Qu’est-ce que l’address poisoning et comment l’éviter en 2026

En 2024, une seule attaque d’address poisoning a permis de dérober environ 71 millions de dollars en WBTC à partir d’un seul wallet. Les pièges classiques ont été évités : pas de lien malveillant, aucune fuite de seed phrase. La victime a simplement copié une adresse depuis son historique de transactions, comme la plupart des utilisateurs, et a envoyé les fonds à l’adresse du hacker. C’est ce qui rend cette attaque si particulière. Elle ne repose sur aucune erreur technique de la part de la victime : elle exploite simplement une habitude.

Les attaques d’address poisoning crypto exploitent l’historique public des transactions, la création d’adresses qui semblent légitimes et la tendance à copier depuis l’historique. Cet article explique le fonctionnement mécanique de cette attaque, les profils les plus exposés et les mesures à adopter dès aujourd’hui pour éviter d’en être la prochaine victime. Pour vous prémunir, ne copiez jamais une adresse depuis l’historique : utilisez un carnet d’adresses enregistré, vérifiez l’intégralité de l’adresse de destination et réalisez toujours un test avec une petite somme avant d’envoyer des montants importants.

Comment fonctionne l’address poisoning

L’attaque se déroule en trois étapes distinctes. Comprendre chacune d’elles est la meilleure manière de s’en protéger.

La préparation : les vanity addresses

Une vanity address est une adresse blockchain générée à répétition jusqu’à obtenir un préfixe spécifique. Ce processus est purement cosmétique : on lance une boucle de génération de clés, on dérive l’adresse, on vérifie si elle correspond au préfixe souhaité, et on recommence jusqu’à obtenir le résultat voulu. À première vue, le résultat ressemble presque à une adresse authentique.

Les attaquants s’en servent pour créer une fake crypto address qui reprend les premiers et derniers caractères d’une adresse à laquelle vous avez déjà envoyé des fonds. Une adresse réelle pourrait ressembler à 0xA3f9...7c82. Celle de l’attaquant serait par exemple 0xA3f1...7c82. Voyez-vous la différence ? La plupart des utilisateurs ne la remarquent pas, surtout si l’interface du wallet tronque le milieu de l’adresse.

La transaction de « poison »

Une fois l’adresse ressemblante créée, l’attaquant envoie un zero-value transfer (ou une somme infime, quelques centimes) depuis cette fausse adresse vers votre wallet. C’est la step for the zero-value transfer attack. Sur la plupart des blockchains, le coût de cette opération est quasi nul. Vous n’avez rien à faire : tout se passe sans interaction de votre part.

L’entrée « empoisonnée » apparaît alors dans votre historique de transactions, juste à côté du transfert légitime réalisé auparavant.

Le piège se referme

La prochaine fois que vous souhaitez envoyer des fonds au même destinataire, vous ouvrez votre historique et copiez l’adresse… mais ce n’est pas la bonne. Les fonds partent chez l’attaquant.

C’est ainsi que l’transaction history attack crypto fonctionne : elle exploite votre habitude de faire confiance à l’historique comme raccourci. L’attaque ne demande aucune compétence technique de la victime, juste une routine.

Real-world scale : plusieurs victimes ont perdu 100 000 $ ou plus en copiant une adresse depuis l’historique. En 2024, une seule attaque d’address poisoning a permis de voler près de 71 millions de dollars en WBTC sur un wallet.

Vous êtes plus exposé si…

Tous les utilisateurs ne sont pas exposés au même niveau. Les attaquants analysent le comportement on-chain pour cibler les portefeuilles à forte valeur.

Vous êtes plus exposé si vous envoyez régulièrement des fonds aux mêmes adresses. Les schémas de transferts répétitifs sont précisément ce que recherchent les attaquants. Ils surveillent l’activité on-chain, repèrent les « adresses de destination fréquemment utilisées » et synchronisent la transaction de poisoning juste après un transfert légitime.

Vous êtes plus exposé si vous utilisez le copy-paste from transaction history au lieu d’un carnet d’adresses enregistré. C’est la cause la plus fréquente d’attaque. L’onglet historique semble fiable, mais il ne l’est pas : un attaquant peut y injecter une fausse adresse à votre insu. Votre carnet d’adresses ne contient que les adresses que vous avez validées.

