4224 contrats frauduleux volent 3,48 M$ par simulation de gains

3,48 millions de dollars ont été détournés par 4 224 contrats intelligents malveillants qui ont piégé 5 742 adresses de portefeuilles, selon une étude non évaluée par les pairs publiée le 30 juillet sur arXiv. Les pirates affichent un faux gain lors de la simulation de transaction avant de siphonner l’intégralité du dépôt lors de l’exécution réelle. Cette technique de phishing sophistiquée contourne les outils de prévisualisation intégrés aux wallets les plus courants.

L’étude, menée sur Ethereum, BNB Smart Chain, Avalanche et Polygon, a permis de développer SimGuard, un détecteur capable d’identifier cette nouvelle famille de contrats piégés. Le préjudice, bien que modeste à l’échelle du secteur, révèle une faille systémique dans la confiance accordée aux simulations.

Au programme

• 4 224 contrats malveillants ont siphonné 5 742 victimes en affichant un micro-gain lors de la simulation (arXiv, 30 juillet 2026).
• 3,48 M$ de pertes, concentrées à 91,5 % sur Ethereum, avec un seul groupe d’attaquants responsable de 83 % du butin.
• 6 223 transactions exploitées via des horodatages ou des limites de gas truqués, rendant les previews de portefeuille inefficaces.

Comment ces contrats affichent-ils un gain avant de voler les fonds ?

La mécanique repose sur une bifurcation conditionnelle. Pendant la simulation, le contrat exécute une branche qui renvoie le dépôt initial augmenté d’un micro-gain, parfois seulement 1 wei d’ETH. L’interface du wallet affiche alors une transaction profitable. Mais lors de l’exécution on-chain, le code bascule vers une autre instruction qui transfère la totalité du dépôt vers une adresse pirate. Ce basculement s’appuie sur des changements d’horodatage, de limite de gas ou de stockage on-chain entre la simulation et le bloc réel.

L’étude détaille que 91,5 % des pertes se concentrent sur Ethereum, réseau où les frais de gas élevés rendent les utilisateurs plus enclins à valider rapidement sans vérifier. Un seul cluster d’adresses d’attaquants est responsable de 83 % du butin sur les 4 chaînes, et 6 223 transactions malveillantes ont été comptabilisées. Les chercheurs précisent que le total de 3,48 M$ constitue une estimation haute, certains flux de test ayant pu être classés à tort comme des victimes.

« Les branches conditionnelles produisent un résultat lors du contrôle en amont, et un autre lorsque la transaction est exécutée on-chain. », extrait de l’étude, arXiv, 30 juillet 2026

Pourquoi les portefeuilles ne détectent-ils pas ces contrats piégés ?

Deux types de leurres sont documentés. Le premier joue sur l’horodatage : la simulation renvoie le dépôt avec un bonus, mais le bloc suivant autorise l’envoi vers une adresse externe. Le second mise sur une incohérence de limite de gas entre le simulateur et l’exécution finale, sans même modifier l’état on-chain. Les auteurs ont testé un wallet récent : l’interface affichait une plus-value minuscule sans jamais indiquer clairement le montant total sortant.

L’étude ne divulgue pas la liste des logiciels testés. MetaMask prévient déjà que ses estimations de solde sont des « prédictions » sans garantie. Ce n’est pas un bug logiciel, mais un angle mort conceptuel entre le bac à sable de la simulation et la réalité du mempool. La sophistication de ces attaques rappelle les failles documentées par LayerZero lors du hack de 292 M$ en mai 2026, où un message cross-chain falsifié avait contourné les garde-fous.

Un phénomène qui dépasse le cadre des hot wallets

Ce problème ne se limite pas aux wallets logiciels. Le portefeuille matériel Coldcard a récemment été compromis, entraînant le vol de plus de 83 millions de dollars en bitcoins. Jameson Lopp, cofondateur de Casa, a souligné que « même un outil réputé sûr peut contenir une faille indétectable pour 99,9 % des utilisateurs ». Les deux incidents soulignent une constante : la complexité du code rend la vérification manuelle impossible pour la quasi-totalité des détenteurs.

Cette course aux armements entre simulateurs et pirates s’inscrit dans une tendance plus large. En Corée du Sud, une arnaque au staking XRP a récemment coûté 19 M$ à des investisseurs. L’étude SimGuard illustre la maturation des techniques : des attaquants qui ne cassent plus les smart contracts, mais exploitent le gouffre entre ce que l’utilisateur voit et ce que la blockchain exécute.

À retenir

L’étude SimGuard documente une menace qui a déjà fait 5 742 victimes en exploitant l’écart entre simulation et exécution on-chain. Les 3,48 M$ subtilisés, modestes comparés aux grands piratages, révèlent une brèche systémique plus qu’un incident isolé. Ethereum concentre 91,5 % des pertes : sa dominance sert aussi de terrain d’expérimentation aux pirates. La recommandation des chercheurs est claire : relancer la simulation dès que le stockage, le gas ou le numéro de bloc change. Si cette pratique devenait un standard, ces contrats perdraient rapidement leur efficacité. En attendant, la vérification manuelle reste le seul garde-fou fiable pour les transactions importantes, comme le rappelle l’épisode Coldcard sur le blanchiment de 100 M$ qui a conduit à une peine de 5 ans de prison.

Questions fréquentes

Comment ces contrats de simulation truquée fonctionnent-ils exactement ?

Ces contrats contiennent des branches conditionnelles qui affichent un micro-gain (parfois 1 wei) pendant la simulation, puis exécutent un transfert complet du dépôt vers une adresse pirate lors de la transaction réelle. La bifurcation exploite des changements d’horodatage, de limite de gas ou d’état du stockage blockchain.

Quelles blockchains sont les plus touchées par cette menace ?

Ethereum concentre 91,5 % des 3,48 M$ de pertes documentées, suivi par BNB Smart Chain, Avalanche et Polygon. Les chercheurs ont analysé 6 223 transactions malveillantes réparties sur ces 4 chaînes, avec un seul cluster d’attaquants contrôlant 83 % du butin total.

Comment peut-on se protéger contre ces attaques de phishing ?

Relancez la simulation avant validation si le stockage, le gas ou le numéro de bloc changent. Ne vous fiez jamais aveuglément aux previews de wallet : MetaMask lui-même décrit ses estimations comme de simples prédictions sans garantie. Pour les montants importants, une vérification manuelle du contrat cible reste indispensable.