Une seule signature malveillante a suffi pour vider 316 000 USDC d'un portefeuille utilisateur, selon Web3 Antivirus, le service d'analyse de contrats qui a signalé l'affaire. L'incident s'inscrit dans la longue série d'exploits de drainers de portefeuille qui n'ont pas besoin de casser le code d'un smart contract — il leur suffit que l'utilisateur signe la mauvaise transaction.
Pourquoi c'est important
La catégorie des drainers continue de réussir parce que le mode d'échec est humain, pas au niveau du protocole. Un permit signé ou un setApprovalForAll peut céder à un contrat malveillant des droits que l'utilisateur n'a jamais lus au-delà de la fenêtre du portefeuille, et une fois cette signature enregistrée on-chain, les fonds disparaissent. Aucun audit, aucun patch de protocole et aucune mise à jour ne corrigent cela — seule l'hygiène côté utilisateur y parvient.
Impact sur le marché
La check-list pratique diffusée par le canal est la même que celle qui s'applique depuis deux ans : scanner le contrat, vérifier l'URL, lire l'approbation avant de signer, révoquer les permissions obsolètes via des outils comme revoke.cash, et conserver l'essentiel des avoirs sur un portefeuille matériel ou froid, isolé de l'adresse dApp qui clique. Rien de nouveau là-dedans. Le chiffre de 316 000 USDC rappelle que l'essentiel des pertes se joue encore sur les fondamentaux.
Questions fréquemment posées
-
Que s'est-il passé dans le vol de 316 000 USDC sur ce portefeuille ?
Une seule signature malveillante a suffi pour vider 316 000 USDC d'un portefeuille utilisateur, selon Web3 Antivirus. L'affaire s'inscrit dans une série d'exploits de drainers qui ne nécessitent aucun bug au niveau du protocole — seulement un utilisateur signant la mauvaise transaction.
-
Comment fonctionnent concrètement les exploits de drainers de portefeuille ?
Les kits de drainer poussent les utilisateurs à signer des messages permit ou setApprovalForAll qui cèdent à un contrat malveillant des droits sur le portefeuille. Une fois la signature on-chain, les fonds peuvent être déplacés. La vulnérabilité est humaine, pas au niveau du code.
-
Un audit ou une mise à jour de protocole peut-il empêcher les pertes liées aux drainers ?
Non. Les exploits de drainers ne reposent pas sur des bugs de contrat : audits, correctifs et mises à jour de protocole ne les concernent pas. Les seules mesures efficaces sont côté utilisateur : scanner les contrats, vérifier les liens, lire les approbations et révoquer les permissions obsolètes.
-
Quelle est la check-list de base pour la sécurité d'un portefeuille selon Web3 Antivirus ?
Scanner le contrat avant toute interaction, vérifier l'URL, lire la fenêtre d'approbation avant de signer, révoquer régulièrement les anciennes permissions via un outil comme revoke.cash, et conserver l'essentiel des avoirs sur un portefeuille matériel ou froid, isolé de l'adresse dApp.
-
Pourquoi les exploits de drainers continuent-ils de fonctionner ?
Parce que le mode d'échec est humain, pas protocolaire. Les kits de drainer sont bon marché, faciles à copier, et n'ont besoin qu'un seul utilisateur pour signer une seule fois. Tant que les habitudes de signature ne changeront pas, c'est sur la check-list d'hygiène de base que se joue l'essentiel de la prévention des…
TheBlock
CoinDesk
CryptoSlate
Crypto Rank News
Lookonchain
WuBlockchain