MSTR Cat

Droit crypto/Niveau IV · Les pièges des détenteurs/4.2 Les arnaques vues par le droit/Leçon 3

Wallet drainers et arnaques par approbation

Comment une signature accordée à un site web peut permettre à un tiers de vider votre portefeuille, ce que les normes des jetons autorisent réellement, et où en est le droit lorsque le consentement a été obtenu par tromperie.

Ceci est une ressource éducative et non un conseil juridique, fiscal ou en investissement. Le droit des crypto-actifs varie d'un pays à l'autre et d'un État à l'autre, et évolue souvent. Avant d'agir, vérifiez les règles en vigueur là où vous vivez auprès d'un avocat ou d'un conseiller fiscal qualifié.

La voie la plus légère

La voie la moins chère, la moins imposée, la plus simple et la plus discrète que permet la loi, de la meilleure à la moins bonne. Chaque étape indique la règle sur laquelle elle repose et la condition qui la maintient dans la légalité.

  1. Première ligne de défense gratuite : lisez chaque demande de signature, rejetez les approbations illimitées et les signatures permit sur les sites accédés par message, publicité ou airdrop ; les approbations ERC-20 et les permits ERC-2612 restent utilisables jusqu'à épuisement, révocation ou expiration.
  2. Révoquez les approbations obsolètes à l'aide du vérificateur d'approbations de jetons d'un explorateur de blocs, comme le recommande le FBI ; chaque révocation ne coûte que des frais de réseau et ne peut pas annuler un vol antérieur.
  3. Conservez la plupart de vos actifs dans un portefeuille séparé qui ne se connecte jamais à des sites web et utilisez un portefeuille à faible solde pour les applications ; les transferts entre vos propres portefeuilles ne sont pas imposables aux États-Unis, mais conservez les relevés du prix d'acquisition pour chacun.
  4. Après une vidange, enregistrez les hachages et signalez gratuitement sur ic3.gov immédiatement, car les fonds atteignant une plateforme d'échange ou un stablecoin gelable peuvent parfois être gelés ; si vous avez saisi votre phrase de récupération dans un site, cela signifie que tout doit être transféré vers un nouveau portefeuille.

MatérielLe texte de la norme des jetons ERC-20, sections sur approve et transferFrom (eips.ethereum.org)ERC-2612, l'extension « permit » qui permet d'accorder des approbations par un message signéCommuniqué de service public du FBI I-072122-PSA (21 juillet 2022) sur les arnaques de liquidité minéeUn vérificateur d'approbations de jetons d'un explorateur de blocs, utilisé pour consulter les approbations associées à votre propre adresse

Curiosité

  1. Comment quelqu'un peut-il vider mon portefeuille si je n'ai jamais communiqué ma phrase de récupération ?
  2. À quoi exactement consentis-je lorsqu'un site web me demande de me connecter ou de signer ?
  3. Si j'ai cliqué sur « approuver » moi-même, est-ce encore du vol aux yeux de la loi ?

