Comment évaluer un explorateur de blocs avant de lui faire confiance

Comprendre un explorateur de blocs, c’est le traiter comme une infrastructure critique, de la même manière que vous traiteriez un wallet, un nœud ou une exchange. L’interface semble inoffensive, avec une simple barre de recherche et une liste de transactions, mais ce que vous voyez à l’écran est une vue organisée d’une chaîne que personne ne possède entièrement. Deux explorateurs peuvent renvoyer des soldes différents pour la même adresse. Un troisième peut enregistrer discrètement votre IP et les adresses que vous consultez. Un quatrième peut afficher un contrat qui paraît légitime, mais qui est en réalité un proxy pointant vers tout autre chose. Ce guide passe en revue les vérifications qu’un utilisateur prudent effectue avant de faire confiance à ce qu’un explorateur lui indique. Il couvre les trois grandes familles de services que vous rencontrerez, les écarts d’exactitude qui piègent même les utilisateurs expérimentés, les compromis de confidentialité dont personne ne vous avertit, ainsi qu’une courte checklist pour adopter les bons réflexes chaque fois que vous collez une adresse.

Ce que fait réellement un explorateur de blocs, et pourquoi c’est important pour la confiance

Un explorateur de blocs est un logiciel qui observe le réseau Ethereum, télécharge les nouveaux blocs à mesure qu’ils sont finalisés, et stocke leur contenu dans une immense base de données. Lorsque vous collez une adresse, l’explorateur interroge cette base de données et affiche le résultat dans votre navigateur. La blockchain elle-même est la source de vérité ; l’explorateur est un miroir, et les miroirs peuvent être sales, embués ou inclinés.

C’est important parce que presque chaque action que vous effectuez sur Ethereum commence par un explorateur. Vous vérifiez un contrat de token avant un swap. Vous vérifiez un hash de transaction après avoir envoyé des fonds. Vous auditez un wallet qui vous a contacté sur Discord. Dans chaque cas, vous faites confiance à un tiers pour lire correctement la chaîne, étiqueter les adresses honnêtement et ne pas enregistrer votre activité. L’interface donne l’impression de lire un registre public, mais en pratique vous lisez l’interprétation de ce registre par une entreprise.

Les trois familles que vous rencontrerez sont la famille Etherscan, la famille Blockscout et une longue traîne de petits explorateurs tiers. La famille Etherscan comprend Etherscan.io lui-même ainsi que des sites frères pour BNB Chain, Polygon, Arbitrum, Base et beaucoup d’autres, tous exploités par la même entreprise à but lucratif. La famille Blockscout comprend le projet open-source Blockscout ainsi que des instances hébergées gérées par des rollups comme zkSync, Gnosis Chain et OP Mainnet. La traîne des tiers comprend des plateformes d’analyse, des explorateurs intégrés à des wallets et de petits clones qui réutilisent souvent l’image de marque ou aspirent les données des acteurs plus importants.

Les risques réels de faire confiance à n’importe quel explorateur sans recul

Avant de comparer les fonctionnalités, il est utile de clarifier les façons dont un explorateur peut vous induire en erreur. Les risques se répartissent en quatre catégories : exactitude, exhaustivité, confidentialité et étiquetage hostile. Chacun est réel, et chacun a déjà coûté cher à des utilisateurs qui supposaient que la page devant eux était la chaîne elle-même.

Écarts d’exactitude. Aucun explorateur ne décode parfaitement chaque transaction. Les transactions internes, c’est-à-dire les appels qu’un contrat effectue vers d’autres contrats au sein d’une même transaction utilisateur, sont notoirement sous-comptées. Les transferts de tokens utilisant des événements non standard peuvent disparaître. Les logs très volumineux peuvent être tronqués. L’utilisateur voit une liste propre, alors que la transaction sous-jacente a fait bien davantage.

Écarts d’exhaustivité. Certains explorateurs n’indexent que leur propre chaîne. Recherchez une transaction de bridge cross-chain sur le mauvais explorateur et vous verrez une page confuse indiquant "no internal transactions", qui masque un contexte important. Les nouveaux réseaux Layer 2, en particulier, ont souvent une couverture d’explorateur instable pendant les premiers mois suivant leur lancement.

Exposition de la confidentialité. Chaque recherche d’adresse est une requête qui atteint un serveur, et les serveurs enregistrent des logs. Votre adresse IP, l’adresse recherchée, l’heure, le user-agent et souvent un cookie de session sont tous enregistrés. Les explorateurs sont une surface de surveillance discrète dont presque personne ne parle.

