Kits de vidage de portefeuilles crypto en 2026 : fonctionnement

Ce qu’est réellement un draineur de portefeuille crypto en 2026

Un draineur de portefeuille est un logiciel, généralement du JavaScript chargé depuis un site de phishing, qui persuade un utilisateur de signer un ou plusieurs messages ou transactions on-chain donnant à un attaquant la possibilité de transférer certains actifs hors de ce portefeuille. Le mot « draineur » a remplacé l’ancien terme « voleur de cryptomonnaies » vers 2022, car les kits modernes cassent rarement la cryptographie ou s’introduisent dans l’application du portefeuille elle-même. Ils incitent plutôt la personne devant le clavier à signer ce qu’il ne faut pas, puis automatisent le vol.

En 2026, les draineurs ne sont plus des logiciels malveillants conçus sur mesure. Ce sont des services par abonnement. Les opérateurs louent l’accès à un tableau de bord pour un prix allant de quelques centaines à plusieurs milliers de dollars par semaine. Ils obtiennent un kit qui s’exécute dans le navigateur, un canal d’assistance sur Telegram et une part du butin. La marque la plus suivie, Inferno, a publiquement cessé ses activités fin 2023, mais ses modèles de conception continuent de circuler sous forme de forks, tandis que des marques lui ayant succédé, comme Pink, Angel et Venom, dominent les forums actuels.

Deux faits sont essentiels pour comprendre la suite de cette taxonomie. Premièrement, chaque draineur actuellement en circulation repose sur une ou plusieurs « primitives d’approbation », les mécanismes on-chain qui permettent à un smart contract de transférer des tokens pour le compte d’un utilisateur. Deuxièmement, une fois le vol autorisé par une signature, le processus de blanchiment est presque entièrement automatisé. Ces deux aspects expliquent pourquoi une défense qui fonctionnait en 2022, « il suffit de révoquer ensuite vos autorisations », est désormais trop lente et trop limitée.

Les risques : ce qui arrive réellement aux victimes

Le premier risque est évident : la perte totale des actifs drainés. Sur ETH, une approbation malveillante peut vider tous les ERC-20 et ERC-721 du portefeuille couverts par celle-ci. Sur les comptes intelligents, une clé de session peut vider l’intégralité du contrat du compte intelligent en un seul bloc. Les drainages de SOL ont généralement une portée plus limitée, car le modèle d’approbation de token-2022 et du programme système de Solana est plus contraignant, mais les kits qui exfiltrent les phrases de récupération vident tout de même les soldes natifs en SOL et en SPL.

Le deuxième risque concerne les conséquences ultérieures. Dès qu’un opérateur de draineur contrôle un portefeuille, il peut l’utiliser comme étape intermédiaire de blanchiment d’argent et signer d’autres transactions qui associent l’adresse de la victime à des escroqueries, à des sanctions ou même à des enquêtes criminelles. Des victimes ont vu leurs portefeuilles gelés par des plateformes d’échange centralisées simplement parce qu’un attaquant y avait fait transiter des fonds, même lorsqu’elles ne les avaient jamais retirés.

Le troisième risque est d’ordre réputationnel et juridique. Dans la plupart des juridictions, signer un message malveillant ne dégage pas l’utilisateur de toute responsabilité concernant les transferts qui en résultent. Plusieurs mesures coercitives prises en 2024-2025 ont considéré les portefeuilles drainés comme les adresses d’origine des fraudes commises en aval. Les récupérations sont rares. Les remboursements proposés par les fabricants de portefeuilles matériels couvrent un nombre restreint d’attaques visant le matériel, et non l’ingénierie sociale. Considérez toute signature accordée à un draineur comme irréversible on-chain.

Comment les kits de drainer atteignent leurs victimes en 2026

La couche de distribution s’est consolidée. Telegram et X sont les deux principaux canaux, suivis de loin par les sections de commentaires de YouTube et les raids sur Discord. Le mode opératoire reste le même : un faux compte usurpe l’identité d’un journaliste connu, du fondateur d’un projet ou d’un investisseur en capital-risque, publie un « airdrop surprise », un « mint furtif » ou une « page de réclamation », puis répond à chaque publication populaire d’une catégorie afin de récolter des clics.

