Wallet drainers : fonctionnement, risques et comment s’en protéger

Le rapport annuel 2025 de Scam Sniffer recense 83,85 millions de dollars de pertes liées à des attaques de wallet drainers par phishing, touchant 106 000 victimes. Rien qu’au premier semestre 2025, les utilisateurs crypto ont perdu 410,75 millions de dollars à cause de ces attaques, selon un schéma récurrent : clic sur un lien légitime, connexion du wallet, puis approbation d’une transaction qui vide les fonds. Les cibles : collectionneurs de NFT, utilisateurs DeFi et détenteurs ordinaires ayant cliqué sur le mauvais lien sur Discord ou X.

Les wallet drainers ne piratent pas la blockchain. Ils n’en ont pas besoin. Ils vous incitent à donner, en un clic, l’autorisation de dépenser tout le solde de votre wallet. Ce guide explique leur fonctionnement précis et comment s’en protéger.
 

Comment fonctionnent les wallet drainers

Un wallet drainer est un dApp malveillant ou un parcours de phishing qui pousse l’utilisateur à connecter son wallet et à approuver une transaction, ou à accorder une autorisation illimitée, ce qui permet de vider les fonds.

Voici le principe. Le site paraît légitime, vous connectez votre wallet, puis une demande s’affiche pour obtenir vos clés privées, votre phrase de récupération ou une autorisation de wallet. Si vous validez une transaction de drainage ou un accès illimité à vos tokens, l’attaquant peut transférer vos actifs. Une seule approbation peut suffire. L’attaque ne nécessite ni votre phrase de récupération, ni votre clé privée, mais uniquement votre approbation.

L’essentiel est simple : toutes les autorisations à risque ne sont pas évidentes. Les attaques par signature de type « permit » représentent 38 % des pertes dans les incidents dépassant 1 million de dollars selon les données 2025 de Scam Sniffer sur les wallet drainers.

Les drainers basés sur la signature sont une évolution plus insidieuse. Au lieu d’afficher une transaction d’approbation classique sur la blockchain, le site de phishing peut demander une signature hors chaîne sous un intitulé comme « Vérifier le wallet » ou « Réclamer l’airdrop ». La demande semble moins risquée car elle ne ressemble pas à un transfert de tokens et ne crée pas forcément la trace d’approbation ERC-20 attendue.

C’est le piège. Une signature peut quand même autoriser la dépense de tokens via des flux d’approbation de type permit. Dans une attaque de type Permit2, le danger vient de l’étendue de l’autorisation : la signature peut accorder à un contrat un accès large aux tokens couverts par une allowance existante. Vous ne verrez pas toujours une demande explicite « Envoyer 100 USDC ». Il peut s’agir d’un message d’apparence administrative, qui ouvre en réalité la voie à un transfert rapide des fonds.

On retrouve ce schéma dans les attaques d’approbation classiques. Un dApp malveillant n’a pas besoin de casser la cryptographie s’il peut vous inciter à approuver le mauvais destinataire. La blockchain considérera l’autorisation comme valide car le wallet l’a signée. La vraie question n’est donc pas : « Ce site paraît-il professionnel ? » mais « Quelle autorisation suis-je en train d’accorder, à qui, et pour combien de temps ? »
 

Comment les drainers sont déployés : vecteurs d’attaque

Les mécanismes ci-dessus ne fonctionnent que si vous interagissez avec le site malveillant. Vous y amener constitue l’autre moitié de l’attaque.

Les faux airdrops de tokens ou de NFT peuvent être envoyés directement aux wallets, imiter des collections connues avec des noms très proches, et rediriger vers des sites de phishing dès qu’on interagit avec l’actif. C’est pourquoi tout actif aléatoire dans votre wallet doit susciter la méfiance, pas la curiosité.
 

Les messages d’usurpation et faux profils sont particulièrement dangereux car ils exploitent la confiance. Les escrocs promeuvent de faux airdrops via de faux profils, des bots ou l’usurpation de personnalités crypto connues. Lors du lancement de Celestia TIA, un faux profil nommé calestiatoken a imité CelestiaOrg et demandé aux utilisateurs de fournir des adresses Ethereum, alors que Celestia n’est pas basé sur Ethereum.

Ce même lancement a montré la rapidité d’une vague de copies. Le vault recense des dizaines de sites imitant Celestia apparus lors de l’airdrop. Cela compte car les utilisateurs cherchent souvent les pages de claim dans l’urgence, puis cliquent sur le premier résultat officiel en apparence. Un drainer n’a besoin que d’une visite précipitée.

Les fausses pages de claim d’airdrop peuvent reproduire à l’identique les sites officiels, avec des noms, designs et logos quasi identiques. Il faut toujours vérifier les sites officiels, blogs et réseaux sociaux avant d’agir sur une information d’airdrop.