Étiquetage hostile. Les labels d’adresses et les noms de tokens sont soumis par les utilisateurs et souvent achetés. Un escroc peut acheter un label qui donne à son contrat l’apparence d’un protocole célèbre. Les adresses vanity, où le début ou la fin de l’adresse correspond à un nom de marque, rendent cela encore plus facile.

Etherscan et sa famille : l’option par défaut soignée mais centralisée

Etherscan.io est l’explorateur que la plupart des utilisateurs consultent en premier, et il définit le modèle visuel de presque tout le reste. Il a été lancé en 2015 et est exploité par une entreprise privée qui gère aussi BscScan, PolygonScan, Arbiscan, BaseScan, Optimistic Etherscan, ainsi qu’environ une douzaine d’autres sites propres à des chaînes. L’entreprise se rémunère grâce à des abonnements API pro, des bannières publicitaires et des services d’étiquetage d’adresses vendus aux institutions.

Les points forts de la famille Etherscan sont bien réels. La vérification du code source des contrats est approfondie. Les pages de tokens incluent des liens d’audit, des listes de détenteurs et des données de marché. L’API est la norme de facto sur laquelle s’appuient les wallets, tableaux de bord et bots. Si vous avez déjà collé un hash de transaction dans MetaMask et vu un bouton "View on Etherscan", vous avez utilisé leur infrastructure.

Les compromis sont tout aussi réels. La base de code est fermée. Vous ne pouvez pas exécuter votre propre copie. L’étiquetage des pages d’adresses provient d’un mélange de contributions de la communauté et de placements payants, et l’entreprise ne publie pas de politique claire sur qui paie pour quelle étiquette. Si l’entreprise décide qu’un token est une arnaque, l’étiquette change. Si l’entreprise a un bug, vous ne pouvez pas le corriger vous-même. La centralisation à cette couche est rarement discutée, car le produit donne l’impression d’être un service public.

Pour la plupart des utilisateurs, la famille Etherscan reste le point d’entrée le plus simple. La vraie question est de savoir si vous voulez que la chaîne qui vous intéresse dépende d’une seule entreprise privée avec laquelle vous n’avez aucune relation contractuelle et aucun moyen d’audit.

Blockscout et l’alternative open source

Blockscout a commencé comme un des premiers explorateurs Ethereum, puis a été reconstruit comme projet entièrement open source sous l’égide de la Blockscout Foundation. Le code est public, l’indexeur est documenté, et n’importe qui peut exécuter sa propre instance. Un nombre croissant de réseaux Layer 2 utilisent Blockscout comme explorateur par défaut, notamment Gnosis Chain, zkSync Era, OP Mainnet et plusieurs autres.

L’argument central est la vérifiabilité. Si le code est ouvert, vous pouvez en principe vérifier que l’explorateur vous montre bien ce que la chaîne contient réellement. Si vous êtes particulièrement méfiant, vous pouvez exécuter votre propre instance et l’interroger directement, ce qui supprime entièrement le tiers.

En pratique, la famille Blockscout présente un autre ensemble de compromis. L’interface utilisateur est fonctionnelle, mais moins aboutie. Le décodage des transactions internes est parfois moins complet. La couverture du code source vérifié des contrats peut avoir plusieurs semaines de retard sur la famille Etherscan sur les chaînes très actives. Certaines instances hébergées exécutent d’anciennes versions du logiciel avec des bugs connus.

La question intéressante est de savoir quelle instance hébergée vous utilisez. Un explorateur basé sur Blockscout géré par l’équipe du rollup elle-même est nettement différent d’une instance Blockscout gérée par une partie inconnue. La première engage sa réputation. La seconde peut sembler open source tout en étant exploitée par quelqu’un aux motivations peu claires.

Écarts d’exactitude et transactions internes manquantes : là où les explorateurs se font piéger

Le problème d’exactitude le plus courant concerne les transactions internes. Lorsque vous envoyez une transaction qui interagit avec un smart contract, le contrat peut appeler d’autres contrats, envoyer des tokens ou déclencher des événements. La transaction utilisateur est une entrée, mais les transactions internes peuvent se compter par dizaines. Etherscan en capture la plupart, mais pas toutes. Blockscout en capture un sous-ensemble similaire. Les petits explorateurs tiers ne capturent souvent que la transaction de premier niveau et étiquettent le reste comme "pending internal transactions" ou l’omettent entièrement.

