Drainers de portefeuille en 2026 : l'évolution du phishing

Ce qu'est réellement un wallet drainer en 2026

Un wallet drainer est un code malveillant, généralement composé d'un smart contract et d'un site de phishing, conçu pour vous convaincre d'accorder la permission de transférer des actifs hors de votre portefeuille. L'ancienne version de cette arnaque, à savoir un faux site d'airdrop qui demandait votre phrase de récupération, est aujourd'hui largement obsolète car des années d'avertissements ont appris aux utilisateurs à ne jamais saisir ces douze mots en ligne.

Ce qui l'a remplacée est bien plus sophistiqué. Les kits de drainers modernes se vendent comme des services par abonnement sur des forums du dark web, avec des frais mensuels, des tableaux de bord et un support client pour les criminels qui les louent. Les opérateurs bénéficient d'un panneau d'administration convivial permettant de choisir les tokens et NFT à cibler, de définir des plafonds d'approbation et de suivre les revenus en temps réel. Certains de ces kits ont permis de dérober des sommes à neuf chiffres lors d'une seule campagne.

Ce changement compte car l'expérience utilisateur a évolué. Vous n'avez plus besoin d'être trompé au point de révéler vos clés. Il suffit d'être incité à cliquer sur « signer » lors de ce qui ressemble à une confirmation banale. Le temps que le portefeuille finisse d'expliquer ce qui vient de se passer, le drainer a déjà soumis une transaction qui aspire vos stablecoins, votre ETH, votre SOL ou vos NFT les plus précieux.

C'est pourquoi le paysage des menaces en 2026 diffère de tout ce qui l'a précédé. La défense ne se résume plus à « ne jamais partager sa phrase de récupération ». Il s'agit d'une liste de contrôle plus longue et plus technique que l'utilisateur moyen n'a jamais apprise.

Pourquoi les anciens conseils ne vous protègent plus

Si votre représentation mentale du vol en crypto est « quelqu'un m'a piégé pour que je tape ma phrase de récupération », vous vous défendez contre une attaque d'un autre temps. Trois évolutions rendent cette recommandation insuffisante.

Premièrement, les hardware wallets et les logiciels de portefeuille modernes avertissent désormais bruyamment lorsqu'un site demande la saisie d'une seed. L'économie des drainers a réagi en migrant vers le vol basé sur les signatures, où aucun secret ne quitte votre appareil. Vous signez ce qui ressemble à une connexion ou à une réclamation standard, et le portefeuille affiche un message vague indiquant une « interaction avec un contrat ». Ce flou est précisément l'attaque.

Deuxièmement, la plupart des dapps légitimes utilisent désormais des approbations groupées, des signatures sans gaz et des messages hors chaîne pour fluidifier l'expérience. Les drainers exploitent les mêmes mécanismes. Du point de vue du portefeuille, signer un message Permit2 est indistinguishable de signer une cotation Uniswap. Le portefeuille ne peut pas distinguer l'élément malveillant sans lire le contrat, ce que la plupart des portefeuilles ne font pas pour vous.

Troisièmement, les attaquants ont déplacé leur ingénierie sociale hors chaîne. Le site de phishing n'est que la porte d'entrée. La véritable manipulation se déroule dans les messages privés, les groupes Telegram, les serveurs Discord et les annonces des moteurs de recherche qui mènent vers un clone convaincant. Au moment où vous arrivez sur le site malveillant, vous avez déjà été préparé à lui faire confiance.

Abus de signatures Permit et Permit2

Permit est une norme de jetons Ethereum (EIP-2612) qui vous permet d'autoriser un contrat à dépenser vos jetons sans payer de gas pour la transaction d'approbation. Permit2, poussé par Uniswap, généralise ce principe : une seule signature hors chaîne peut accorder des droits étendus sur de nombreux jetons à la fois.

Pour les utilisateurs honnêtes, c'est pratique. Pour les drainers, c'est un cadeau. Un seul message Permit2 signé peut dire « autoriser le spender à transférer n'importe quelle quantité des jetons listés, sans expiration ». Le portefeuille affiche alors quelque chose comme « Signer le message » avec un long bloc de texte que la plupart des utilisateurs ne lisent pas. Si l'utilisateur clique sur confirmer, le backend du drainer peut ensuite appeler la fonction permit et retirer les fonds à tout moment, même plusieurs jours plus tard.

Le danger est amplifié par ce que les portefeuilles ne montrent pas. De nombreuses interfaces de portefeuille affichent des versions tronquées ou humanisées des signatures, et elles ne peuvent pas toujours décoder une charge utile Permit2 en « cela permet à un inconnu de vider vos USDC ». Certains portefeuilles ont commencé à ajouter des avertissements pour les schémas Permit2 connus, mais la couverture est inégale, en particulier sur Solana, où la signature hors chaîne de messages se comporte différemment.

