Qu’est-ce que l’address poisoning et comment l’éviter en 2026

En 2024, une seule attaque d’address poisoning a permis de dérober environ 71 millions de WBTC à un wallet. La victime avait pourtant évité tous les pièges classiques : aucun lien malveillant, aucune fuite de seed phrase. Elle a simplement copié une adresse depuis son historique de transactions, comme la plupart des utilisateurs, et a envoyé les fonds à un hacker. C’est ce qui rend cette attaque si particulière : elle ne repose sur aucune erreur technique de la victime, mais exploite une habitude.

Les attaques d’address poisoning crypto tirent parti de l’historique public des transactions, d’adresses factices et de la tendance à copier depuis l’historique. Cet article explique comment l’attaque fonctionne concrètement, qui sont les plus exposés, et quelles mesures adopter dès aujourd’hui pour éviter d’en être victime. Pour vous protéger, ne copiez jamais d’adresse depuis l’historique : utilisez un carnet d’adresses enregistré, vérifiez l’intégralité de l’adresse de destination et envoyez toujours une petite transaction test avant de transférer des montants importants.

Comment fonctionne l’address poisoning ?

L’attaque se déroule en trois étapes distinctes. Comprendre chacune d’elles est le moyen le plus rapide de s’en prémunir.

La préparation : les vanity addresses

Une vanity address est une adresse blockchain standard générée en boucle jusqu’à obtenir un préfixe spécifique. Ce procédé est purement cosmétique : on lance une génération de clés, on dérive l’adresse, on vérifie si elle commence par les caractères souhaités, et on recommence jusqu’à obtenir le résultat voulu. L’adresse obtenue ressemble à s’y méprendre à une vraie adresse au premier coup d’œil.

Les attaquants s’en servent pour créer une fake crypto address qui reprend les premiers et derniers caractères d’une adresse à laquelle vous avez déjà envoyé des fonds. Par exemple, une adresse réelle : 0xA3f9...7c82. Celle de l’attaquant : 0xA3f1...7c82. Vous voyez la différence ? La plupart des utilisateurs ne la remarquent pas, surtout si l’interface du wallet tronque le milieu de l’adresse.

La transaction de poison

Une fois l’adresse factice créée, l’attaquant envoie une zero-value transfer (ou une somme dérisoire) depuis cette fausse adresse vers votre wallet. C’est la step for the zero-value transfer attack. Sur la plupart des blockchains, le coût de la transaction est quasiment nul. Cela ne nécessite aucune interaction de votre part.

L’entrée « empoisonnée » apparaît alors dans votre historique, juste à côté de votre véritable transaction précédente.

Le piège se referme

La prochaine fois que vous devez envoyer des fonds au même destinataire, vous ouvrez votre historique et copiez l’adresse. Mais vous copiez la mauvaise. Les fonds partent chez l’attaquant.

C’est ainsi que l’transaction history attack crypto fonctionne : elle exploite votre confiance dans l’historique comme raccourci. L’attaque ne demande aucune compétence technique à la victime, juste une habitude.

Real-world scale : plusieurs victimes ont perdu plus de 100 000 $ en copiant une adresse depuis l’historique. En 2024, une seule attaque d’address poisoning a permis de voler environ 71 millions de WBTC à un wallet.

Vous êtes plus exposé si …

Tous les utilisateurs ne sont pas exposés au même niveau. Les attaquants analysent le comportement on-chain pour cibler les profils à forte valeur.

Vous êtes plus à risque si vous envoyez régulièrement des fonds aux mêmes adresses. Les schémas de transferts prévisibles sont précisément ce que recherchent les attaquants. Ils surveillent l’activité on-chain, identifient les « adresses de destination fréquentes » et synchronisent la transaction de poison juste après un transfert légitime.

Vous êtes plus à risque si vous utilisez le copy-paste from transaction history au lieu d’un carnet d’adresses enregistré. C’est la cause la plus fréquente d’arnaque. L’onglet historique semble fiable. Il ne l’est pas.

Vous êtes plus à risque si vous ne vérifiez pas l’intégralité de l’adresse avant d’envoyer. Les attaquants créent des adresses qui ne correspondent qu’aux premiers et derniers caractères. Si vous ne contrôlez que six caractères au début et à la fin, vous risquez de passer à côté de la substitution.

