Exploitation des Approbations de Jetons : Comment les Escrocs Vident les Portefeuilles Web3

Tactiques courantes

• • Hameçonnage via des interfaces dApps trompeuses : Les escrocs créent de fausses applications décentralisées qui imitent des plateformes légitimes (OpenSea, Uniswap, Aave), mais redirigent les utilisateurs vers des contrats intelligents malveillants qui demandent des approbations de jetons au lieu d'exécuter la fonction annoncée.
• • Ingénierie sociale via Discord/Telegram : Les attaquants publient des liens contrefaits dans les serveurs communautaires Web3, prétendant offrir des drops NFT exclusifs, des airdrops de gouvernance ou des opportunités de yield farming nécessitant la connexion du portefeuille et l'approbation de jetons.
• • Extensions de navigateur de portefeuille compromises : Des extensions malveillantes pour Chrome ou Firefox se font passer pour MetaMask ou des outils de gestion de portefeuille, injectant des demandes d'approbation falsifiées dans les interactions légitimes avec les dApps sans que l'utilisateur ne s'en aperçoive.
• • Exploitation de la confusion des utilisateurs sur les mécanismes d'approbation : Les escrocs profitent du fait que la plupart des utilisateurs ne comprennent pas la différence entre l'approbation d'une transaction (signature d'une action unique) et l'approbation d'un jeton (octroi d'un accès illimité futur), en intégrant un langage technique crédible dans leurs demandes.
• • Campagnes de pêche à la rareté NFT : Les attaquants créent de fausses plateformes de trading NFT ou des launchpads proposant des collections rares, demandant aux utilisateurs d'approuver des jetons pour réclamer ou enchérir, puis vident immédiatement les portefeuilles après approbation.
• • Manipulation trompeuse de l'interface utilisateur/expérience utilisateur : Les dApps frauduleuses affichent des descriptions vagues de transactions (« Confirmer l’échange », « Activer le trading ») tout en cachant le montant réel de l'approbation, souvent en définissant une autorisation illimitée (type(uint256).max) dans le code.

Comment l'identifier

• On vous demande d'approuver un jeton spécifique alors que la dApp prétend offrir un service sans rapport (comme une frappe NFT demandant une approbation pour un jeton de gouvernance que vous ne possédez pas).
• La demande d'approbation affiche un montant d'autorisation anormalement élevé ou « illimité » (affiché comme un très grand nombre ou MAX dans les détails de la transaction).
• L'URL de la transaction ou le domaine de la dApp est légèrement mal orthographié par rapport à la version légitime (par exemple, « uniswapp.org » au lieu de « uniswap.org »).
• Vous recevez un écran de confirmation de transaction qui n'indique pas clairement ce que vous approuvez ou qui ne correspond pas à l'action que vous vouliez effectuer.
• Le solde de votre portefeuille diminue soudainement pour des jetons que vous n'avez pas explicitement transférés, souvent remarqué en consultant l'historique du portefeuille et en voyant des transactions que vous n'avez pas initiées.
• Une dApp ou un portefeuille légitime vous demande à plusieurs reprises de réapprouver le même jeton, ce qui ne devrait être nécessaire qu'une seule fois sauf si l'autorisation a été entièrement consommée.

Comment se protéger

• Vérifiez toujours les domaines des dApps en les tapant directement dans votre navigateur au lieu de cliquer sur des liens provenant des réseaux sociaux, Discord ou emails — utilisez un outil de vérification de domaine blockchain comme Revoke.cash pour double-vérifier les URLs.
• Utilisez un service de surveillance des approbations de jetons comme Revoke.cash ou l'onglet Approvals d'Etherscan pour auditer régulièrement toutes les approbations actives dans votre portefeuille et révoquer les permissions pour les services que vous n'utilisez plus.
• Approuvez uniquement le montant spécifique dont vous avez besoin pour une transaction unique plutôt qu'une autorisation illimitée ; la plupart des dApps légitimes permettent aux utilisateurs d'entrer des montants personnalisés d'approbation.
• Activez des outils de simulation de transaction comme Tenderly ou la fonction Simulation d'Etherscan avant de signer toute transaction pour voir exactement ce qui va se passer (quels jetons seront déplacés et où).
• Gardez les jetons que vous ne tradez pas activement dans des portefeuilles froids séparés (portefeuilles matériels comme Ledger ou Trezor) qui ne se connectent jamais aux dApps, isolant ainsi l'exposition des actifs de grande valeur.
• Pratiquez la stratégie du « portefeuille en couches » : utilisez un portefeuille avec de petites sommes pour l'interaction avec les dApps et les tests, et maintenez un portefeuille sécurisé séparé pour les avoirs à long terme, réduisant ainsi les pertes potentielles en cas de compromission d'une adresse.

Cas réels

Questions fréquentes

Où signaler — France

Canaux officiels de votre région pour signaler cette escroquerie.