Vous êtes plus exposé si vous ne vérifiez pas l’intégralité de l’adresse avant d’envoyer. Les attaquants créent des adresses qui ne correspondent qu’aux premiers et derniers caractères. Si vous ne vérifiez que six caractères au début et à la fin, vous risquez de passer à côté de la substitution.

Vous êtes plus exposé si vous utilisez plusieurs wallets et transférez fréquemment des fonds entre eux. Travailler avec plusieurs wallets multiplie les entrées dans l’historique, les occasions pour une adresse empoisonnée de se fondre dans la masse, et augmente la charge mentale lors des transferts. Le point commun : le crypto address spoofing fonctionne parce qu’il exploite l’écart entre ce que vous vérifiez et ce que vous pensez avoir vérifié.

Comment se protéger : 5 règles à appliquer

Appliquez ces cinq règles systématiquement pour bloquer l’attaque à chaque étape.

Rule 1: Never copy from transaction history.

Utilisez le carnet d’adresses ou les contacts de votre wallet, jamais l’onglet historique. L’historique affiche toutes les adresses apparues dans vos transactions, mais cela ne signifie pas qu’elles sont vérifiées. Un attaquant peut y injecter une fausse adresse sans que vous le sachiez. Votre carnet d’adresses ne contient que ce que vous avez enregistré vous-même.

Rule 2: Verify the FULL address.

Vérifiez chaque caractère, pas seulement les six premiers et derniers. Utilisez un block explorer pour coller l’adresse de destination et confirmer que son historique correspond bien au destinataire attendu. Les explorers blockchain fournissent un enregistrement permanent et horodaté de toutes les activités liées à une adresse, ce qui permet de vérifier le destinataire avant d’envoyer les fonds. Chaque blockchain dispose de son propre explorer : assurez-vous d’utiliser celui qui correspond au réseau de votre transaction.

Rule 3: Send a test transaction first.

Pour les transferts importants, commencez par envoyer 1 $. Vérifiez que le destinataire le reçoit bien, puis effectuez le transfert principal. Cela ajoute une étape et quelques minutes, mais c’est un filet de sécurité. Une transaction blockchain confirmée est définitive. Tant qu’une transaction est en attente, certaines blockchains permettent de la remplacer, mais le plus sûr reste de vérifier l’adresse du destinataire avant la première confirmation.

Rule 4: Use an address book in your wallet.

Enregistrez les adresses vérifiées avec un libellé. Une fois l’adresse ajoutée à votre carnet et confirmée, sélectionnez-la par son nom. Vous ne copiez plus depuis l’historique, vous choisissez dans une liste validée. Ne retapez ni ne recopiez jamais une adresse déjà enregistrée pour un destinataire.

Rule 5: Check the source of any dust.

Si vous recevez une micro-transaction inattendue, toute somme minime et non sollicitée, n’utilisez jamais cette adresse comme expéditeur. Ignorez-la. N’envoyez jamais de fonds en retour. Ce « dust » est l’appât : interagir avec, c’est tomber dans le piège.

Comment Tangem protège contre l’address poisoning

Aucun wallet, y compris Tangem, ne peut empêcher les attaquants d’envoyer des transactions de dust sur les blockchains publiques. N’importe qui peut envoyer un zero-value transfer à n’importe quelle adresse : c’est une réalité du protocole, pas une limite produit. Mais Tangem rend la fraude structurellement plus difficile.

L’architecture hardware wallet de Tangem multiplie les protections

Address Verification on Every Transaction

Avant chaque signature de transaction, l’application Tangem affiche l’intégralité de l’adresse de destination pour une vérification visuelle. L’obligation de tap physique sur la carte ajoute une pause volontaire, un temps pour vérifier, que les wallets logiciels n’imposent pas. Dans le flux de signature Tangem, l’utilisateur initie la transaction dans l’app, l’app génère les données non signées, l’utilisateur tap la carte, l’élément sécurisé signe la transaction en interne, puis l’app diffuse la transaction signée. À aucun moment la clé privée n’entre en contact avec un appareil connecté à Internet. Mais ici, la vraie protection, c’est moins l’isolation de la clé que le contrôle humain obligatoire avant le tap.

Address Book Integration

Le carnet d’adresses de Tangem permet d’enregistrer les destinataires fréquents pour une sélection rapide. Une fois une adresse vérifiée ajoutée, vous la sélectionnez par son libellé, jamais en copiant depuis l’historique. L’adresse sauvegardée est toujours utilisée, quel que soit le contenu de l’onglet historique. L’envoi de transactions Tangem permet aussi la saisie manuelle et le scan QR comme alternatives au copier-coller depuis l’historique.

