmation explicite et renforcée. 
• L’interface Tangem affiche le contenu décodé et un résumé clair de ce que la signature autorise.
• Si le destinataire ou le spender est nouveau ou lié à des adresses de drainer connues, l’application avertit l’utilisateur.
• Pour les flux suspects depuis le même domaine ou la même adresse, l’application affiche une confirmation « Êtes-vous sûr ? » pour les combinaisons à risque élevé.
• Un flux de révocation précis est intégré à l’interface du wallet et nous sensibilisons les utilisateurs à la révocation des approvals. 

Conclusion

Les dApps malveillantes exploitent la confiance dans l’interface et des signatures opaques. La meilleure défense consiste à déplacer la détection au moment de la signature : décoder les calldata, simuler les changements d’état exacts, vérifier la réputation on-chain et afficher un avertissement clair, ce que la chaîne d’analyse et de simulation de Blockaid réalise précisément. Cette combinaison rend le bouton Approve informatif plutôt que dangereux. 

Le duel entre arnaqueurs et défenseurs dans le Web3 est bien connu. C’est un cycle d’innovation et de riposte qui façonne la sécurité depuis les débuts d’internet. WalletConnect a facilité les transactions ; les attaquants ont facilité la tromperie. 

Des sociétés comme Blockaid cherchent à sécuriser l’approbation sans nuire à l’esprit décentralisé qui rend le Web3 attractif. L’équilibre dépendra de la vigilance des plateformes, de la rapidité de détection partagée à l’échelle du secteur et, surtout, des choix des utilisateurs qui continuent de cliquer sur Approve.