L’impact pratique apparaît à trois endroits. Premièrement, lorsque vous approuvez une allowance de token, l’explorateur peut afficher un minuscule événement approve alors que le swap réel s’est produit via un contrat agrégateur qui a appelé un router, un pool et un destinataire. Deuxièmement, lorsque vous interagissez avec un contrat de multisend ou d’airdrop, l’explorateur affiche un seul hash de transaction alors que des dizaines de transferts se produisent à l’intérieur. Troisièmement, lorsque vous transférez des fonds entre chaînes via un bridge, l’explorateur de la chaîne de destination a souvent une vue retardée ou partielle du dépôt jusqu’à la finalisation du message.

Les transferts de tokens sont le deuxième problème d’exactitude. Le token ERC-20 standard émet un événement Transfer à chaque mouvement, que les explorateurs analysent pour produire une liste claire. Mais de nombreux tokens, en particulier les plus anciens ou non standard, émettent des événements avec des signatures différentes, utilisent permit au lieu de transfer, ou reposent sur des soldes internes sans émettre d’événements du tout. L’explorateur peut afficher "no transfers" pour une adresse qui détient en réalité des fonds.

Les contrats proxy sont le troisième problème d’exactitude. La plupart des protocoles modernes utilisent un modèle proxy, dans lequel l’adresse avec laquelle vous interagissez est une enveloppe légère qui délègue les appels à un contrat d’implémentation. Le contrat d’implémentation peut être mis à niveau, et le stockage se trouve dans le proxy. Les explorateurs affichent généralement le nom du proxy et l’adresse d’implémentation, mais les petits explorateurs n’affichent parfois que le nom du proxy et masquent entièrement l’implémentation. Un utilisateur qui audite "USDC" peut finir par lire un code source sans pertinence tout en passant à côté de la logique évolutive.

Implications des recherches d’adresses pour la vie privée

Coller une adresse dans un explorateur ressemble à une lecture passive de données publiques, mais ce n’est pas le cas. Votre navigateur envoie la requête de recherche au serveur de l’explorateur, et le serveur voit votre adresse IP, votre emplacement approximatif, l’adresse que vous avez recherchée, l’heure, la page d’où vous venez et les cookies que votre navigateur transporte déjà. Pour la plupart des utilisateurs, cela est invisible. Pour quelqu’un qui enquête sur un hack, un don ou un wallet politiquement sensible, c’est une fuite sérieuse.

Quelques mesures d’atténuation méritent d’être connues. Tor Browser masque votre IP au serveur de l’explorateur. Certains explorateurs proposent un mode "lite" ou "no-JS" qui réduit les données envoyées. Exécuter votre propre instance de Blockscout et y faire pointer votre navigateur supprime entièrement le tiers, au prix du temps de configuration et de l’espace disque. Utiliser un wallet qui prend en charge sa propre vue d’explorateur, comme Rabby ou Frame, garde la recherche dans le wallet plutôt que sur un serveur tiers.

Il faut aussi se rappeler que l’entreprise qui exploite l’explorateur peut être assignée à comparaître, piratée ou contrainte de partager ses journaux. Les recherches d’adresses sont de plus en plus utilisées dans des affaires judiciaires comme preuve qu’une personne enquêtait sur un wallet précis à un moment précis. Les données ne sont pas anonymes simplement parce que vous ne vous êtes pas connecté.

Comment les explorateurs sont trompés par les adresses vanity et les contrats proxy

Les adresses vanity sont des adresses qui commencent ou se terminent par une chaîne choisie, générées par force brute jusqu’à ce que le hachage corresponde. Un escroc peut générer une adresse qui commence par "0xBinance" ou "0xCoinbase", ou qui correspond aux six premiers caractères de l’adresse d’un protocole réel. Pour un utilisateur occasionnel, l’adresse ressemble à la vraie. L’explorateur, s’il affiche l’adresse, ne signale souvent pas que le préfixe vanity est une chaîne personnalisée.

Les contrats proxy aggravent le problème. Un escroc déploie un proxy qui pointe vers un contrat d’implémentation qui ressemble, par son nom et son code source vérifié, à un protocole bien connu. L’adresse elle-même est récente et sans lien. L’utilisateur voit un nom de contrat familier et suppose qu’il est légitime. L’explorateur, qui affiche le nom du contrat à partir du code source vérifié, aide davantage l’escroc que l’utilisateur.