Les habitudes défensives ici sont mécaniques. Traitez toute invite « Signer le message » qui ne provient pas d'une dapp à laquelle vous vous êtes connecté intentionnellement comme un signal d'alerte. Lisez la charge utile décodée si votre portefeuille le propose. Pour les soldes importants, privilégiez les approbations on-chain avec un montant précis et une courte expiration, et révoquez-les lorsque vous avez terminé.

Empoisonnement d'adresses à l'échelle industrielle

L'empoisonnement d'adresse exploite le fait que les blockchains permettent à n'importe qui d'envoyer des jetons à n'importe qui d'autre pour une somme dérisoire. Un opérateur de drainer génère des milliers d'adresses de portefeuille, choisit celles dont les premiers et derniers caractères correspondent aux adresses avec lesquelles vous avez récemment transigé, et vous envoie une transaction de dust quasi sans valeur.

Vous ne remarquez pas la poussière entrante. Plus tard, lorsque vous copiez une adresse pour envoyer des fonds, vous récupérez l'adresse empoisonnée dans votre historique de transactions, car les six premiers et les quatre derniers caractères semblent identiques au véritable destinataire. Le transfert est effectué, et les fonds arrivent dans le portefeuille de l'attaquant.

Sur Ethereum, le coût de génération de milliers de ces adresses ressemblantes et de leur envoi de poussière est désormais suffisamment bas pour que les opérateurs gèrent cela comme une infrastructure de fond, et non comme une campagne ciblée. Sur Solana, l'économie est encore moins chère, car les frais de transaction de base représentent une fraction de centime et les transferts de jetons SPL peuvent être encore moins coûteux.

L'atténuation est principalement procédurale. Vérifiez toujours l'adresse complète, et pas seulement le préfixe et le suffixe. Utilisez la fonctionnalité de carnet d'adresses de votre portefeuille afin de copier à partir d'un contact étiqueté, et non à partir d'une liste de transactions. Pour les transferts de valeur élevée, envoyez d'abord une petite transaction de test. Envisagez des portefeuilles qui signalent la poussière entrante provenant de sources inconnues.

Usurpation d'identité du support générée par IA

La couche la plus humaine des attaques modernes de drainers est l'usurpation d'identité du support client. Les opérateurs ensemencent des serveurs Discord, des groupes Telegram et même des réponses sur X avec des comptes qui semblent légitimes : photos de profil récupérées auprès de vrais membres de l'équipe, variations de handles réalistes et historique de commentaires utiles dans des fils sans rapport.

Ce qui a changé en 2025 et 2026, c'est l'utilisation de l'IA générative. Des clones vocaux de fondateurs ont été utilisés lors d'appels Telegram en direct pour convaincre les utilisateurs qu'un « agent de support » était réel. Des avatars vidéo générés par IA sont apparus dans des messages privés en se faisant passer pour du personnel de conformité de grandes plateformes. Des chatbots IA entretiennent de longues conversations patientes avec les victimes, les guidant à travers le processus de « vérification » qui se termine sur un site de drainer.

La raison pour laquelle cela fonctionne, c'est que l'usurpation est patiente. L'attaquant n'a pas besoin de vous précipiter à travers un mauvais lien en trente secondes. Il peut passer des jours à établir une relation de confiance sur un serveur Discord, puis vous envoyer un DM concernant un faux airdrop, puis vous guider à travers un processus de « réclamation » qui signe un message Permit2. Au moment où vous atteignez le site malveillant, vous croyez parler à un véritable employé.

La défense consiste à traiter par défaut tous les DM non sollicités comme hostiles. Les véritables équipes de support des grands projets n'initient presque jamais le contact dans un DM ; elles vous orientent vers un système de tickets ou une adresse e-mail officielle. Si quelqu'un vous contacte en premier en prétendant faire partie de l'équipe de support d'un projet, il s'agit, avec une probabilité écrasante, d'une arnaque. Vérifiez via un canal que vous avez ouvert vous-même, et non via un canal fourni par le contact.

Extensions de navigateur malveillantes et chevauchement de portefeuille

Les extensions de navigateur constituent un vecteur plus silencieux, mais en pleine croissance. Le schéma est simple. Un attaquant clone ou personnalise une extension de portefeuille légitime, la répertorie sur un store Chrome ou Firefox avec un nom et une icône similaires, et attend que les utilisateurs l'installent par erreur. Une fois installée, l'extension peut réécrire les adresses sur les pages web, modifier les détails de la transaction dans la popup du portefeuille, ou appeler des contrats de phishing dès que l'utilisateur se connecte.

Une variante plus subtile se greffe sur des extensions légitimes. Certains opérateurs de drainers rachètent des extensions existantes ayant un faible nombre d'installations, poussent une mise à jour malveillante, et laissent la base d'utilisateurs existante se mettre à jour automatiquement vers une version compromise. L'extension semble toujours fonctionner normalement, mais elle collecte désormais les messages signés et les relaie vers des serveurs contrôlés par l'attaquant.