Le site servant d’appât est conçu pour ressembler à une dapp légitime. Il peut reproduire la page de mint d’OpenSea, l’interface de swap d’Uniswap ou une plateforme de lancement de memecoins. Plus important encore, il s’adapte entièrement au portefeuille. Le site demande à se connecter au portefeuille de l’utilisateur, détermine la blockchain et la classe d’adresse détectées, puis fournit le processus de drainer correspondant. Une adresse Ethereum utilisant un contrat Safe (désormais appelé Safe{'{Wallet}'}) voit un script différent de celui présenté à un EOA. Une adresse Solana reçoit un script différent de celui destiné à un utilisateur de Phantom dont des actifs Ethereum sont dissimulés dans la même clé.

La couche d’hébergement évolue rapidement. Les domaines sont vieillis pendant plusieurs semaines, placés derrière Cloudflare et remplacés toutes les heures. Certains kits incluent un « générateur de pages de destination » qui produit des centaines de copies similaires à partir d’un seul modèle, chacune avec un titre et une méta-description uniques afin de déjouer les systèmes rudimentaires de scraping dédiés à la protection des marques. Par conséquent, les listes noires ont toujours un temps de retard, ce qui rend la vigilance des utilisateurs plus importante que jamais.

La taxonomie 2026 des primitives d’autorisation

La meilleure façon de comprendre les drainers consiste à examiner la primitive d’autorisation qu’ils exploitent. Voici les quatre primitives qui comptent actuellement, classées de la plus ancienne à la plus récente. Chaque section décrit le mécanisme on-chain exact, l’appât qui incite l’utilisateur à le signer et ce que cette signature permet ensuite à l’attaquant de faire.

L’ancien setApprovalForAll sur ERC-721 et ERC-1155

Il s’agit du vol classique de NFT. Les contrats ERC-721 et ERC-1155 exposent une fonction setApprovalForAll qui, lorsqu’elle est appelée par un utilisateur, permet à un contrat opérateur de transférer en son nom tous les tokens de cette collection. L’appât prend généralement la forme d’un mint gratuit, d’une page « réclamez votre airdrop » ou d’une fausse annonce OpenSea. La victime voit une demande dans son portefeuille qui ressemble en tout point à une autorisation normale de place de marché et clique sur confirmer. L’attaquant appelle ensuite transferFrom en boucle jusqu’à ce que tous les NFT de cette collection aient disparu.

Pourquoi cette méthode fonctionne encore en 2026 : de nombreux utilisateurs ont déjà autorisé par le passé des places de marché telles qu’OpenSea, Blur ou LooksRare et ne vérifient plus ce que fait réellement setApprovalForAll. Les drainers combinent également cette opération avec une autorisation de token dans la même transaction. Un seul clic suffit donc à signer deux ou trois opérations de drainage distinctes.

Le processus approval-setMax + transferFrom sur ERC-20

C’est la méthode de drainage la plus courante sur ETH et les blockchains EVM. La victime signe un appel approve qui accorde à une entité malveillante une autorisation « setMax » (en pratique, type(uint256).max, un nombre astronomique) sur un ERC-20 donné, souvent de l’ETH enveloppé, de l’USDC, de l’USDT ou un stablecoin présent dans le portefeuille. L’interface du portefeuille peut afficher l’autorisation sous une forme lisible, mais les utilisateurs ont tendance à la parcourir trop rapidement.

Une fois l’autorisation inscrite sur la blockchain, l’attaquant appelle transferFrom sur l’adresse de la victime et transfère l’intégralité du solde vers un contrat qu’il contrôle. C’est le processus à l’origine du conseil « révoquez vos autorisations » qui a dominé la période 2022–2023. Ce conseil était pertinent à l’époque. Il ne suffit plus, car les nouvelles primitives permettent au drainage de se produire dans le même bloc que la signature, avant qu’une personne puisse révoquer quoi que ce soit.