Les sites contrefaits et messages de phishing apparaissent fréquemment via des résultats sponsorisés, publicités sur les réseaux sociaux, messages d’usurpation par e-mail, Telegram, Discord, X, faux tokens d’airdrop, phishing WalletConnect et e-mails frauduleux.

Les signaux d’alerte sont constants : différences minimes dans les noms de compte, fautes d’orthographe, faible nombre d’abonnés, et annonces absentes des canaux vérifiés du projet.

Vérifier et révoquer les autorisations à risque

Vous avez probablement plus d’autorisations actives que vous ne le pensez. Chaque interaction DeFi peut avoir laissé une autorisation ouverte sur la blockchain, dont certaines sont illimitées.

Étape 1 : auditez vos autorisations.

Utilisez un outil d’audit fiable et vérifiez bien l’URL avant de connecter votre wallet. Utilisez un favori si vous vérifiez souvent vos autorisations. Un faux site d’audit est juste une page de phishing mieux synchronisée.

Passez en revue les autorisations actives pour chaque blockchain utilisée. L’objectif : voir quels contrats peuvent dépenser quels tokens, combien ils peuvent dépenser, et si ces autorisations sont toujours pertinentes.

Commencez par les autorisations illimitées, qui accordent à un contrat un pouvoir de dépense global plutôt qu’un montant fixe. Vérifiez ensuite les autorisations anciennes de protocoles que vous n’utilisez plus, les contrats inconnus, et les grandes autorisations fixes devenues inutiles.

Si l’outil distingue les allowances Permit2 ou basées sur la signature, vérifiez-les aussi. Priorisez les dépenses inconnues, les accès larges et les autorisations issues de sessions dApp anciennes, plutôt qu’une autorisation récente que vous utilisez chaque semaine. Pour un audit mensuel, classez vos autorisations en trois : gardez celles des protocoles utilisés, réduisez ou révoquez les autorisations importantes devenues inutiles, et supprimez tout ce qui concerne des contrats inconnus ou de vieilles campagnes. Le but n’est pas de rendre la DeFi inutilisable, mais d’éviter que de vieilles autorisations ne deviennent un vrai risque.

Étape 2 : révoquez les autorisations suspectes.

Révoquez l’accès aux applications non fiables et aux autorisations inutilisées. La révocation nécessite généralement une transaction on-chain, donc des frais de gaz. Priorisez d’abord les autorisations illimitées, puis les grandes autorisations, puis celles issues de vieilles sessions DeFi.

C’est le compromis : payer un petit frais de gaz pour fermer une vieille autorisation vaut mieux que laisser un vieux contrat avec des droits de dépense indéfinis. Si le gaz est élevé, regroupez les révocations et traitez d’abord les plus risquées : montants illimités, contrats inconnus, puis protocoles non utilisés depuis des mois.

À l’avenir, lors de l’utilisation de nouveaux protocoles, évitez les autorisations illimitées si une autorisation limitée suffit. Faites-en une routine mensuelle. La règle pratique est simple : si un token inconnu vous invite à « réclamer » ou « débloquer » sur un site, considérez-le comme une arnaque. Aucun protocole sérieux n’a besoin de votre phrase de récupération ou de votre clé privée pour traiter une autorisation.

Checklist anti-drainer

Ce ne sont pas des conseils abstraits. Chacun répond à un vecteur d’attaque décrit plus haut.

• Ajoutez en favori tous les dApps DeFi que vous utilisez. Ne les cherchez jamais via Google ou des liens sur Discord, X ou Telegram.
   
• Vérifiez l’URL caractère par caractère avant de connecter votre wallet. Contrôlez le nom de domaine exact, pas seulement l’apparence visuelle.
   
• Vérifiez régulièrement vos autorisations. Révoquez l’accès aux apps non fiables et aux autorisations illimitées inutilisées.
   
• Ne signez jamais un message « Vérifier le wallet » ou « Réclamer l’airdrop » depuis un site que vous n’avez pas ouvert via votre favori.
   
• Confirmez les annonces sur les canaux officiels du projet avant d’agir sur un airdrop ou une mint, pas seulement via des influenceurs.
   
• Utilisez un hardware wallet pour vos actifs importants. La validation physique (tap ou bouton) est votre dernier rempart.
   
• Gardez un « burner wallet » dédié pour les protocoles nouveaux ou non vérifiés. Ne connectez jamais votre wallet principal à un dApp inconnu.
   
• Mettez à jour vos apps wallet, systèmes d’exploitation et navigateurs. Les mises à jour corrigent souvent des failles de sécurité.
   
• Séparez vos fonds : petites sommes actives sur un hot wallet ; montants importants en stockage à froid.