La « poussière » toxique : comment on vole des millions par négligence

Vous ouvrez MetaMask, Rabby ou Etherscan et remarquez une activité inhabituelle : des montants infimes en USDT, USDC ou ETH sont versés sur votre portefeuille. Parfois, il s'agit de 0,01 $, parfois de 0,0001 $, et parfois même de 0 USDT. Or, les adresses des expéditeurs ressemblent de manière suspecte à celles avec lesquelles vous avez déjà effectué des transactions.

Dans certains cas, vous constatez même l’apparition de virements sortants que vous n’avez jamais signés.

La première pensée qui vient à l’esprit est que le portefeuille a été piraté. Mais souvent, la raison est tout autre : l’« Address Poisoning », ou « empoisonnement d’adresse ».

Il s’agit d’une arnaque dans laquelle des malfaiteurs insèrent de fausses adresses dans l’historique des transactions, en espérant que l’utilisateur finira par copier une adresse erronée et leur enverra lui-même de l’argent.

En 2026, ces attaques sont devenues massives et automatisées. On a recensé des cas de pertes s’élevant à des dizaines de millions de dollars à cause d’une seule erreur lors de la copie d’une adresse.

Qu’est-ce que l’« Address Poisoning » ?

L’« Address Poisoning » est une attaque visant à ébranler la confiance de l’utilisateur dans l’historique des transactions de son portefeuille cryptographique.

Imaginons que vous transfériez régulièrement des USDT entre deux de vos propres portefeuilles ou vers l’adresse de dépôt d’une bourse.

Vous vous souvenez déjà que l’adresse souhaitée commence par 0x6d90 et se termine par 2e48. Lorsque vous devrez refaire un virement, vous ouvrirez l'historique des transactions, trouverez l’adresse familière et la copierez.

C’est précisément ce sur quoi compte l’escroc.

Il crée sa propre adresse de crypto-monnaie dont les premiers et derniers caractères correspondent à ceux de l’adresse de votre véritable destinataire. Il vous envoie ensuite une quantité infime de crypto-monnaie ou crée un transfert de jetons nul ou falsifié.

L’adresse frauduleuse apparaît alors parmi vos transactions.

Le principal danger : l’argent ne disparaît pas au moment de la réception de la microtransaction. Le vol a lieu plus tard, lorsque l’utilisateur envoie lui-même des fonds vers la fausse adresse.

À quoi ressemble une adresse piégée : un exemple concret datant de 2026

Le 30 janvier 2026, une attaque a eu lieu sur Ethereum, à la suite de laquelle un utilisateur a envoyé 4 556 ETH à un pirate. La société d’analyse Bitquery a estimé le montant du transfert à environ 12,4 millions de dollars, sur la base du cours de l’ETH à la date de l’incident.

Les chercheurs ont identifié les adresses suivantes :

Véritable adresse du destinataire :
0x6d90cc8ce83b6d0acf634ed45d4bcc37eddd2e48

L'adresse du pirate :
0x6d9052b2df589de00324127fe2707eb34e592e48

Les deux adresses commencent par 0x6d90 et se terminent par 2e48.

Voyons à quoi elles ressemblent dans l’interface du portefeuille, qui tronque la partie centrale de l’adresse :

Sous ce format abrégé, les adresses sont visuellement identiques. Leurs parties centrales sont pourtant complètement différentes, mais l'utilisateur peut ne pas s'en rendre compte.

Avant le vol, le malfaiteur avait envoyé à plusieurs reprises des montants infimes en ETH vers le portefeuille de la victime. Le premier virement de ce type a été enregistré dès le 3 octobre 2025. Quelques mois plus tard, la victime a transféré 4 556 ETH vers une fausse adresse.

Pourquoi les escrocs choisissent-ils précisément les 4 ou 5 derniers caractères ?

Pour comprendre le mécanisme, il est important de savoir comment sont structurées les adresses Ethereum et celles des autres réseaux EVM.

