Wallet drainers : comment ils fonctionnent et comment s’en protéger

Le rapport annuel 2025 de Scam Sniffer recense 83,85 millions de dollars de pertes liées au phishing par wallet drainer, ciblant 106 000 victimes. Rien que sur le premier semestre 2025, les utilisateurs crypto ont perdu 410,75 millions de dollars à cause de ces attaques, avec un schéma récurrent : cliquer sur un lien qui semble légitime, connecter son wallet, puis approuver une transaction qui vide les fonds. Sont visés : collectionneurs de NFT, utilisateurs DeFi et détenteurs de crypto ayant cliqué sur le mauvais lien sur Discord ou X.

Les wallet drainers ne piratent pas la blockchain. Ils n’en ont pas besoin. Ils vous poussent à accorder, en un clic, la permission de dépenser l’intégralité de votre solde. Ce guide explique précisément leur fonctionnement et comment s’en prémunir.
 

Comment fonctionnent les wallet drainers

Un wallet drainer est un dApp malveillant ou un scénario de phishing qui pousse l’utilisateur à connecter son wallet et à approuver une transaction, ou à accorder une autorisation illimitée, ce qui permet de vider les fonds.

Voici le principe : le site paraît légitime, vous connectez votre wallet, puis une fenêtre vous demande votre clé privée, votre phrase de récupération ou une autorisation. Si vous validez une transaction de drainage ou un accès illimité à vos tokens, l’attaquant peut déplacer vos actifs. Une seule autorisation peut suffire. L’attaque ne nécessite ni phrase de récupération, ni clé privée : seule votre approbation est requise.

L’essentiel : toutes les autorisations dangereuses ne sont pas évidentes. Les attaques par signature de type permit représentent 38 % des pertes sur les incidents dépassant 1 million de dollars selon les données Scam Sniffer 2025 sur les wallet drainers.

Les drainers basés sur la signature sont la version évoluée du piège. Au lieu d’une transaction d’approbation classique sur la blockchain, le site de phishing peut demander une signature hors chaîne, sous un libellé comme « Vérifier le wallet » ou « Réclamer l’airdrop ». Cela paraît moins risqué, car il ne s’agit pas d’un transfert de tokens et la trace d’approbation n’est pas aussi visible qu’avec une autorisation ERC-20 classique.

C’est là le piège : une signature peut tout de même autoriser la dépense de tokens via des flux d’approbation de type permit. Dans une attaque de type Permit2, le danger réside dans l’étendue de la permission : la signature peut donner à un contrat un accès large aux tokens couverts par une autorisation existante. Vous ne verrez pas toujours un message explicite comme « Envoyer 100 USDC ». Il peut s’agir d’une demande administrative en apparence, qui donne en réalité à l’attaquant un accès rapide à vos fonds.

On retrouve ce schéma dans les attaques par approbation plus classiques. Un dApp malveillant n’a pas besoin de casser la cryptographie s’il parvient à vous faire approuver le mauvais destinataire. La blockchain considérera la permission comme valide, car elle est signée par le wallet. La vraie question à se poser n’est pas « Ce site paraît-il professionnel ? », mais bien « Quelle permission j’accorde, à qui, et pour combien de temps ? »
 

Comment les drainers sont diffusés : vecteurs d’attaque

Les mécanismes ci-dessus ne fonctionnent que si vous interagissez avec le site malveillant. Le reste de l’attaque consiste à vous y amener.

Les faux airdrops de tokens ou NFT peuvent être envoyés directement dans les wallets, imiter des collections connues avec de légères erreurs de nom, puis rediriger vers des sites de phishing lors de l’interaction. C’est pourquoi tout actif reçu au hasard doit susciter la méfiance, pas la curiosité.
 

Les messages d’usurpation et faux profils sont particulièrement dangereux, car ils exploitent la confiance. Les escrocs promeuvent de faux airdrops via de faux profils, des bots ou des imitateurs de personnalités crypto connues. Lors du lancement de Celestia TIA, un faux profil nommé calestiatoken a usurpé CelestiaOrg et demandé aux utilisateurs de soumettre des adresses Ethereum, alors que Celestia n’est pas basé sur Ethereum.

Ce même lancement a illustré la rapidité d’apparition des copies. Les archives recensent des dizaines de sites imitant Celestia lors de l’airdrop. Cela compte, car les utilisateurs cherchent souvent des pages de réclamation dans l’urgence et cliquent sur le premier résultat officiel en apparence. Un drainer n’a besoin que d’une visite précipitée.

Les fausses pages de réclamation d’airdrop peuvent copier à l’identique les sites officiels, noms, designs et logos compris. Il est crucial de vérifier les sites, blogs et réseaux officiels avant d’agir sur une information d’airdrop.