Vous êtes plus à risque si vous utilisez plusieurs wallets et transférez souvent des fonds entre eux. Plus il y a de wallets, plus il y a d’entrées dans l’historique, plus il est facile pour une adresse empoisonnée de se fondre dans la masse, et plus la charge mentale est élevée lors des transferts. Le point commun : le crypto address spoofing exploite l’écart entre ce que l’utilisateur croit avoir vérifié… et ce qu’il a réellement vérifié.

Comment s’en prémunir : 5 règles à appliquer

Appliquez ces cinq règles systématiquement pour bloquer l’attaque à chaque étape.

Rule 1: Never copy from transaction history.

Utilisez le carnet d’adresses ou les contacts de votre wallet, jamais l’onglet historique. L’historique affiche les adresses qui sont apparues dans vos transactions, mais cela ne signifie pas qu’elles ont été vérifiées. Un attaquant peut injecter une fausse adresse dans votre historique sans que vous le sachiez. Votre carnet d’adresses ne contient que ce que vous y avez volontairement enregistré.

Rule 2: Verify the FULL address.

Contrôlez chaque caractère, pas seulement les six premiers et derniers. Utilisez un block explorer pour coller l’adresse de destination et vérifier que son historique de transactions correspond bien au destinataire attendu. Les explorateurs blockchain fournissent un historique permanent et horodaté de chaque adresse, ce qui permet de vérifier un destinataire avant d’envoyer des fonds. Chaque blockchain possède son propre explorateur, veillez à utiliser celui du bon réseau.

Rule 3: Send a test transaction first.

Pour les gros montants, commencez par envoyer 1 $. Vérifiez que le destinataire l’a bien reçu, puis effectuez le transfert complet. Cela prend quelques minutes de plus, mais c’est une étape essentielle. Une transaction blockchain confirmée est définitive. Tant qu’une transaction est en attente, certaines blockchains permettent parfois de la remplacer, mais la meilleure pratique reste de vérifier l’adresse avant la première confirmation.

Rule 4: Use an address book in your wallet.

Enregistrez les adresses vérifiées avec des libellés. Une fois l’adresse ajoutée et contrôlée, sélectionnez-la par son nom. Vous ne copiez plus depuis l’historique, vous choisissez dans une liste vérifiée. Ne retapez ni ne recopiez jamais l’adresse d’un destinataire déjà enregistré.

Rule 5: Check the source of any dust.

Si vous recevez une micro-transaction inattendue, minuscule et non sollicitée, n’utilisez jamais cette adresse pour quoi que ce soit. Laissez-la de côté. N’y renvoyez jamais de fonds. Ce « dust » est l’appât. Y répondre, c’est tomber dans le piège.

Comment Tangem protège contre l’address poisoning

Aucun wallet, y compris Tangem, ne peut empêcher les attaquants d’envoyer des transactions de dust sur une blockchain publique. N’importe qui peut envoyer une zero-value transfer à n’importe quelle adresse. C’est une réalité du protocole, pas une limite du produit. Mais Tangem rend l’attaque structurellement beaucoup plus difficile à réussir.

L’architecture hardware wallet de Tangem multiplie les couches de protection

Address Verification on Every Transaction

Avant chaque signature de transaction, l’application Tangem affiche l’intégralité de l’adresse de destination pour une vérification visuelle. L’obligation de valider par un tap physique sur la carte impose une pause volontaire, un temps pour vérifier, que les wallets logiciels n’imposent pas. Lors du processus de signature, l’utilisateur initie la transaction dans l’app, l’app génère les données non signées, l’utilisateur tapote la carte, l’élément sécurisé signe la transaction en interne, puis l’app diffuse la transaction signée. À aucun moment la clé privée n’entre en contact avec un appareil connecté à Internet. Mais ici, la vraie protection réside surtout dans le contrôle humain obligatoire avant le tap.

Address Book Integration

Le carnet d’adresses Tangem permet d’enregistrer des destinataires fréquents pour les sélectionner rapidement. Une fois l’adresse vérifiée enregistrée, vous la choisissez par son libellé, jamais en copiant depuis l’historique. L’adresse vérifiée est toujours utilisée, peu importe ce qui apparaît dans l’onglet historique. L’envoi de transaction Tangem prend aussi en charge la saisie manuelle d’adresses et le scan QR comme alternatives à la copie depuis l’historique.

