Le Bitcoin, fleuron de la finance décentralisée, n’est pas à l’abri des arnaques sophistiquées. Parmi elles, l’empoisonnement d’adresse s’impose comme une menace croissante, exploitant les faiblesses humaines et techniques des utilisateurs de portefeuilles crypto.

🚨 Une nouvelle forme d’ingénierie sociale

Jameson Lopp, directeur de la sécurité chez Casa, a révélé l’ampleur de ce phénomène dans un essai détaillé. L’attaque consiste à générer une adresse Bitcoin presque identique à celle d’un utilisateur ciblé, en copiant les premiers et derniers caractères. Ces adresses frauduleuses sont créées en masse à l’aide d’outils générant des clés privées.

🎯 Étapes de l’attaque :

1. Création d’adresses ressemblant aux adresses récemment utilisées par la victime.
2. Dépôt d’une petite somme sur ces adresses pour « contaminer » l’historique des transactions visibles dans le portefeuille de la cible.
3. L’utilisateur, pensant réutiliser une adresse connue, envoie par erreur ses fonds vers l’adresse de l’attaquant.

L’analyse de la blockchain montre qu’entre juillet 2023 et janvier 2025, près de 48 000 transactions suspectes ont été détectées, correspondant à des tentatives d’empoisonnement.

💡 Pourquoi ça fonctionne ?

Erreur humaine : les utilisateurs se fient souvent à une correspondance partielle d’adresse.
Interfaces raccourcies : de nombreux portefeuilles affichent des adresses tronquées.
Réutilisation de l’historique : la commodité pousse à copier-coller depuis les dernières transactions.

💰 Impact financier : pertes colossales

Selon Cyvers, plus de 1,2 million de dollars ont été volés via ce type d’attaque rien qu’en mars 2025, montant qui atteignait 1,8 million en février.
Le PDG de Cyvers, Deddy Lavid, souligne que ces pertes s’inscrivent dans une tendance alarmante. PeckShield estime à 1,6 milliard de dollars les pertes globales en crypto au premier trimestre 2025, dominées par le piratage de Bybit (1,4 milliard $).
Ces arnaques sont souvent orchestrées par des groupes liés à l’État nord-coréen, comme le tristement célèbre Lazarus Group. Leurs techniques incluent le phishing, les fausses offres d’emploi et les appels vidéo frauduleux.

🧑‍💻 Profils des victimes et tactiques des attaquants

Près de 12 199 adresses ciblées n’ont jamais dépensé d’argent, signe d’un ciblage massif peu optimisé.
La majorité des cibles effectuent des transactions inférieures à 10 BTC.
Aucune adresse Taproot (P2TR) n’a été identifiée comme cible.
Certains cas isolés, comme l’adresse bc1qr9wuw4zkjflet80lr9cr5ec8620c4fg52wua0h, montrent que 0,1 BTC ont été volés à une victime en exploitant cette méthode. Bien que cela puisse paraître faible, ce montant aurait pu être bien plus élevé si l’attaquant avait intercepté les 8 BTC détenus initialement par la victime.

🛡️ Comment se protéger ?

Vérifiez toujours l’adresse complète avant tout envoi.
Utilisez des contacts ou des étiquettes dans votre portefeuille.
Ne vous fiez jamais à l’historique ou à la « commodité » des adresses enregistrées.
Évitez de réutiliser les adresses. C’est une bonne pratique Bitcoin.

📈 À surveiller et prochaines étapes

Lopp et d’autres experts appellent à une amélioration des interfaces utilisateur dans les portefeuilles, notamment pour afficher les adresses complètes afin de réduire les risques d’erreur humaine.
Lopp a partagé ses scripts et données pour encourager une analyse plus poussée. Parmi les pistes de recherche :
Profilage détaillé des attaquants et clustering des fonds volés.
Analyse plus fine des cibles et de leurs logiciels de portefeuille.
Étude UX des portefeuilles les plus vulnérables.

🔎 DUC Mon Avis : Le danger est réel, mais évitable

Cette attaque repose davantage sur la négligence humaine que sur la technique. Tant que les utilisateurs vérifieront systématiquement les adresses, le risque peut être contenu. Mais l’émergence d’attaques de ce type souligne la nécessité d’une éducation renforcée et d’interfaces plus sécurisées.
À mesure que le Bitcoin et les cryptos gagnent en adoption, les pirates redoubleront d’ingéniosité. Restons vigilants, formons-nous, et n’oublions jamais : « Pas votre clé, pas votre Bitcoin. »

DUC

Source: Jameson Lopp

🚀 Rejoignez-moi sur YouTube et Twitch pour plus de contenu exclusif !

📢Une communauté dynamique, préparez-vous à prendre des décisions informées dans cet univers passionnant ! Comprendre, Apprendre, Réussir…

• 👉 YouTube Actualités : DUC Bitcoin
• 👉 YouTube Trading : DUC-TRADING Stratégies
• 👉 Twitch : DUC Bitcoin Live

🔔 Abonnez-vous et activez les notifications pour ne manquer aucun contenu :

• Sur YouTube : Toutes les actualités Bitcoin. Un oeil sur tout le Web3
• Sur Twitch : Des lives interactifs, des Q&A, et des discussions en temps réel sur Bitcoin (politiques , techniques, minages etc) et les mouvements du marché des cryptomonnaies.

À bientôt, en live ou en vidéo, DUC