La défense est mécanique, pas intuitive. Vérifiez toujours le déployeur du contrat, pas seulement le contrat lui-même. Lisez l’emplacement d’implémentation sur Etherscan, généralement sous "Contract" et "Read as Proxy". Regardez l’âge du contrat, la liste des détenteurs et les liens d’audit. Recoupez l’adresse avec le site officiel ou le carnet d’adresses d’un portefeuille matériel. Si le code source n’a été vérifié qu’hier et que le contrat compte des milliers d’utilisateurs, considérez-le comme suspect.

Comparer les trois familles côte à côte

Mettre les trois familles sur la même page rend les compromis plus faciles à voir.

La famille Etherscan est soignée, bien dotée en personnel et constitue le standard de facto. Les transactions internes et les transferts de tokens sont bien couverts. Les inconvénients sont la centralisation, le code source fermé et les libellés d’adresses payants. Si vous voulez maximiser vos chances qu’un contrat de niche soit déjà vérifié et étiqueté, commencez ici.

La famille Blockscout est open source et vérifiable. Certains réseaux Layer 2 l’utilisent nativement. Les inconvénients sont une interface plus rugueuse, des écarts de précision occasionnels et la question de savoir qui exploite l’instance que vous utilisez. Si vous tenez à exécuter la vôtre ou à savoir exactement comment fonctionne l’indexeur, c’est cette famille qu’il vous faut.

La longue traîne des tiers est hétérogène. Certains sont des plateformes d’analyse réputées avec des jeux de données approfondis. D’autres sont des clones qui aspirent les données des grands explorateurs et les présentent sans attribution. Les signaux d’alerte sont les noms de domaine qui imitent les grands explorateurs, les pages "à propos" manquantes et les explorateurs qui apparaissent soudainement après un cycle d’engouement. Si vous ne trouvez pas d’équipe, de dépôt ou d’explication claire du financement, considérez les données comme non vérifiées.

La réponse honnête à "meilleur explorateur de blocs comparé" est qu’il n’existe pas de gagnant unique. Le meilleur explorateur pour vérifier une transaction de grande valeur est celui que vous pouvez corroborer avec au moins une autre source indépendante. Le meilleur explorateur pour l’usage quotidien d’un portefeuille est celui qui correspond à la chaîne sur laquelle vous êtes et respecte votre modèle de menace. Le meilleur explorateur pour une recherche sérieuse est celui que vous exécutez vous-même.

Comment vérifier une transaction avant d’agir

Les habitudes de vérification comptent plus que le choix de l’explorateur. Avant d’envoyer des fonds, d’échanger un token ou de signer un message, effectuez les mêmes vérifications que vous feriez sur le CV d’un inconnu. Recoupez le contrat sur au moins deux explorateurs. Confirmez l’adresse du déployeur, l’adresse d’implémentation et la liste des détenteurs. Lisez le code source vérifié, pas seulement le nom. Vérifiez les liens d’audit et la date du dernier audit.

Avant de faire confiance à un portefeuille qui vous a contacté, recherchez l’adresse sur deux explorateurs, vérifiez son âge, sa source de financement et son schéma d’activité. Les adresses récentes sans historique et avec de gros soldes sont un schéma classique de dusting. Les adresses qui se sont financées via Tornado Cash ou un mixeur similaire comportent un risque supplémentaire qu’aucun explorateur ne vous indiquera directement.

Avant de faire confiance à un hash de transaction envoyé par un ami, collez-le dans une nouvelle session d’explorateur, idéalement dans une fenêtre privée. Vérifiez l’expéditeur, le destinataire, la valeur, la méthode et le numéro de bloc. Si l’un de ces éléments ne correspond pas à ce que vous attendiez, n’agissez pas. Les deux minutes que vous y consacrez coûtent bien moins cher que les fonds que vous pourriez perdre.

Comment suivre l’activité on-chain intelligemment

L’activité on-chain évolue plus vite qu’un seul explorateur ne peut l’étiqueter, et l’actualité autour d’une transaction majeure vous parvient généralement avant que l’explorateur n’ait rattrapé son retard. Suivre manuellement les contrats suspects, les nouveaux déploiements et les mouvements de whales signifie rafraîchir les cinq mêmes onglets en espérant capter le moment important. Zippfeed fait remonter les titres Ethereum avec un score de sentiment, bullish, neutral ou bearish, et une note d’importance, afin que vous puissiez repérer les moments qui méritent un examen plus approfondi au lieu d’un simple défilement rapide.