Dans cet article · 6 sections
L'empoisonnement d'adresse ne pirate rien. L'attaquant envoie un transfert minuscule, voire nul, vers votre portefeuille depuis une adresse qui commence et finit comme une adresse que vous utilisez : elle s'installe dans votre historique et paraît familière. La prochaine fois que vous copiez « votre » adresse dans cet historique, vous copiez la sienne. La baisse des frais sur Ethereum depuis la mise à jour Fusaka du 3 décembre 2025 a rendu l'opération presque gratuite à grande échelle : Blockaid a compté 628 000 tentatives en novembre 2025 et 3,4 millions en janvier 2026. La parade est une habitude, et elle prend 30 secondes.
La réponse courte
Ne copiez jamais une adresse depuis votre historique de transactions. Utilisez un contact enregistré ou l'adresse affichée par le portefeuille destinataire lui-même, comparez la chaîne entière et pas seulement les premiers et derniers caractères, et pour un gros montant, faites un envoi test confirmé par un autre canal. Les attaquants surveillent les envois tests : recopiez l'adresse depuis la source fiable pour le transfert principal aussi.
Pourquoi l'arnaque a explosé après Fusaka
Chaque tentative est une transaction, donc un coût. Selon Blockaid, la mise à jour Fusaka d'Ethereum, en service depuis le 3 décembre 2025, a divisé le coût des transactions par environ six, supprimant le principal frein aux campagnes de masse. Blockaid a recensé 628 000 tentatives en novembre 2025 et 3,4 millions en janvier 2026, soit 5,5 fois plus en deux mois, et environ 316 000 cas confirmés où une victime a envoyé des fonds depuis janvier 2025, soit une tentative sur 200 environ.
Ce sont les chiffres d'un éditeur de sécurité. La référence universitaire indépendante, plus ancienne, va dans le même sens : une étude de Carnegie Mellon présentée à USENIX Security a relevé plus de 270 millions de tentatives visant plus de 17 millions de victimes sur Ethereum et BNB Chain entre juillet 2022 et juin 2024, avec 6 633 transferts réussis pour plus de 83,8 millions de dollars.
Sources : Blockaid, 9 mars 2026 · Carnegie Mellon CyLab, 7 janvier 2026 · « Blockchain Address Poisoning » (arXiv)
Recevez la checklist sécurité des plateformes
Et une alerte quand une grande plateforme change de statut (agrément MiCA, preuve de réserves, incident de sécurité). Pas de spam, désinscription en un clic.
Nous conservons uniquement votre e-mail pour vous envoyer la checklist et les alertes. Voir notre politique de confidentialité (en anglais).
Deux cas réels
Décembre 2025 : un trader envoie 50 dollars d'USDT en test. L'attaquant le voit, place une adresse ressemblante, et le trader envoie ensuite 49 999 950 USDT à l'adresse empoisonnée. Les fonds ont été blanchis dans l'heure.
30 janvier 2026 : un détenteur perd 4 556 ETH, environ 12,4 millions de dollars à l'époque, après que l'attaquant a « arrosé » son portefeuille depuis décembre. La patience fait partie de la méthode.
Sources : Cointelegraph (cas des 50 M$ en USDT) · Blockaid (les deux cas)
La vérification de 30 secondes avant tout envoi
À faire à chaque fois, pas seulement pour les gros montants.
- Copiez l'adresse depuis un contact enregistré et nommé, ou depuis l'écran « recevoir » du portefeuille destinataire, jamais depuis l'historique
- Comparez l'adresse entière, milieu compris, ou vérifiez-la caractère par caractère sur l'écran du portefeuille matériel
- Pour un gros montant, faites un envoi test et confirmez sa réception avec le destinataire par un autre canal
- Recopiez l'adresse depuis la source fiable pour le transfert principal ; ne réutilisez pas la ligne du test
- Masquez les transferts nuls et les jetons inconnus dans les réglages du portefeuille
Si vous avez déjà envoyé des fonds
Agissez vite mais avec méthode. Notez l'identifiant de la transaction et les deux adresses. S'il s'agit d'un stablecoin (USDT, USDC), contactez immédiatement l'émetteur et la plateforme d'envoi : un émetteur peut geler des jetons dans certains cas. Portez plainte et signalez les faits sur PHAROS. Attendez-vous à être contacté par de prétendus « experts en récupération » : ne les payez pas.
Réponses rapides
L'empoisonnement d'adresse peut-il vider mon portefeuille sans action de ma part ?
Non. Il ne fonctionne que si vous copiez l'adresse de l'attaquant et y envoyez vous-même des fonds. Le transfert « poussière » ne touche ni vos clés ni vos fonds.
Faut-il interagir avec la transaction suspecte ?
Non. Ne la renvoyez pas et n'utilisez pas d'application inconnue pour la « nettoyer ». Masquez-la et continuez de copier les adresses depuis vos contacts enregistrés.
Un portefeuille matériel me protège-t-il ?
Seulement si vous lisez l'adresse complète sur son écran avant de valider : l'appareil signe l'adresse que vous lui donnez.
Comment fonctionne l'attaque
Les variantes imitent par exemple de faux transferts d'USDT. Le principe reste le même : polluer l'endroit où vous copiez.