Arnaque au poison : une victime perd 100 000 dollars en USDT

Un utilisateur a perdu environ 100 000 dollars en USDT dans une attaque d’address poisoning, selon une alerte émise le 12 août 2026 par GoPlus Security. L’attaquant a exploité un mécanisme désormais entièrement automatisé : envoi massif de micro-transactions depuis une adresse à l’identifiant visuel similaire, puis attente que la victime copie-colle par erreur cette adresse falsifiée lors d’un prochain transfert. L’adresse ciblée n’avait plus émis la moindre transaction depuis 69 jours lorsque les transferts frauduleux ont commencé.

Au programme :

• 100 000 dollars siphonnés par un simple copier-coller depuis un historique de transactions empoisonné
• Plus de 400 micro-transactions frauduleuses en 69 jours, entièrement orchestrées par des bots
• Un piège automatisé qui rappelle comment Europol a démantelé un réseau similaire pesant plusieurs centaines de millions d’euros

Comment l’attaque d’address poisoning a-t-elle siphonné 100 000 dollars ?

L’address poisoning exploite une faille comportementale : peu d’utilisateurs vérifient l’intégralité des 42 caractères d’une adresse Ethereum avant validation. L’attaquant génère une adresse avec un suffixe identique de 6 à 8 caractères aux deux extrémités, puis déclenche des vagues de micro-transactions : parfois 400 en quelques semaines : pour polluer l’historique du wallet cible.

Le piège se referme quand la victime, destinant un montant important à un exchange ou un protocole, copie l’adresse depuis son historique de transactions plutôt que depuis sa liste de contacts. Le wallet visé a reçu ces transferts empoisonnés en continu, chaque ligne affichée rendant plus probable l’erreur fatale. Une mécanique qui rappelle que la négligence dans la vérification des adresses reste le vecteur d’attaque le plus efficace des arnaques crypto.

Pourquoi l’address poisoning est-elle devenue une industrie automatisée ?

L’attaque rapportée par GoPlus Security illustre une évolution : les opérations d’empoisonnement ne sont plus manuelles. Les attaquants déploient des bots qui scannent les mempools à la recherche de transactions à forte valeur, détectent les adresses actives, créent automatiquement des adresses ressemblantes et lancent les campagnes de micro-transfert. La même infrastructure sert ensuite à blanchir les fonds via des mixeurs crypto.

La victime de cette affaire avait effectué sa dernière transaction il y a plus de deux mois, un délai suffisant pour que l’attaquant accumule une empreinte visuelle dans l’historique. Plus de 400 transactions empoisonnées ont été envoyées entre-temps. Ce volume industriel n’est pas isolé : des centaines d’arnaques similaires sont déployées chaque semaine par les mêmes adresses maîtresses, dont certaines gèrent jusqu’à 1,8 million de dollars de préjudice cumulé, selon des signalements antérieurs de la SEC.

Comment se protéger contre cette menace en 2026 ?

L’automatisation des attaques rend les précautions manuelles insuffisantes. La vérification des 42 caractères reste indispensable, mais les wallets modernes intègrent désormais des outils de détection partielle : surbrillance des adresses inconnues, alertes sur les transferts vers des adresses non ajoutées aux contacts. Ces garde-fous rappellent l’importance de ne jamais copier une adresse depuis l’historique des transactions, une pratique à l’origine de nombreuses pertes définitives.

La vigilance doit porter sur chaque transfert, même modeste. L’envoi sur une mauvaise adresse est quasiment toujours irréversible, et les récentes évolutions comme l’EIP-7702 ou l’account abstraction ne couvrent pas encore tous les cas d’erreur humaine sur les transferts ERC-20 standard. En attendant, blanchir les adresses de confiance dans un carnet dédié reste la barrière la plus fiable.

À retenir

Une victime a perdu 100 000 dollars en USDT via une attaque d’address poisoning automatisée, avec plus de 400 transactions empoisonnées réceptionnées en 69 jours d’inactivité. L’automatisation industrielle de cette arnaque, signalée par GoPlus Security sur PANews, transforme un piège artisanal en menace permanente pour tout wallet actif. Les utilisateurs doivent impérativement vérifier chaque adresse avant validation, sous peine de financer une chaîne de blanchiment déjà rodée.

Questions fréquentes

Qu’est-ce que l’address poisoning ?

L’address poisoning est une arnaque où un attaquant envoie des micro-transactions à un wallet depuis une adresse dont les premiers et derniers caractères imitent une adresse légitime. L’objectif est que la victime copie par erreur cette adresse falsifiée depuis son historique de transactions lors d’un prochain transfert. Cette technique a causé des pertes massives, comme le rappelle le cas d’un faux membre Huobi arrêté en Chine.

Comment savoir si mon wallet a été empoisonné ?

Votre wallet est potentiellement ciblé si vous recevez soudainement de nombreuses micro-transactions de quelques fractions d’euros depuis une adresse inconnue. Ce type de pollution de l’historique est le premier signal d’une campagne automatisée. Face à des schémas similaires utilisés pour des faux jetons DeFi, la prudence impose de ne jamais interagir avec ces tokens reçus.

L’assurance crypto couvre-t-elle ce type de perte ?

La plupart des assurances ou garanties proposées par les plateformes d’échange ne couvrent pas les erreurs de l’utilisateur, comme un transfert vers une mauvaise adresse. La perte des 100 000 dollars en USDT est, dans ce cas, entièrement à la charge de la victime. C’est précisément ce type de faille comportementale qui alimente les préjudices à plusieurs centaines de millions d’euros recensés par les autorités européennes.