Hardware-Enforced Confirmation

Même si une adresse empoisonnée se glissait dans votre flux, le tap physique sur la carte reste le dernier contrôle humain. Vous voyez l’adresse dans l’app, vous vérifiez, puis vous tappez. Aucune transaction ne s’exécute sans cette confirmation physique. Tangem Mobile Wallet propose aussi une confirmation par appui long lors de la signature (depuis la version 5.35) pour éviter les taps accidentels.

One honest limitation : l’interface de l’app sert de couche de vérification. Lire l’intégralité de l’adresse dans l’app avant de tapper est indispensable. Cette étape est la protection.

Using Tangem to Avoid Address Poisoning

• Utilisez le carnet d’adresses Tangem pour tous vos destinataires réguliers.
• Avant de tapper la carte, lisez l’intégralité de l’adresse affichée dans l’app, caractère par caractère.
• Si une adresse de l’historique ne correspond pas à celle de votre contact enregistré, arrêtez-vous et vérifiez avant de poursuivre.

Que faire après avoir envoyé à une adresse empoisonnée ?

La rapidité compte ici, mais il faut d’abord accepter une réalité importante.

Une transaction crypto confirmée est irréversible

Une fois confirmée, une transaction blockchain ne peut pas être annulée. Sur Bitcoin, la plupart des services considèrent qu’entre 3 et 6 confirmations suffisent pour valider définitivement un transfert, soit environ une heure avec un bloc toutes les 10 minutes. Sur Ethereum, les confirmations arrivent en quelques minutes grâce à un temps de bloc d’environ 12 secondes. Si votre transaction est déjà confirmée, les fonds sont techniquement perdus.

Cela dit, il existe des démarches à entreprendre.

Document the transaction hash immediately. Un TXID est public, permanent et unique à chaque transfert sur une blockchain donnée. Il enregistre le montant, l’expéditeur, le destinataire, les frais et le statut, sans exposer l’accès à votre wallet. Copiez-le depuis votre wallet ou un block explorer et conservez-le en lieu sûr. Partager un TXID est sans risque, car il s’agit de données publiques. Ce sont vos clés privées et seed phrase qu’il faut protéger.

Report to your exchange if the destination was an exchange address. C’est rare, car la plupart des attaquants utilisent des adresses non-custodiales, mais si l’adresse de réception appartient à un exchange connu, contactez immédiatement son équipe conformité ou abuse avec le hash de la transaction, les horaires et tous les éléments de compte pertinents.

File a report with your local cybercrime authority. Aux États-Unis, il s’agit du FBI (Internet Crime Complaint Center, IC3). Au Royaume-Uni, Action Fraud. Ces signalements aboutissent rarement à un remboursement direct, mais ils alimentent les bases d’enquête qui permettent de suivre les campagnes à grande échelle.

The honest answer : la récupération est extrêmement rare. Tout repose sur la prévention.

Le bon réflexe : vérifier avant de tapper

Les attaques d’address poisoning crypto ne nécessitent ni hacker sophistiqué, ni victime négligente. Il suffit d’un instant d’inattention, en copiant depuis l’historique au lieu d’une source vérifiée. La perte de 71 millions de dollars en WBTC en 2024 s’est produite ainsi. Plusieurs victimes ont perdu plus de 100 000 $ en copiant une adresse depuis l’historique. La solution est à la fois comportementale et structurelle : utilisez un carnet d’adresses, vérifiez l’intégralité de l’adresse avant chaque transaction, considérez tout « dust » inattendu comme un signal d’alerte. Faites toujours un test avant d’envoyer des montants importants.

Le hardware wallet Tangem intègre ces protections par conception : un carnet d’adresses qui élimine le copier-coller depuis l’historique, l’affichage complet de l’adresse avant chaque tap, et une confirmation physique qui impose une pause. Cela ne rend pas l’attaque impossible au niveau du protocole — rien ne le peut — mais cela élimine les habitudes sur lesquelles elle repose. Si vous cherchez un wallet qui structure votre comportement autour de la vérification plutôt que de supposer que vous y penserez à chaque fois, Tangem est fait pour vous. Commandez-le sur tangem.com.