Un utilisateur de crypto non identifié a perdu 999 999 $ en USDT à cause d'une attaque de phishing Ethereum après avoir signé une demande d'approbation de jeton frauduleuse.
Les enregistrements on-chain montrent que les attaquants ont divisé les fonds volés en trois transactions. Les transferts ont été enregistrés dans les blocs Ethereum 25489460 et 25489463 en quelques minutes après la signature.
Le phishing par approbation de jeton reste l'une des menaces les plus persistantes dans la finance décentralisée. Les attaquants n'ont pas besoin des clés privées d'une victime pour voler des fonds. Au lieu de cela, ils trompent les utilisateurs en leur faisant signer une demande qui accorde à un contrat un accès large à un jeton. L'approbation reste ensuite active jusqu'à ce que quelqu'un la révoque.
À l'intérieur de l'attaque de phishing Ethereum
Ce schéma a touché les utilisateurs de crypto à plusieurs reprises jusqu'en 2026. Le portefeuille de la victime avait une autorisation illimitée pour le jeton, ce qui a donné à l'attaquant la possibilité d'agir sans aucune autre confirmation. En mai, un faux site de phishing Uniswap a siphonné environ 400 000 $ de plusieurs portefeuilles après que les visiteurs ont approuvé un contrat malveillant. Une escroquerie d'approbation de faux airdrop a touché un utilisateur de HyperSwap de manière similaire ce mois-ci. L'escroquerie a vidé son portefeuille en quelques secondes après un seul clic.
Les fonctions Multicall ont accéléré le vol
Dans ce cas, l'attaquant a utilisé des fonctions Multicall pour regrouper plusieurs actions en une seule transaction. Cette structure permet à l'attaquant de déplacer les USDT approuvés en quelques secondes. Les fonds sont ensuite divisés en trois sorties distinctes presque immédiatement.
En retour, cette vitesse a réduit la fenêtre de la victime pour révoquer l'approbation. Les clés privées du portefeuille sont restées intactes tout au long de l'attaque. En conséquence, les alertes de portefeuille standard signalent rarement ce type d'exploitation.
La méthode fait écho aux tactiques derrière les récentes escroqueries de contamination d'adresses de portefeuille, où les attaquants exploitent la structure des transactions plutôt que le vol de données d'identification. Scam Sniffer a également lié une augmentation de 200 % des pertes dues au phishing cette année à un changement vers des portefeuilles de grande valeur.
Les analystes en sécurité exhortent à la prudence concernant les signatures
Suite au vol, les analystes de Scam Sniffer ont renouvelé leurs appels aux utilisateurs de crypto pour vérifier chaque demande de signature avant de la confirmer. La société recommande de vérifier l'adresse exacte du contrat et la portée des autorisations qu'un portefeuille affiche. Les utilisateurs devraient éviter d'approuver les demandes par défaut. Révoquer régulièrement les approbations inutilisées ou illimitées reste l'une des défenses les plus simples contre ce type d'attaque.
L'incident fait également écho à une campagne de phishing MetaMask découverte en janvier, qui utilisait de fausses invites à deux facteurs pour contourner complètement la suspicion des utilisateurs. Les fournisseurs de portefeuilles continuent d'ajouter des protections. Pourtant, les analystes notent qu'aucun changement d'interface ne remplace complètement une lecture attentive de ce qu'une signature autorise réellement.
L'écart entre une signature et un portefeuille vidé continue de se réduire pour les utilisateurs d'Ethereum alors que les tactiques de phishing deviennent de plus en plus automatisées.
Source : BeInCrypto