Les anciens pièges eth_sign

eth_sign est une méthode de signature antérieure à EIP-191 qui signe des octets arbitraires avec un compte Ethereum. Elle n’inclut aucune donnée structurée, de sorte que le portefeuille ne peut pas afficher de résumé lisible. Les drainers détournent eth_sign pour amener les victimes à signer des messages qui ressemblent à de simples signatures de connexion (« Cliquez sur signer pour confirmer que ce portefeuille vous appartient »), mais qui sont en réalité des hachages de 32 octets correspondant à des autorisations structurées ou à des ordres off-chain.

Bien que la plupart des portefeuilles modernes aient supprimé eth_sign ou affichent des avertissements très visibles à son sujet, les kits de phishing continuent de l’utiliser, car suffisamment de portefeuilles de niche et d’interfaces de bridges l’acceptent encore. La protection est simple : ne signez jamais une demande eth_sign que vous n’avez pas initiée depuis une dapp de confiance. Considérez eth_sign comme « signer tout ce que souhaite l’attaquant ».

Les autorisations universelles permit2

Permit2 est un modèle de contrat popularisé par Uniswap et désormais déployé sur de nombreux DEX. Il remplace les appels approve propres à chaque token par une autorisation unique basée sur une signature et couvrant plusieurs tokens à la fois. La page servant d’appât demande à la victime de signer un message PermitSingle ou PermitBatch, souvent valable pendant 30 jours ou sans limite de durée. La plupart des portefeuilles l’affichent clairement, mais le message est dense et les utilisateurs habitués à valider rapidement des swaps valident aussi ces autorisations.

Pourquoi permit2 est dangereux : l’autorisation signée peut inclure une liste des tokens détenus par l’utilisateur que le drainer a repérés à l’aide d’appels RPC publics. Une fois la signature obtenue, le drainer peut appeler transferFrom via permit2 et récupérer tous les tokens inscrits sur la liste blanche en une seule transaction, même ceux avec lesquels l’utilisateur n’avait encore jamais interagi. « Révoquer ensuite l’autorisation permit2 » est techniquement correct, mais le drainage se produit dans le même bloc que le clic sur le lien de phishing.

Les drainages par clé de session sur les comptes intelligents

Les comptes intelligents, notamment Safe{'{Wallet}'} et les abstractions de compte ERC-4337, prennent en charge les clés de session : des autorisations limitées dans leur portée et leur durée qui permettent à une dapp d’effectuer un ensemble défini d’actions au nom de l’utilisateur. Les drainers ciblant les comptes intelligents tentent d’inciter les utilisateurs à signer l’octroi d’une clé de session dont la portée est définie sur « tout pendant 24 heures » ou « illimité pour cette session ». L’interface du portefeuille peut présenter cela sous la forme d’une longue liste d’autorisations que l’utilisateur accepte pour « utiliser la dapp ».

Le drainage qui suit est dévastateur : une seule UserOperation peut appeler en boucle la fonction execute du compte intelligent et vider tous les actifs qu’il détient, dans toutes les classes de tokens, avant même que l’utilisateur ne ferme l’onglet. Lorsque l’utilisateur ouvre un outil de révocation, les actifs ont déjà transité par trois bridges.

À quoi ressemble le parcours de blanchiment

Le vol ne représente que la moitié du travail d’un drainer. L’autre moitié consiste à rendre rapidement les fonds intraçables, avant que les plateformes d’échange ne les gèlent ou que les sociétés d’analyse ne les signalent. En 2026, le dispositif de blanchiment comporte plusieurs couches.

La première couche est le transfert entre contrats. Dans les secondes qui suivent le drainage, les ETH ou SOL volés transitent par une série de contrats contrôlés par l’attaquant. Chaque contrat désenveloppe, échange et reconditionne les actifs, souvent en utilisant Uniswap v3, v4 ou un fork sur les blockchains EVM, ainsi que Raydium ou Jupiter sur Solana. Chaque étape rompt la piste simple « les fonds sont passés de A à B » que les explorateurs basiques peuvent suivre.

La deuxième couche est le bridge inter-chaînes ou le mixeur basé sur des swaps. Les bridges tels que Wormhole, LayerZero et Stargate restent couramment utilisés malgré leurs propres outils d’analyse on-chain. Les mixeurs basés sur des swaps, qui effectuent de nombreux petits swaps répétés dans plusieurs pools afin de réduire la traçabilité, ont largement remplacé Tornado Cash pour les drainages de SOL. Certains drainers utilisent THORChain ou des protocoles similaires de swap inter-chaînes précisément parce qu’ils règlent les opérations dans différents actifs sur différentes blockchains, ce qui complique l’attribution.