Une adresse Ethereum se compose de 40 caractères hexadécimaux après le 0x. On utilise les chiffres de 0 à 9 et les lettres de a à f.

Chaque caractère peut prendre 16 valeurs différentes.

Un pirate ne peut pas modifier arbitrairement plusieurs caractères de son adresse tout en conservant la clé privée correspondante. Il génère donc en masse de nouvelles clés privées et de nouvelles adresses jusqu’à ce qu’il trouve la combinaison adéquate.

Ces adresses sont appelées « vanity addresses », c’est-à-dire des adresses dont la séquence de caractères a été choisie à l’avance.

La difficulté de la recherche augmente de manière exponentielle : chaque caractère hexadécimal supplémentaire qui correspond multiplie par 16 le nombre moyen de tentatives.

Ces valeurs correspondent aux espérances mathématiques pour des adresses uniformément réparties, dans le cadre d'une comparaison sans distinction de casse. Le temps réel de recherche dépend du matériel et de l'implémentation du générateur.

Il est important ici de distinguer deux situations.

La correspondance des 4 à 5 derniers caractères uniquement nécessite un nombre relativement faible de calculs. Trouver de telles adresses est assez simple.

La correspondance simultanée des 4 à 5 premiers et des 4 à 5 derniers caractères est nettement plus complexe : on parle alors de milliards, voire de billions de candidats. Cependant, grâce à l’utilisation de logiciels optimisés, de GPU et du calcul parallèle, de telles tâches restent techniquement réalisables.

Les fraudeurs n’ont pas besoin d’un double parfait. Il leur suffit que les parties de l’adresse affichées par le portefeuille ou vérifiées par l’utilisateur correspondent exactement.

C’est pourquoi 4 à 5 caractères à chaque extrémité constituent un compromis courant entre la charge de calcul et la ressemblance visuelle.

Ce sont précisément les interfaces qui masquent le milieu de l’adresse derrière des points de suspension qui rendent ces attaques efficaces.

Cela dit, la génération d’une adresse jumelle ne constitue pas une faille de la cryptographie d’Ethereum. La clé privée de la véritable adresse reste inconnue de l’attaquant.

Pourquoi envoyer 0,0001 $, 0 USDT et d’autres micro-sommes ?

L’objectif d’un micro-virement n’est pas de transférer une valeur, mais d’inscrire l’adresse souhaitée dans l’historique des transactions.

Techniquement, les fraudeurs utilisent plusieurs méthodes.

1. Les « dust transfers » (transferts de poussière)

Le pirate envoie effectivement une infime quantité d’ETH, d’USDT ou d’un autre token vers le portefeuille depuis une adresse similaire à la sienne.

L’adresse apparaît alors comme expéditeur de la transaction entrante.

La valeur des actifs envoyés peut être négligeable par rapport au gain potentiel. Le fraudeur paie néanmoins les frais de réseau requis.

Il est important de ne pas confondre les unités : 0,01 centime correspond à 0,0001 $, tandis que 0,01 $ équivaut à un centime. L’interface peut afficher un montant arrondi, de sorte que le montant réel du transfert peut être encore plus faible.

2. Transferts de valeur nulle

Dans certains contrats ERC-20, il est possible d’effectuer des appels transferFrom d’un montant nul sans autorisation formelle de dépenser des jetons.

Cela permet de créer un événement Transfer d’un montant de 0, qui peut ressembler à une opération effectuée sur le portefeuille de la victime.

Un tel transfert ne signifie pas en soi que le pirate a accédé à la clé privée ou qu’il a la possibilité de disposer des actifs.

3. Event spoofing — falsification d’événements

Les fraudeurs déploient leurs propres contrats de jetons et génèrent des événements Transferimitant des opérations réelles.

Par exemple, un faux token est créé avec le symbole USDT. Son contrat signale à la blockchain un transfert qui, en apparence, ressemble à une opération avec un véritable Tether.