Hardware-Enforced Confirmation

Même si une adresse empoisonnée s’intégrait dans votre flux, le tap physique sur la carte reste le dernier contrôle humain. Vous voyez l’adresse dans l’app, vous vérifiez, vous validez. Aucune transaction ne s’exécute sans cette confirmation physique. Tangem Mobile Wallet intègre aussi la confirmation par appui long (depuis la version 5.35) pour éviter les taps accidentels.

One honest limitation : l’interface de l’app sert de couche de vérification. Lire l’adresse complète avant de tapoter n’est pas optionnel : c’est la protection.

Using Tangem to Avoid Address Poisoning

• Utilisez le carnet d’adresses Tangem pour tous vos destinataires réguliers.
• Avant de tapoter votre carte, lisez l’adresse complète affichée dans l’app, caractère par caractère.
• Si une adresse de l’historique ne correspond pas à celle de votre contact enregistré, arrêtez-vous et vérifiez avant de poursuivre.

Que faire après avoir envoyé des fonds à une adresse empoisonnée ?

La rapidité compte, mais il faut d’abord accepter une réalité importante.

Les transactions crypto confirmées sont irréversibles

Une fois confirmée, une transaction blockchain ne peut pas être annulée. Sur Bitcoin, la plupart des services considèrent qu’entre 3 et 6 confirmations suffisent, soit environ une heure avec un bloc toutes les 10 minutes. Sur Ethereum, le même nombre de confirmations arrive en quelques minutes, avec un bloc toutes les 12 secondes environ. Si votre transaction est déjà confirmée, les fonds sont techniquement perdus.

Cela dit, certaines démarches restent utiles.

Document the transaction hash immediately. Un TXID est public, permanent et unique pour chaque transfert sur une blockchain. Il enregistre le montant, l’expéditeur, le destinataire, les frais et le statut, sans exposer l’accès à votre wallet. Copiez-le depuis votre wallet ou un block explorer et conservez-le en lieu sûr. Partager un TXID est sans risque : c’est une donnée publique. Ce sont vos clés privées et votre seed phrase qui doivent rester secrètes.

Report to your exchange if the destination was an exchange address. C’est rare, car la plupart des attaquants utilisent des adresses non custodiales. Mais si l’adresse de réception appartient à un exchange connu, contactez immédiatement son équipe conformité ou abuse avec le hash de transaction, les horaires et toute information de compte utile.

File a report with your local cybercrime authority. Aux États-Unis, il s’agit du FBI (Internet Crime Complaint Center – IC3). Au Royaume-Uni, Action Fraud. Ces signalements aboutissent rarement à un remboursement direct, mais ils alimentent les bases de données d’enquête sur les campagnes d’attaques plus larges.

The honest answer : la récupération est extrêmement rare. La prévention est essentielle.

Le bon réflexe : toujours vérifier avant de valider

Les attaques d’address poisoning crypto ne nécessitent ni hacker sophistiqué ni victime négligente. Il suffit d’un instant d’inattention, à copier une adresse depuis l’historique au lieu d’une source vérifiée. La perte de 71 millions de WBTC en 2024 s’est produite ainsi. Plusieurs victimes ont perdu plus de 100 000 $ en copiant depuis l’historique. La solution est comportementale et structurelle : utilisez un carnet d’adresses, vérifiez l’adresse complète avant chaque transaction, traitez tout « dust » inattendu comme un signal d’alerte, et réalisez une transaction test avant d’envoyer de gros montants.

Le hardware wallet Tangem intègre ces protections dès la conception : un carnet d’adresses qui élimine la copie depuis l’historique, l’affichage complet de l’adresse avant chaque validation, et une confirmation physique qui impose une pause. Cela ne rend pas l’attaque impossible au niveau du protocole — rien ne le peut — mais supprime les habitudes sur lesquelles elle repose. Si vous cherchez un wallet qui structure vos réflexes autour de la vérification, plutôt que de compter sur votre mémoire, Tangem est conçu pour cela. Commandez-le sur tangem.com.