Les portefeuilles mobiles font face à un risque parallèle. De fausses applications de portefeuille apparaissent dans les app stores, atteignant parfois brièvement le sommet des résultats de recherche grâce à de la promotion payante, et elles génèrent des seed phrases que l'attaquant connaît déjà. Le temps que l'utilisateur alimente le portefeuille, les actifs sont transférés en quelques minutes.

Les défenses ici sont environnementales. Installez les extensions de portefeuille uniquement depuis les sites officiels des projets que vous avez l'intention d'utiliser. Examinez les autorisations qu'une extension demande et révoquez tout ce qui n'est pas nécessaire aux opérations du portefeuille. Sur mobile, vérifiez le nom du développeur, le nombre d'installations et la date de la dernière mise à jour avant d'alimenter toute nouvelle application de portefeuille.

Premiers secours : que faire dans les cinq minutes suivant une signature dangereuse

Si vous pensez avoir signé quelque chose de malveillant, les prochaines minutes déterminent lampleur de vos pertes. La rapidité compte, car de nombreux pirates patientent quelques minutes, voire quelques heures, avant d encaisser, en espérant que vous ne remarquerez rien.

La première étape consiste à cesser d interagir avec l application décentralisée qui a produit la signature. Fermez l onglet, déconnectez votre portefeuille du site si l option est encore disponible, et ne signez aucune transaction supplémentaire depuis le portefeuille compromis. La prochaine signature que vous apposeriez pourrait être une charge utile de second stade qui aggrave encore vos autorisations.

La deuxième étape consiste à transférer vos actifs restants vers un portefeuille sain qui n a jamais interagi avec le site suspect. Utilisez un portefeuille matériel si vous en avez un, ou un portefeuille fraîchement installé dont la phrase de récupération a été générée hors ligne. Faites-le depuis le portefeuille compromis, en signant un transfert normal (et non une autorisation) vers la nouvelle adresse. Si le pirate a déjà vidé certains jetons, donnez la priorité à ceux qui n ont pas encore été pris.

La troisième étape consiste à révoquer les autorisations. Sur Ethereum, des services comme revoke.cash peuvent recenser toutes les autorisations que votre portefeuille a jamais accordées et vous permettre de soumettre des révocations en chaîne. Effectuez cette opération depuis le portefeuille compromis avant de le passer en mode lecture seule. Notez que la révocation coûte du gaz et que les pirates surveillent parfois le mempool à l affût de révocations ; transférez donc d abord les fonds, puis révoquez.

La quatrième étape consiste à examiner la transaction réelle ou le message signé. Sur Etherscan ou Solscan, retrouvez la transaction la plus récente émise par votre portefeuille et vérifiez si elle a interagi avec un contrat de vidage connu. Si vous avez signé un message Permit2 mais qu aucune transaction en chaîne n est encore apparue, le pirate attend peut-être encore de la soumettre. Traitez tout message signé non confirmé comme une munition active.

La cinquième étape consiste à alerter les projets concernés. Si le pirate s est fait passer pour un protocole connu, contactez ce protocole via un canal officiel afin qu il puisse prévenir d autres utilisateurs. Signalez le site malveillant à Google Safe Browsing, à l éditeur du portefeuille et à toute société d analyse de chaîne qui publie des adresses d escroquerie.

Comment lire avec un regard critique la nouvelle vague d actualités sur les draineurs

Les actualités sur les draineurs en 2026 se présentent généralement sous deux formes. La première, ce sont des titres sensationnalistes sur une seule campagne dérobant des dizaines de millions, qui recyclent souvent d anciennes captures d écran et gonflent les chiffres. La seconde, ce sont des analyses post-mortem trop techniques de cabinets de sécurité qui nomment les contrats, mais n expliquent pas l ingénierie sociale qui a conduit à la signature.

Concentrez-vous sur les détails qui comptent : quel type de signature a été détourné, quelle application a été usurpée, quelle chaîne était visée, et si la campagne est toujours active. Ignorez les pertes totales aux chiffres ronds, sauf si elles proviennent d un portefeuille vérifiable en chaîne, et ignorez les promesses qu un « nouvel outil » vous rendra immunisé. Aucun outil ne remplace la discipline élémentaire qui consiste à lire ce que vous signez.

Gardez une longueur d avance sur les draineurs de portefeuille avec Zippfeed

Les tactiques des draineurs de portefeuille évoluent chaque semaine, et suivre quelles signatures, quelles chaînes et quelles usurpations sont actives en ce moment est un travail à part entière. Zippfeed agrège les titres crypto du web entier, attribue à chacun une note haussière, neutre ou baissière, et les classe par importance, afin que vous puissiez repérer les nouveaux schémas de hameçonnage et les alertes de sécurité avant qu ils n atteignent votre portefeuille. Utilisez-le pour rester au fait de l actualité crypto sans avoir à courir après chaque fil de discussion sur les forums.