Les sites contrefaits et messages de phishing apparaissent fréquemment via des résultats sponsorisés, des publicités sur les réseaux sociaux, des messages d’usurpation sur e-mail, Telegram, Discord et X, des tokens d’airdrop frauduleux, du phishing WalletConnect et des e-mails piégés.

Les signaux d’alerte sont constants : différences subtiles dans les noms de compte, fautes d’orthographe, faible nombre d’abonnés, annonces absentes des canaux officiels du projet.

Vérifier et révoquer les autorisations à risque

Vous avez sans doute accumulé plus d’autorisations actives que vous ne le pensez. Chaque interaction DeFi peut avoir laissé une autorisation ouverte sur la blockchain, parfois illimitée.

Étape 1 : auditez vos autorisations.

Utilisez un outil de vérification fiable et contrôlez l’URL avant de connecter votre wallet. Utilisez un favori si vous vérifiez souvent vos autorisations. Un faux site d’audit est simplement une page de phishing mieux chronométrée.

Examinez les autorisations actives pour chaque blockchain utilisée. L’objectif : voir quels contrats peuvent dépenser quels tokens, dans quelle limite, et si ces autorisations correspondent encore à vos usages actuels.

Commencez par les autorisations illimitées, qui donnent à un contrat un pouvoir de dépense étendu. Puis vérifiez les anciennes autorisations de protocoles que vous n’utilisez plus, les contrats inconnus et les autorisations fixes importantes devenues inutiles.

Si l’outil affiche séparément les autorisations Permit2 ou basées sur la signature, examinez-les aussi. Traitez en priorité les destinataires inconnus, les accès larges et les autorisations issues de vieilles sessions dApp, avant une autorisation récente que vous utilisez encore chaque semaine. Pour un audit mensuel efficace, classez vos autorisations en trois catégories : gardez celles des protocoles que vous utilisez activement, réduisez ou révoquez les autorisations importantes devenues inutiles, et supprimez tout ce qui concerne des contrats inconnus ou d’anciennes campagnes. L’objectif n’est pas de rendre la DeFi inutilisable, mais d’éviter que d’anciennes permissions ne deviennent un vrai risque.

Étape 2 : révoquez les autorisations suspectes.

Révoquez l’accès aux applications non fiables et aux autorisations inutilisées. La révocation nécessite généralement une transaction sur la blockchain, donc des frais de gaz. Priorisez d’abord les autorisations illimitées, puis les importantes, puis les anciennes autorisations de sessions DeFi passées.

C’est le compromis : mieux vaut payer un petit montant en frais de gaz pour clôturer une vieille autorisation que laisser un contrat oublié avec des droits de dépense indéfinis. Si les frais sont élevés, programmez les révocations et commencez par les plus risquées : montants illimités, contrats inconnus, puis protocoles que vous n’utilisez plus depuis des mois.

À l’avenir, lors de l’utilisation de nouveaux protocoles, évitez les autorisations illimitées si une autorisation plus restreinte suffit. Faites-en une habitude mensuelle. La règle pratique est claire : si un token inconnu vous invite à « réclamer » ou « débloquer » sur un site, considérez-le comme une arnaque. Aucun protocole légitime n’a besoin de votre phrase de récupération ou de votre clé privée pour traiter une autorisation.

Checklist anti-drainer

Ces conseils sont concrets : chacun correspond à un vecteur d’attaque évoqué plus haut.

• Ajoutez en favori tous les dApps DeFi que vous utilisez. Ne les cherchez jamais via Google ni via des liens sur Discord, X ou Telegram.
   
• Vérifiez chaque caractère de l’URL avant de connecter votre wallet. Contrôlez le domaine exact, pas seulement l’apparence visuelle.
   
• Contrôlez régulièrement vos autorisations de wallet. Révoquez l’accès aux applications non fiables et aux autorisations illimitées inutilisées.
   
• Ne signez jamais un message « Vérifier le wallet » ou « Réclamer l’airdrop » depuis un site que vous n’avez pas ouvert via votre favori.
   
• Confirmez les annonces sur les canaux officiels du projet avant d’agir sur un airdrop ou un mint, pas seulement via des influenceurs.
   
• Utilisez un hardware wallet pour les montants importants. La validation physique (toucher ou bouton) est votre dernier rempart.
   
• Gardez un « burner wallet » dédié pour tester de nouveaux protocoles ou ceux non vérifiés. Ne connectez jamais votre wallet principal à un dApp inconnu.
   
• Mettez à jour vos applications de wallet, systèmes d’exploitation et navigateurs. Les mises à jour corrigent souvent des failles de sécurité.
   
• Séparez vos fonds : petits montants pour l’usage courant sur un hot wallet ; montants importants à long terme sur un cold wallet.