Certaines interfaces peuvent l'afficher parmi les transactions de l'utilisateur si elles ne font pas la distinction avec suffisamment de précision entre les contrats de jetons authentiques et les faux.

Il en résulte l’apparition d’un transfert prétendument sortant que l’utilisateur n’a jamais signé.

C’est précisément pour cette raison qu’il est nécessaire de vérifier non seulement le nom du token, mais aussi l’adresse de son contrat, ainsi que l’initiateur de la transaction.

Pour en savoir plus : guide officiel d’Etherscan sur l’« Address Poisoning ».

Quelle ampleur auront pris ces attaques d’ici 2026 ?

L’« Address Poisoning » a depuis longtemps cessé d’être une technique manuelle rare.

Dans l’étude « Blockchain Address Poisoning », publiée lors de la conférence USENIX Security 2025, des chercheurs de l’université Carnegie Mellon et leurs coauteurs ont analysé Ethereum et la BNB Smart Chain sur la période allant du 1er juillet 2022 au 30 juin 2024.

Les chercheurs ont mis en évidence :

• Environ 270 millions de tentatives d’empoisonnement d’adresses.
• Plus de 17 millions d’adresses ayant fait l’objet d’attaques.
• 6 633 cas avérés de détournement de fonds.
• Des transferts effectués par les victimes pour un montant total d’au moins 83,8 millions de dollars.

Ce dernier montant ne peut pas être automatiquement considéré comme le préjudice définitif non indemnisé : une partie des virements a été restituée dans certains cas connus.

Source : USENIX Security 2025 — Blockchain Address Poisoning.

En mars 2026, Etherscan a publié des données supplémentaires sur la hausse de l’activité.

Au cours des 90 jours qui ont suivi la mise à jour Fusaka d’Ethereum, intervenue le 3 décembre 2025, le nombre de virements en USDT d’une valeur inférieure à 0,01 $ est passé de 4,2 millions à 29,9 millions par rapport aux 90 jours précédents.

Soit une hausse de 612 %.

Cela ne signifie pas pour autant que l’ensemble des 29,9 millions de transactions étaient frauduleuses : Etherscan précise clairement que tous les virements de faible montant ne constituent pas nécessairement une attaque. Cependant, les campagnes massives d’empoisonnement d’adresses contribuent à cette activité.

Par ailleurs, MetaMask a indiqué en juin 2026 que son partenaire Blockaid avait signalé 65,4 millions de transactions comme relevant de l’« address poisoning » sur la période allant de janvier 2025 à février 2026.

Il s’agit du nombre de détections par le système, et non du nombre de vols réussis.

Cas concrets : comment des utilisateurs ont perdu des millions de dollars

Mai 2024 — environ 68 à 71 millions de dollars en WBTC

Le 3 mai 2024, un utilisateur d’Ethereum a envoyé 1 155 WBTC à l’adresse d’un pirate qui imitait une adresse déjà utilisée.

Au moment de la transaction initiale, la valeur des actifs était estimée à environ 68 millions de dollars. D’autres publications font état d’un montant d’environ 71 millions de dollars en raison d’une réévaluation des actifs.

Chainalysis a reconstitué la séquence des opérations et confirmé le mécanisme de « poisoning » de l’adresse.

À l’issue de négociations publiques, le pirate a restitué la majeure partie de la somme à la victime.

Détail important : bien que ce virement important ait pu être récupéré, Chainalysis a estimé le bénéfice tiré par le cybercriminel de cette campagne plus large à environ 1,49 million de dollars, même en tenant compte du remboursement versé à la victime principale.

Source : Chainalysis — Anatomy of an Address Poisoning Scam .

Décembre 2025 — près de 50 millions de dollars en USDT

Le 20 décembre 2025 a eu lieu l’un des incidents les plus révélateurs.

Un utilisateur prévoyait de transférer une somme importante en USDT entre ses propres portefeuilles.