La troisième couche est la conversion finale. Les fonds finissent par arriver sur des bureaux OTC, des plateformes d’échange centralisées sans KYC ou directement sur des services bancaires de conversion de stablecoins, là où les contrôles KYC sont peu rigoureux. Une part non négligeable des produits de drainers de 2024–2025 a abouti dans des services de gré à gré situés dans des juridictions où l’application des règles AML est faible, puis sur des comptes bancaires en monnaie fiduciaire dans des juridictions aux exigences KYC plus strictes, où ces fonds sont impossibles à distinguer d’un patrimoine légitime.

Pour la victime, la conséquence pratique est brutale : la fenêtre de 30 secondes entre la signature du message malveillant et le moment où les actifs deviennent intraçables est plus courte que le temps nécessaire pour trouver un bouton « révoquer » et cliquer dessus. Lorsqu’une personne réagit, les fonds ont déjà été blanchis.

Conséquences pratiques pour votre portefeuille

La première conséquence est que « révoquer après coup » constitue désormais un dernier recours, et non une défense principale. Considérez chaque signature du portefeuille, et pas seulement chaque autorisation on-chain, comme le moment dangereux. Si vous ne comprenez pas ce qu’une fenêtre contextuelle de votre portefeuille vous demande de signer, fermez l’onglet. Manquer un mint ne coûte rien. Une mauvaise signature peut vous coûter tout votre portefeuille.

La deuxième conséquence est que tous les portefeuilles ne se valent pas face aux drainers. Les portefeuilles matériels et les portefeuilles modernes basés sur des contrats intelligents qui simulent chaque signature et affichent des résumés lisibles des données typées EIP-712, le format de signature structurée utilisé par permit, permit2 et la plupart des dapps, détectent davantage de drainers que les anciens portefeuilles qui affichent les calldata brutes des transactions. Sur ETH, privilégiez les portefeuilles qui décodent EIP-712 en langage clair. Sur SOL, privilégiez ceux qui affichent le programme de destination et tous les comptes de tokens concernés par une transaction.

La troisième conséquence est que la simulation des transactions n’est plus facultative. Les principaux portefeuilles simulent désormais chaque transaction sur un état forké et avertissent l’utilisateur si les résultats de la simulation diffèrent de l’intention visible (« vous êtes sur le point d’accorder une autorisation illimitée sur vos USDC à un contrat qui n’est pas USDC »). Les utilisateurs qui activent les avertissements de simulation détectent une proportion significative de drainers avant de signer. Ceux qui les ignorent n’en bénéficient pas.

La quatrième conséquence est que la discipline face aux sites servant d’appâts est plus importante que jamais. Les sites de phishing sont convaincants. Ils ressemblent aux véritables dapps. Les seuls signaux fiables sont contextuels : ce lien a-t-il été partagé par un compte vérifié, avez-vous vous-même accédé à cette URL et le domaine de la dapp est-il un domaine que vous avez déjà utilisé ? La vigilance est une fonctionnalité, pas un défaut.

Comment suivre intelligemment l’actualité des draineurs de portefeuilles

Les kits de drainage évoluent rapidement. De nouvelles primitives d’approbation, de nouvelles techniques d’appât et de nouveaux circuits de blanchiment apparaissent chaque trimestre, et le délai entre la « publication du kit » et le « drainage des premières victimes » se mesure désormais en jours. Suivre tout cela manuellement sur les canaux Telegram, les fils X, les dépôts GitHub et les tableaux de bord d’analyse on-chain est une bataille perdue d’avance pour tout utilisateur individuel. Zippfeed met en avant les actualités sur les draineurs de portefeuilles crypto et la sécurité, avec une évaluation du sentiment (bullish, neutral ou bearish) et un indice d’importance, afin que vous puissiez repérer la prochaine exploitation d’une primitive d’approbation avant qu’elle n’atteigne votre fil d’actualité.