Explorer

  1. Un wallet drainer est un site web, une application ou un smart contract malveillant qui amène le propriétaire d'un portefeuille à signer quelque chose permettant à l'attaquant de transférer les actifs du propriétaire. Contrairement à une phrase de récupération volée (leçon 4.1.5), c'est la signature même du propriétaire qui fait le travail, si bien que le portefeuille considère le vol comme autorisé. Connecter un portefeuille à un site ne partage normalement que votre adresse publique ; le danger réside dans les demandes d'approbation ou de signature qui suivent. Les wallet drainers arrivent par le biais de faux airdrops, de fausses pages de mint, de sites imitateurs, de publicités dans les moteurs de recherche et de faux messages « support » (leçon 4.2.4). Étant donné que le résultat est un transfert ordinaire sur la blockchain, aucun opérateur ne peut l'inverser (leçon 1.1.6).
  2. La mécanique découle des normes des jetons. La plupart des jetons sur Ethereum et les chaînes similaires suivent ERC-20. Sa fonction approve permet à un « spender » de retirer de votre compte « plusieurs fois, jusqu'à » un montant que vous fixez, et transferFrom est la manière dont le spender transfère ensuite les jetons. Les plateformes d'échange décentralisées et autres applications utilisent des approbations pour des raisons légitimes, et de nombreuses interfaces demandent un montant très élevé ou « illimité » par commodité. Une approbation reste en vigueur jusqu'à ce qu'elle soit épuisée ou modifiée. Ainsi, une approbation accordée à un contrat malveillant peut être utilisée des jours ou des mois plus tard pour s'emparer de tous les jetons de ce type, y compris ceux reçus après votre signature.
  3. Deux fonctionnalités plus récentes élargissent le risque. ERC-2612, une norme Ethereum définitive, ajoute une fonction permit qui établit une approbation par un message signé plutôt que par une transaction sur la chaîne ; quiconque détient la signature peut la soumettre avant son échéance. Une fenêtre pop-up qui semble indiquer « signer pour se connecter » ou « signer pour réclamer » peut donc être un permit, sans frais et sans transaction pour vous alerter. Pour les NFT, la fonction setApprovalForAll de la norme ERC-721 permet à un « opérateur » de gérer l'ensemble des jetons d'un propriétaire dans une collection. Certains wallet drainers passent outre les approbations et demandent la phrase de récupération sur un faux formulaire, ce qui remet le portefeuille entier entre leurs mains.
  4. Le FBI a documenté ces schémas. Son alerte de juillet 2022 sur les arnaques de « liquidité minée » (liquidity mining) décrivait des victimes à qui l'on promettait un rendement garanti de 1 à 3 % par jour, qui ont connecté leurs portefeuilles et accepté une fenêtre pop-up conçue pour imiter l'interface du portefeuille, autorisant ainsi inconsciemment les arnaqueurs à prélever un montant illimité ; elle recensait plus de 70 millions de dollars de pertes depuis janvier 2019. Une alerte de juin 2025 décrivait des « airdrops » NFT sur le réseau Hedera dont les liens de notes menaient à des sites demandant des phrases de récupération. Les deux alertes considèrent le résultat comme un vol, et le FBI recommande d'utiliser périodiquement un vérificateur d'approbations de jetons tiers.
  5. En droit américain, l'autorisation obtenue par tromperie n'est pas un consentement réel. Un schéma visant à obtenir des biens par de faux prétextes en utilisant Internet constitue une fraude télégraphique (wire fraud) au titre du 18 U.S.C. §1343, passible d'une peine allant jusqu'à 20 ans de prison, et les lois sur le vol des États couvrent généralement les biens obtenus par tromperie. Pouvoir intenter une action en justice ou poursuivre est une chose distincte du recouvrement des actifs, car les opérateurs de wallet drainers sont souvent anonymes et situés à l'étranger. S'agissant de l'imposition, la Note de conseil principal du IRS 202511015 a traité les pertes résultant du phishing et des comptes piratés détenus à des fins d'investissement comme des pertes déductibles pour vol ; elle concernait des comptes bancaires et de retraite, si bien que son application à un portefeuille vidé dépend des faits.
  6. Vérifications pratiques : lisez ce qu'une demande de signature autorise réellement, y compris l'adresse du spender et le montant ; considérez toute demande sur un site auquel vous avez accédé par message, publicité ou airdrop comme suspecte ; et examinez puis révoquez les anciennes approbations à l'aide d'un vérificateur. La révocation est elle-même une transaction qui coûte des frais de réseau, et elle ne peut pas annuler un vol déjà survenu. Si vous avez saisi votre phrase de récupération dans un site web, la révocation des approbations ne suffit pas, car le portefeuille entier est exposé. Après une vidange, enregistrez les hachages de transactions et les adresses et signalez immédiatement (leçon 4.2.7), car les fonds qui atteignent une plateforme d'échange ou un stablecoin gelable peuvent parfois être gelés.

Faits clés

  • Selon la norme ERC-20, approve permet à un spender de retirer plusieurs fois d'un compte, jusqu'au montant approuvé.
  • La fonction transferFrom de l'ERC-20 permet à un spender approuvé de transférer des jetons au nom du propriétaire.
  • ERC-2612 ajoute une fonction permit qui modifie les autorisations de jetons à l'aide d'un message signé plutôt que d'une transaction sur la chaîne envoyée par le propriétaire.
  • La fonction setApprovalForAll de l'ERC-721 autorise un opérateur à gérer tous les NFT du propriétaire dans ce contrat.
  • L'alerte du FBI I-072122-PSA a signalé plus de 70 millions de dollars de pertes depuis janvier 2019 dues à des arnaques de liquidité minée utilisant les autorisations du portefeuille.
  • La fraude télégraphique au titre du 18 U.S.C. §1343 est passible d'une peine allant jusqu'à 20 ans de prison, ou jusqu'à 30 ans si elle affecte une institution financière.

Exercice neuf, six, trois, un

9RassemblerÉnumérez jusqu'à 9 types d'invitations ou de demandes de portefeuille auxquelles vous avez été confrontés, tels que connecter, approuver, permit, définir une approbation pour tout (set approval for all), signer un message, saisir une phrase de récupération, ou réclamer un airdrop.
6RegrouperClassez-les en 6 catégories : partage d'une adresse, approbations de jetons, messages signés, approbations d'opérateurs NFT, transferts directs et demandes de clés secrètes ou de phrases de récupération.
3DistillerRéduisez ces 6 catégories à 3 niveaux de risque : inoffensif en soi, risqué si le site est malveillant, et jamais sûr à accorder à un quelconque site web.
1CristalliserRédigez une phrase décrivant ce que vous aimeriez savoir avant de signer toute demande d'approbation dans un portefeuille.

Vérification des faits

Les dates, les chiffres et les affirmations ont été vérifiés à l’aide des sources publiées listées ci-dessous.

Ouvrir dans l'académie interactive →

EN PT ES ZH JA KO RU DE MS