Il a d’abord effectué un virement test de 50 USDT vers la véritable adresse. Ensuite, le système automatisé du cybercriminel a généré une adresse jumeau, dont les cinq premiers et les quatre derniers caractères correspondaient à ceux de l’adresse du destinataire.

Cette fausse adresse a été introduite dans l'historique des transactions à l'aide de petits virements.

Environ 26 minutes après le test, l’utilisateur a envoyé 49 999 950 USDT vers l’adresse frauduleuse.

Selon les données de The Block et SlowMist, le pirate a rapidement échangé les USDT contre du DAI, puis contre de l’ETH. Une partie importante des actifs a été transférée via Tornado Cash.

La victime a proposé une récompense d’un million de dollars pour le remboursement du montant principal. Dans une publication vérifiée, l’offre de récompense a été confirmée, mais aucun remboursement n’a été constaté dans ce cas précis.

Cet épisode met en évidence un autre problème : le transfert test protège contre certaines erreurs, mais ne garantit pas la sécurité si, après le test, l’utilisateur recopie l’adresse à partir de l’historique déjà compromis.

Source : The Block, 20 décembre 2025.

Janvier 2026 — 4 556 ETH, soit environ 12,4 millions de dollars

Le 30 janvier 2026, une attaque a visé un portefeuille qui avait déjà effectué à plusieurs reprises des transferts d’ETH vers le même contrepartie.

L’adresse frauduleuse correspondait à la véritable adresse au niveau des quatre premiers et des quatre derniers caractères.

Le pirate avait commencé à envoyer des transferts symboliques dès octobre 2025. Après un énième transfert de ce type en janvier 2026, l’utilisateur a transféré 4 556 ETH à un destinataire frauduleux.

Environ 33 minutes plus tard, les fonds ont été transférés vers une autre adresse.

Bitquery a publié les adresses des participants et les hachages des transactions correspondantes, ce qui permet d’étudier de manière indépendante la chaîne des opérations.

Source : Bitquery, analyse d’août 2026.

Août 2026 — environ 39 890 $ après un faux virement test

L’analyse publiée par Bitquery mentionne également un épisode survenu le 9 août 2026.

Un utilisateur a effectué un virement test d’un montant de 115,147641 USDT.

Au bout de 12 secondes, le contrat frauduleux a généré un événement factice imitant un virement vers une adresse jumeau.

Environ 13 minutes plus tard, l’utilisateur a envoyé environ 39 890 USDT à cette fausse adresse.

Ce cas est particulièrement révélateur : l’attaque peut reproduire non seulement l’apparence de l’adresse, mais aussi le montant de la transaction qui vient d’être effectuée.

Source : Bitquery — Address Poisoning on Ethereum .

Quels sont les moyens de protection disponibles en 2026 ?

Ces dernières années, des mécanismes de protection ont vu le jour non seulement dans les outils d’analyse de la blockchain, mais aussi directement dans les portefeuilles des utilisateurs.

1. Balises publiques d’Etherscan — « Poisoning Address »

Etherscan marque une partie des adresses frauduleuses identifiées à l’aide de balises publiques spécifiques.

Les indications suivantes peuvent apparaître sur la page d’un portefeuille suspect :

• Poisoning Address
• Fake_Phishing...
• Phish / Hack

Pour certaines adresses, Etherscan affiche également un avertissement indiquant leur implication dans des attaques de « poisoning d'adresses ».

Par exemple, cette adresse sur Etherscan a été signalée comme étant utilisée par un pirate pour un « address poisoning ».

Ces balises publiques apparaissent sans qu’il soit nécessaire de créer manuellement une balise personnalisée. Etherscan confirme qu’il signale activement les adresses frauduleuses et les jetons contrefaits.

Cependant, l’absence de balise ne garantit pas la sécurité. De nouvelles adresses peuvent apparaître avant que le système n’ait le temps de les identifier. Les avertissements publics constituent un indicateur supplémentaire, et non une garantie de protection.

