Phishing Permit2 : 316 000 $ d'USDC volés en un clic

Un utilisateur a perdu 316 000 $ en USDC après avoir signé une transaction Permit2 frauduleuse, selon une alerte de la plateforme de sécurité GoPlus. L’argent a été transféré quasi instantanément vers le portefeuille de l’attaquant. Ce type d’attaque exploite un mécanisme d’autorisation largement adopté dans l’écosystème DeFi, souvent sans que la victime réalise la portée de ce qu’elle signe.

Au programme

• 316 000 $ en USDC dérobés via une signature Permit2 malveillante, d’après GoPlus Security
• Le mécanisme Permit2 permet d’autoriser des transferts massifs en une seule interaction, sans transaction on-chain visible
• Ce vecteur d’attaque cible les utilisateurs actifs sur Uniswap et les protocoles DeFi connectés

Comment fonctionne une attaque Permit2 ?

Permit2 est un contrat d’autorisation développé par Uniswap Labs et déployé en 2022. Il permet à un utilisateur de signer, hors chaîne, une autorisation de dépense valable sur plusieurs protocoles à la fois. L’idée initiale était d’améliorer l’expérience utilisateur en réduisant le nombre de transactions d’approbation.

Le problème : cette signature n’est pas une transaction classique. Elle n’apparaît pas sur la blockchain avant d’être utilisée. Un attaquant qui parvient à faire signer un message Permit2 malveillant obtient l’autorisation de vider un portefeuille en un seul appel de contrat, sans que la victime ait soumis quoi que ce soit de visible sur la chaîne. Dans le cas signalé par GoPlus, les 316 000 $ ont été prélevés en USDC, un stablecoin adossé au dollar émis par Circle : l’une des formes de valeur les plus liquides et les plus faciles à déplacer.

Pourquoi ce vecteur est-il particulièrement dangereux ?

La force du phishing Permit2 tient à son invisibilité relative. Contrairement à une approbation ERC-20 standard, qui génère une transaction on-chain traceable avant tout transfert, la signature Permit2 est un simple message signé côté client. Les victimes la confondent souvent avec une étape d’authentification ordinaire sur une interface DeFi.

Les attaquants reproduisent des interfaces légitimes, parfois en achetant des publicités sur les moteurs de recherche, comme l’illustrait déjà une arnaque similaire ciblant Uniswap pour 400 000 $ en début d’année. L’utilisateur croit se connecter à un protocole connu et signe sans examiner les détails du message. Une fois la signature transmise à l’attaquant, aucun délai supplémentaire n’est nécessaire : le transfert est immédiat.

L’USDC est une cible de choix dans ces attaques. Liquid, reconnu par les exchanges centralisés et directement convertible, il peut être blanchi rapidement. Les faiblesses structurelles de l’USDC sont d’une nature différente, mais sa popularité en fait mécaniquement une cible prioritaire pour les hameçonneurs.

Quelles précautions prendre face aux demandes de signature ?

La règle fondamentale : ne jamais signer un message Permit2 sans en lire attentivement le contenu. Un message légitime affiche un montant précis, un protocole identifié et une date d’expiration courte. Un message malveillant présente souvent un montant maximal (type uint256 max), un destinataire inconnu ou une durée illimitée.

Plusieurs outils permettent de simuler une transaction avant de la valider : Tenderly, Pocket Universe ou les extensions d’alerte intégrées à certains wallets hardware. La pratique du clear signing : qui consiste à afficher les paramètres lisibles d’une transaction sur l’écran d’un Ledger ou Trezor plutôt que des données hexadécimales brutes : réduit significativement le risque.

Révoquer régulièrement ses autorisations Permit2 actives via Revoke.cash ou Etherscan constitue également une mesure préventive utile. Ces autorisations survivent en effet aux sessions : une permission accordée il y a plusieurs mois reste exploitable si elle n’a pas expiré.

Mise en perspective L’attaque Permit2 illustre une tension persistante dans l’écosystème DeFi : les mécanismes conçus pour améliorer l’expérience utilisateur créent souvent de nouvelles surfaces d’attaque. Permit2 simplifie les interactions multi-protocoles, mais transfère la responsabilité de validation vers l’utilisateur final, sans garde-fou natif contre les abus. Tant que cette asymétrie n’est pas corrigée au niveau protocolaire, ces attaques resteront rentables pour les attaquants.

À retenir

Un utilisateur a perdu 316 000 $ en USDC en signant un message Permit2 frauduleux, sans transaction on-chain préalable. Ce mécanisme, omniprésent dans la DeFi, exige une vigilance accrue à chaque demande de signature. Les outils de révocation et de simulation de transaction restent les meilleures défenses disponibles à ce jour. Surveiller les alertes GoPlus et les outils de détection on-chain devient indispensable pour qui interagit régulièrement avec des protocoles DeFi, notamment ceux liés à l’écosystème Coinbase et Circle.