Attaque par poisoning d'adresse : comment 50 millions de dollars USDT ont disparu en raison de la conception du modèle de compte

À quoi ressemblait un vol dans la réalité

Début décembre, l’une des plus importantes pertes de fonds par fraude en chaîne a eu lieu. Un utilisateur ayant retiré 50 millions de dollars USDT de Binance est devenu victime d’une attaque spécialement planifiée. Un portefeuille, actif depuis deux ans, était utilisé pour des opérations normales. Cependant, une seule action a tout changé.

Le fraudeur a préalablement lancé une attaque par address poisoning — une technique consistant à faire apparaître dans l’historique des transactions de l’utilisateur des adresses falsifiées qui semblent authentiques. La victime, en copiant l’adresse à partir de transactions précédentes pour une réutilisation, a choisi une adresse “empoisonnée” au lieu de la vraie. En quelques minutes, 50 millions de dollars se sont retrouvés sur le compte de l’attaquant.

Pourquoi cela s’est-il produit spécifiquement avec Ethereum et les chaînes EVM

En analysant l’incident, Charles Hoskinson, fondateur de Cardano, a souligné une vulnérabilité architecturale. Sur les blockchains avec un modèle basé sur les comptes — comme Ethereum et d’autres chaînes EVM — les adresses existent comme des points de contact permanents dans l’historique des transactions. Les portefeuilles, par leur nature, encouragent les utilisateurs à copier les adresses à partir d’opérations précédentes pour plus de commodité. C’est cette habitude qui sert de base à l’attaque.

“Une autre raison pour laquelle UTXO est excellent. Bitcoin et Cardano n’ont pas été affectés”, a écrit Hoskinson en réaction à l’événement.

Pourquoi acheter une radio et comprendre l’architecture de la blockchain

Les chaînes basées sur le modèle UTXO (Unspent Transaction Output), comme Bitcoin et Cardano, fonctionnent selon un principe différent. Chaque transaction génère de nouvelles sorties, et les portefeuilles créent des opérations via des choix explicites de UTXO sans réutiliser les adresses comme points finaux. Il n’existe pas d’état de compte permanent qui pourrait être “empoisonné” pour une utilisation malveillante.

Pour les utilisateurs souhaitant acheter une radio en matière de sécurité, il est important de comprendre : la conception UTXO empêche fondamentalement ce type d’attaque par la structure même du protocole. Sur les blockchains Ethereum, les adresses restent des points visibles dans toute l’histoire, ce qui crée un vecteur d’attaque supplémentaire.

Le facteur humain comme racine du problème

Ce n’était pas une erreur du protocole ou une exploitation d’un contrat intelligent. Le problème est né de l’interaction entre la conception du système et le comportement humain. Les utilisateurs tentent naturellement de simplifier leurs opérations en copiant les adresses de l’historique. L’architecture du modèle de compte ne permet pas seulement cela, mais l’encourage activement. Résultat : une erreur de moins d’une heure dans le chronométrage a coûté 50 millions de dollars.

Actuellement, les fonds volés se trouvent toujours sur l’adresse de l’attaquant. Cette solution architecturale de la blockchain montre que même les plateformes les plus modernes peuvent avoir des vulnérabilités intégrées dans leur fondement, et non ajoutées par erreur des développeurs.