2. Masquage des transferts nuls et des jetons suspects sur Etherscan

Etherscan masque par défaut les transferts de tokens d’un montant nul et utilise des mécanismes de filtrage des transactions impliquant des tokens à faible réputation.

L’utilisateur peut également utiliser une liste de jetons à ignorer (Token Ignore List).

De ce fait, une partie des opérations frauduleuses ne vient plus encombrer l’interface.

Cela réduit le risque de copier une adresse par erreur, mais n’efface pas les enregistrements de la blockchain.

3. Address Highlight et les balises personnalisées d’Etherscan

La fonction « Address Highlight » permet de mettre en évidence visuellement les adresses identiques dans l’interface de l’explorateur.

Elle peut être activée via Site Settingssi elle est désactivée.

De plus, Etherscan prend en charge les « Private Name Tags », c'est-à-dire les étiquettes personnalisées pour les adresses.

Par exemple, vous pouvez attribuer à un destinataire vérifié une étiquette telle que « Mon portefeuille pour USDT » ou « Bourse — adresse de dépôt ».

Ces étiquettes sont disponibles dans un compte Etherscan authentifié et permettent de distinguer les adresses connues de leurs doublons aléatoires.

Important : une étiquette personnelle ne remplace pas la vérification initiale de l’adresse. Elle ne doit être attribuée qu’après confirmation du destinataire correct.

4. Détection automatique de l’« Address Poisoning » dans MetaMask

Le 17 juin 2026, MetaMask a annoncé la mise en place de la détection de l’« Address Poisoning ».

Ce mécanisme compare l’adresse que l’utilisateur saisit avant l’envoi avec les adresses utilisées précédemment.

Si l’adresse semble familière — par exemple, si les premiers et derniers caractères correspondent, mais que le milieu est différent —, le portefeuille affiche un avertissement avant d’exécuter l’opération.

Un avertissement distinct s'affiche également en cas d'envoi vers une adresse n'ayant jamais été utilisée auparavant.

Selon MetaMask, au moment de son lancement, cette fonctionnalité était disponible dans l’application mobile et l’extension de navigateur pour les réseaux EVM.

Ces nouveaux avertissements ne rendent pas les envois erronés techniquement impossibles : l’utilisateur conserve la possibilité de confirmer lui-même la transaction.

Source officielle : MetaMask — Address Poisoning Detection, juin 2026.

5. Carnet d’adresses et listes de destinataires de confiance

La méthode d'organisation la plus fiable pour les transferts réguliers consiste à enregistrer à l'avance des adresses vérifiées.

Par exemple, dans MetaMask, vous pouvez utiliser la section Contacts. D’autres portefeuilles et services proposent des fonctionnalités similaires de carnets d’adresses ou de destinataires de confiance.

Le principe est simple : l’adresse du destinataire est ajoutée une seule fois après vérification auprès d’une source fiable, et les virements suivants sont effectués précisément vers l’adresse enregistrée, et non vers celle figurant dans l’historique des transactions entrantes.

Pour les opérations d’entreprise, des mesures supplémentaires s’avèrent utiles : adresses autorisées, confirmation distincte de tout nouveau destinataire et autorisation multipartite pour les paiements importants.

6. Vérification complète de l’adresse, y compris sur un portefeuille matériel

Un portefeuille matériel protège la clé privée, mais ne garantit pas à lui seul une protection contre l’« address poisoning ».

Si l’utilisateur confirme un transfert vers une adresse erronée, le dispositif matériel signera de bonne foi cette opération.

C’est pourquoi, avant de valider, il est nécessaire de vérifier l’adresse du destinataire auprès d’une source indépendante et fiable, y compris sa partie centrale.

Pour les montants importants, il est particulièrement important de s’assurer que l’adresse est validée à la fois par l’interface d’envoi et par le dispositif de signature.

