Portefeuille crypto vidé : 25,6 M$ volatilisés en une attaque

Une baleine crypto anonyme a perdu 25,6 M$ après le drainage de son portefeuille, selon l’analyste on-chain Specter. Les actifs volés ont été immédiatement convertis en Ethereum (ETH) et en stablecoin Dai (DAI). Ce portefeuille n’en est pas à sa première perte : en septembre 2023, une attaque de phishing lui avait déjà coûté 24,2 M$, en grande partie restituée. Le cas illustre la persistance des arnaques crypto liées à ChatGPT et de l’ingénierie sociale ciblée.

Cette affaire concentre plusieurs techniques d’attaque connues, du drainage par compromission au détournement d’adresse. Les montants s’envolent, et la répétition des incidents sur une même cible interroge. Deux ans après le premier vol, les mêmes vulnérabilités persistent. Un second utilisateur a perdu 100 000 $ le même jour, selon PANews.

Comment l’attaquant a-t-il vidé le portefeuille ?

L’attaquant a drainé les actifs avant de les échanger contre de l’ETH et du DAI, une méthode classique pour compliquer le traçage on-chain. La conversion vers un stablecoin comme le DAI vise souvent à stabiliser la valeur avant un passage par des mixeurs ou des bridges. Les données d’Etherscan permettent en général de suivre ces flux, mais la rapidité d’exécution complique la récupération.

Ce type d’opération rappelle le drainage des portefeuilles chauds d’Alphapo, où plus de 23 M$ avaient été détournés en juillet 2023. Le point commun : un accès initial qui suffit à vider les fonds en quelques minutes. Notre analyse des incidents récents montre que la phase de conversion vers ETH ou stablecoins intervient presque toujours dans l’heure qui suit la compromission.

L’enquête de Specter ne précise pas encore le vecteur exact de l’attaque. Un phishing par signature malveillante reste l’hypothèse la plus probable, comme dans la majorité des arnaques NFT de l’année écoulée, qui ont dépassé 100 M$ de pertes cumulées. La compromission d’une clé privée ou d’une phrase de récupération ne peut pas être exclue à ce stade.

Pourquoi ce portefeuille était-il une cible récurrente ?

Ce portefeuille n’en est pas à sa première perte. En septembre 2023, un phishing de 24,2 M$ l’avait déjà frappé. Fait inhabituel, l’attaquant de l’époque avait restitué environ 90 % des fonds, soit près de 21,8 M$. Cette restitution a pu créer un faux sentiment de sécurité.

Une cible de cette envergure attire mécaniquement les attaquants. Les portefeuilles ayant déjà subi une compromission figurent souvent sur des listes partagées dans les cercles de cybercriminels. Les arnaques par hameçonnage sur LinkedIn ciblent précisément les profils à forte valeur, y compris les baleines et les gestionnaires de fonds. Le FBI a alerté sur la « menace importante » que représentent ces approches ciblées.

Selon nos données, une baleine identifiée comme vulnérable devient une proie prioritaire pour des groupes spécialisés. La répétition des attaques sur ce portefeuille en est l’illustration concrète : les attaquants connaissent sa valeur et ses faiblesses.

Qu’est-ce que l’empoisonnement d’adresse, cette technique parallèle ?

Pendant que cette baleine perdait 25,6 M$, un autre utilisateur perdait 100 000 $ dans une attaque par empoisonnement d’adresse (address poisoning). La victime a copié une adresse depuis son historique de transactions sans la vérifier, selon PANews.

Le mécanisme est simple : l’attaquant envoie une transaction de valeur nulle depuis une adresse qui ressemble à celle d’un contact habituel. Quand la victime copie l’adresse depuis son historique, elle envoie les fonds à l’attaquant. Cette technique a déjà fait des ravages, comme lors du hack de Solana en 2022 où plus de 7000 portefeuilles avaient été vidés.

La prévention repose sur une vérification systématique des 8 à 10 premiers et derniers caractères de chaque adresse avant de valider une transaction. Les arnaques à éviter autour d’Ethereum reposent presque toutes sur ce défaut de vérification humaine. Les utilisateurs de portefeuilles externes comme ceux autorisés par PayPal sont tout aussi exposés.

Quel est le coût cumulé des piratages pour les baleines ?

Les pertes cumulées de cette seule baleine atteignent désormais 49,8 M$ sur deux ans, en tenant compte des 24,2 M$ de 2023 et des 25,6 M$ de 2026. Même en déduisant les 90 % restitués après la première attaque, la perte nette dépasse 28 M$.

À l’échelle de l’écosystème, ces incidents s’inscrivent dans une tendance lourde. Les arnaques déployées sur les memecoins ont montré qu’une seule adresse peut déployer plus de 100 arnaques en quelques semaines, industrialisant la fraude.

Le cas de cette baleine illustre aussi le paradoxe du 1 million de portefeuilles détenant au moins 1 BTC : la concentration des actifs crée des cibles toujours plus lucratives. Les initiatives visant à sécuriser les portefeuilles auto-hébergés progressent, mais la vigilance individuelle reste irremplaçable.

Lecture CryptoActu La restitution de 90 % des fonds en 2023 a pu créer un faux sentiment de sécurité chez cette baleine. Les attaquants savent que les victimes qui ont déjà payé restent les plus vulnérables : le coût cognitif de la défense augmente, tandis que la pression financière diminue la vigilance.

Questions fréquentes

Comment savoir si mon portefeuille crypto a été compromis ?

Surveillez l’historique des transactions pour repérer des mouvements non initiés par vous. Un drainage se produit généralement en quelques minutes, avec conversion immédiate des actifs. Les outils comme Etherscan permettent de suivre les flux suspects et d’identifier les adresses de destination.

Qu’est-ce que l’empoisonnement d’adresse exactement ?

L’attaquant envoie une transaction de valeur nulle depuis une adresse quasi identique à celle d’un contact habituel. Si vous copiez cette adresse depuis l’historique sans vérifier, les fonds partent vers l’attaquant. Cette technique a causé une perte de 100 000 $ le même jour que le drainage de 25,6 M$.

Comment protéger un portefeuille contenant des sommes importantes ?

Séparez les fonds entre plusieurs portefeuilles : un cold wallet pour le stockage long terme, un hot wallet pour les transactions courantes. Vérifiez systématiquement les 8 à 10 premiers et derniers caractères de chaque adresse avant validation. Évitez de réutiliser un portefeuille déjà compromis, même après restitution partielle.

À retenir

Une baleine a perdu 25,6 M$ dans un drainage de portefeuille, deux ans après un phishing de 24,2 M$. L’attaquant a converti les actifs en ETH et DAI. Le même jour, un empoisonnement d’adresse a coûté 100 000 $ à un autre utilisateur. La vérification systématique des adresses et la séparation des fonds restent les défenses les plus fiables. Le cas montre qu’une cible déjà compromise attire de nouveau les attaquants, même après restitution.