Voir la table des matières Ne plus voir la table des matières
Un draineur de cryptomonnaies est un outil de hameçonnage conçu pour l’univers du web3. Là où les escroqueries traditionnelles cherchent à dérober un identifiant et un mot de passe, ces dispositifs se font passer pour des projets légitimes et poussent la victime à connecter son portefeuille, puis à approuver une proposition de transaction qui confie le contrôle des fonds à l’attaquant.
La méthode n’a rien d’anecdotique. Elle a touché des utilisateurs de tous profils, y compris des personnalités très exposées comme l’homme d’affaires Mark Cuban ou l’acteur Seth Green, et la société d’analyse Chainalysis lui a consacré une étude publiée le 16 mai 2024. Pourquoi une simple signature suffit-elle à vider un portefeuille en quelques secondes ?
Le mécanisme, signature par signature
Le point d’entrée est presque toujours une page qui imite un service connu. Les opérateurs de draineurs achètent des noms de domaine proches, copient l’interface, puis diffusent le lien sur des serveurs Discord et depuis des comptes de réseaux sociaux compromis, ce qui emprunte la crédibilité d’une marque existante sans avoir à la construire.
Le piège se referme au moment de la signature. L’utilisateur croit valider une connexion anodine ou une réclamation de jetons gratuits, quand il autorise en réalité un contrat à déplacer ses avoirs. La transaction est ensuite exécutée par l’attaquant, sans nouvelle validation, et l’opération reste irréversible par construction sur une chaîne publique.
Chainalysis a documenté un cas particulièrement parlant en janvier 2024. Après la compromission du compte officiel de la SEC sur X, un draineur a repris l’identité du régulateur américain pour inviter les internautes à connecter leur portefeuille et à réclamer une distribution fictive de jetons. Le vernis institutionnel a servi d’appât, à un moment où le marché guettait les annonces de la Commission.
Une croissance plus rapide que celle des rançongiciels
Le montant global dérobé par ces outils reste impossible à établir, une large part des victimes ne signalant jamais l’incident. Les analystes travaillent donc sur les seuls draineurs identifiés, à partir des signalements de leurs clients et des adresses au comportement similaire, ce qui donne un plancher et non une estimation complète.
Sur ce périmètre partiel, le constat est net. Le taux de croissance trimestriel de la valeur volée par les draineurs a dépassé celui des rançongiciels, catégorie que la même société d’analyse décrit pourtant comme l’une des plus dynamiques de la cybercriminalité. Une technique récente progresse plus vite qu’un fléau installé, sans mobiliser les mêmes moyens techniques.
Le parcours des fonds après le vol
Les jetons dérobés ne restent jamais en place. Ils transitent par une série de services destinés à brouiller la piste avant une éventuelle conversion en monnaie officielle, et la cartographie de ces flux a changé depuis 2021 : la part envoyée vers les services de mixage augmente pendant que celle dirigée vers les plateformes centralisées recule.
Ce déplacement s’explique par les obligations d’identification imposées aux plateformes. Les draineurs ont aussi recours, à plus petite échelle, à des services de jeux d’argent, et ils ont massivement utilisé la finance décentralisée en 2022 et 2023, parce que les actifs volés y circulent sans intermédiaire, des échanges décentralisés aux ponts inter-chaînes.
Ce que révèle le cas Mark Cuban
L’entrepreneur et propriétaire des Dallas Mavericks a perdu environ 870 000 dollars en septembre 2023, répartis sur une dizaine d’actifs dont des stablecoins, de l’ether jalonné via Lido et des noms de domaine Ethereum. Il a expliqué avoir téléchargé une version frelatée d’un portefeuille populaire, trouvée dans les résultats d’un moteur de recherche, alors qu’il cherchait un tout autre service.
Je suis allé sur MetaMask pour la première fois depuis des mois. Ils devaient être en train de surveiller.
Mark Cuban, entrepreneur et propriétaire des Dallas Mavericks, propos recueillis par DL News le 16 septembre 2023
Le détail compte pour comprendre la surface d’exposition. Un portefeuille resté inactif pendant des mois attire l’attention dès qu’il bouge, et un attaquant patient dispose de tout le temps nécessaire pour observer une adresse publique. La réactivation d’un compte dormant constitue en soi un signal exploitable, bien plus que le montant qu’il abrite.
Le premier draineur repéré sur Bitcoin
La quasi-totalité de ces attaques visent l’écosystème Ethereum, où les contrats intelligents rendent l’autorisation de dépense possible. Un draineur a pourtant été identifié sur la chaîne Bitcoin, adossé à une fausse page imitant Magic Eden, la principale place de marché des jetons non fongibles gravés sur Bitcoin.
Le bilan reste modeste au regard des sommes en jeu sur Ethereum. En avril 2024, ce draineur avait dérobé près de 500 000 dollars au fil de plus de mille transactions malveillantes, et d’autres opérateurs ciblent déjà les collectionneurs d’Ordinals, signe que la technique se déplace vers les communautés les moins habituées à ces risques.
Les réflexes qui réduisent l’exposition
Aucune parade ne supprime le risque, mais quelques habitudes en limitent fortement la portée. Les recommandations formulées par Chainalysis tiennent en une poignée de gestes, dont aucun ne demande de compétence technique particulière.
- Installer une extension de sécurité web3 capable de signaler les pages de hameçonnage avant la connexion ;
- Conserver les montants importants sur un support hors ligne et ne transférer vers un portefeuille connecté que le nécessaire ;
- Se méfier des liens diffusés dans les salons de discussion, qui n’émanent pas toujours du compte officiel d’un projet ;
- Créer un portefeuille temporaire et vide pour explorer un site inconnu, puis le laisser de côté ;
- Révoquer les autorisations de dépense accordées à un contrat dès qu’un doute apparaît.
La dernière recommandation mérite un mot. Les autorisations accordées à un contrat restent actives tant qu’elles ne sont pas révoquées, ce qui laisse une porte ouverte longtemps après la connexion initiale, angle mort que l’on retrouve dans la plupart des guides consacrés à durcir la sécurité de son portefeuille.
Ces gestes rejoignent le stockage hors ligne des avoirs, dont l’intérêt dépasse largement la question des draineurs. Un attaquant ne peut rien faire signer à une clé qui n’est jamais connectée à un site tiers.
Ce que le draineur déplace dans la sécurité
La logique de l’attaque marque une rupture avec les techniques classiques d’hameçonnage. Rien n’est dérobé au sens strict : la victime signe elle-même l’ordre qui la dépouille, ce qui rend la fraude inattaquable sur le plan technique et renvoie la défense vers l’interface et la vigilance.
Cette bascule pose une question inconfortable aux concepteurs de portefeuilles. Une demande de signature reste, pour l’immense majorité des utilisateurs, un texte illisible affiché dans une fenêtre, alors qu’elle engage parfois la totalité des avoirs d’une adresse. La lisibilité de ces demandes conditionne aujourd’hui la sécurité réelle du secteur.
Les plateformes de diffusion portent la seconde partie du problème. Un draineur ne vaut que par son audience, et les arnaques relayées sur les réseaux montrent depuis des années la même faille : un compte compromis suffit à transformer une marque de confiance en instrument de vol. La compromission d’un seul compte officiel vaut à ces opérateurs une visibilité qu’aucune campagne publicitaire ne leur offrirait.