Que faire si des transactions suspectes ont déjà été reçues sur le portefeuille ?

Le simple fait de recevoir un virement fantôme ne constitue pas encore une preuve de piratage.

Si vous remarquez une transaction suspecte :

1. Ne copiez pas l’adresse de l’expéditeur. Même si elle correspond à une adresse précédemment utilisée sur plusieurs caractères.
2. Vérifiez la transaction dans un explorateur de blockchain. Prêtez attention au contrat de jeton, au montant, à l’initiateur réel de la transaction et aux indicateurs de risque.
3. N’interagissez pas avec des tokens inconnus. Ne cliquez pas sur les liens vers les sites qu’ils promouvent et ne validez pas les transactions proposées.
4. Utilisez les filtres de votre portefeuille et d’Etherscan. Les jetons suspects et les transferts d’un montant nul peuvent être masqués dans l’interface.
5. Avant d'effectuer un envoi, n'utilisez qu'une adresse vérifiée. Ne vous fiez pas aux dernières entrées de l'historique ni aux abréviations.
6. Si l’argent a déjà été envoyé à l’escroc, conservez le hachage de la transaction et les adresses. Contactez immédiatement le service utilisé, l’émetteur du token si une telle procédure existe, ainsi que les forces de l’ordre. Le remboursement n’est pas garanti.

Il n’est toutefois pas nécessaire de changer automatiquement votre phrase de récupération, de transférer tous vos actifs vers un nouveau portefeuille ou de révoquer toutes vos autorisations uniquement en raison d’une micro-transaction entrante.

Mais si la vérification révèle de véritables transactions sortantes non autorisées, il s'agit déjà d'un signe distinct d'une éventuelle compromission et cela nécessite une évaluation immédiate de la sécurité du portefeuille.

Est-il possible de se prémunir totalement contre de telles attaques ?

Il est généralement impossible d’empêcher totalement des tiers d’envoyer des virements vers une adresse publique de la blockchain.

Tout participant au réseau peut vous envoyer des actifs. Dans certains cas, il peut également créer un événement de jeton affectant l’affichage de votre adresse dans le navigateur.

C’est pourquoi l’objectif principal des systèmes de protection n’est pas nécessairement d’empêcher l’apparition de transactions indésirables sur la blockchain, mais d’empêcher qu’elles ne soient utilisées comme source d’adresses de confiance.

D’ici 2026, la protection la plus efficace s’appuiera sur plusieurs niveaux : le filtrage des opérations suspectes, le marquage des adresses frauduleuses, la détection des doublons au moment de l’envoi et l’utilisation de carnets d’adresses préalablement vérifiés.

Conclusion

Les virements étranges de 0,01 $, 0,0001 $ ou 0 USDT peuvent s’inscrire dans le cadre d’une attaque à grande échelle de type « Address Poisoning ».

Les fraudeurs n’ont pas nécessairement besoin de pirater un portefeuille, d’obtenir une clé privée ou d’exploiter une vulnérabilité d’un contrat intelligent.

Dans certains cas, il suffit de générer une adresse similaire, d’envoyer un montant minime et d’attendre que l’utilisateur la copie depuis l’historique des transactions.

La concordance des quatre ou cinq derniers caractères ne constitue pas une preuve de l’authenticité de l’adresse. Même la concordance de quelques caractères aux deux extrémités peut résulter d’une recherche ciblée.

Règle de sécurité fondamentale en 2026 : l’historique des transactions est un journal d’événements, et non un carnet d’adresses fiable.

Vérifiez l’adresse complète du destinataire, utilisez les alertes de sécurité de MetaMask et les balises d’Etherscan, et pour les transferts récurrents, conservez les adresses dans une liste de contacts préalablement vérifiée.

Une seule différence inaperçue au milieu d’une adresse peut coûter bien plus cher que toutes les microtransactions avec lesquelles les escrocs remplissent votre portefeuille.