Une étude a révélé que de fausses adresses de paiement ont été utilisées pour cibler 4,5 millions de portefeuilles Solana, soulevant de sérieuses inquiétudes quant à la sécurité des transactions pour toute personne utilisant le réseau Solana pour envoyer ou recevoir des cryptomonnaies.

Ces conclusions, relayées par CryptoSlate, montrent que des attaquants ont semé de fausses adresses de destination dans tout l'écosystème Solana à une échelle que peu d'utilisateurs imaginent. Une adresse de paiement est la chaîne de caractères unique qui indique à un réseau blockchain où envoyer des fonds, fonctionnant un peu comme un numéro de compte bancaire. Si cette chaîne est remplacée par une contrefaçon, l'argent part vers une destination jamais voulue par son propriétaire.

Ce que l'étude a révélé

La recherche a identifié 4,5 millions de portefeuilles Solana exposés à de fausses adresses de paiement. L'ampleur du ciblage place cette campagne parmi les opérations d'empoisonnement d'adresses les plus vastes observées sur un réseau blockchain.

La tactique au cœur de cette découverte est communément appelée « address poisoning » (empoisonnement d'adresses). Les attaquants génèrent des adresses de portefeuille ressemblant étroitement à une adresse légitime, reprenant souvent les premiers et derniers caractères. Ce détail est délibéré : de nombreuses interfaces de portefeuille abrègent les adresses à l'écran, n'affichant que les caractères du début et de la fin, précisément ce que les utilisateurs ont tendance à survoler avant de confirmer un envoi. Les attaquants injectent ensuite ces adresses trompeuses dans l'historique des transactions de la victime, espérant qu'elle en copie une par erreur lors de son prochain envoi de fonds. L'historique d'un portefeuille n'étant qu'une liste de transferts passés, la fausse entrée se glisse parmi les véritables, ce qui la rend facile à confondre avec un correspondant habituel.

Ce type d'attaque ne nécessite pas qu'un pirate s'introduise dans un portefeuille ni qu'il dérobe une clé privée. Elle exploite plutôt une habitude humaine : la tendance à copier une adresse récente depuis l'historique des transactions plutôt que de la ressaisir manuellement. Un ciblage à cette échelle rappelle que même les portefeuilles sécurisés peuvent être compromis par ce qui se passe à l'extérieur d'eux. Des méthodes similaires d'usurpation d'adresses ont également été liées à des vols plus importants, comme dans des affaires impliquant de fausses interfaces de portefeuille utilisées dans une enquête sur un vol 86 millions de dollars.

Pourquoi cela compte pour les utilisateurs de Solana

Être ciblé ne signifie pas automatiquement que des fonds ont été volés. Dans ce contexte, être ciblé signifie qu'une fausse adresse a été introduite dans l'environnement d'un portefeuille, le plus souvent via une petite transaction « dust » envoyée au véritable portefeuille. Le risque ne se transforme en perte réelle que si le propriétaire du portefeuille agit sur la fausse adresse.

Le réseau Solana traite un volume élevé de transactions à faible coût, ce qui rend relativement bon marché pour les attaquants le fait d'inonder des milliers de portefeuilles de ces transactions dust. Cet avantage de coût aide à expliquer comment le ciblage a pu atteindre 4,5 millions de portefeuilles. Pour comprendre comment une simple exposition peut dégénérer en perte confirmée, l'incident antérieur du drainage de portefeuilles lié à Ledger, d'un montant de 92,9 millions de dollars, a montré à quelle vitesse des vulnérabilités au niveau des adresses peuvent se traduire en dommages financiers réels.

Ce que les utilisateurs de portefeuilles Solana doivent faire

La défense la plus efficace est simple : ne jamais copier une adresse de paiement depuis son historique de transactions sans la vérifier auprès d'une source fiable. Lorsque vous payez quelqu'un, demandez son adresse directement à cette personne à chaque fois, plutôt que de la tirer d'une transaction passée.

Avant d'approuver une transaction, lisez l'intégralité de l'adresse de destination. La plupart des portefeuilles affichent l'adresse complète avant la confirmation. Prenez quelques secondes pour vérifier que les premiers et derniers caractères correspondent à ce que vous attendez. Toute discordance, même d'un seul caractère, est un signal d'alerte.

Traitez toute transaction entrante inattendue provenant d'une adresse inconnue comme suspecte. Un petit dépôt non sollicité est souvent le prélude à une tentative d'empoisonnement d'adresse, pas un cadeau. N'interagissez pas avec lui et ne copiez aucune adresse qui y est associée.

Si vous utilisez un portefeuille matériel ou un portefeuille logiciel doté d'un carnet d'adresses, enregistrez-y vos adresses les plus utilisées et puisez dans cette liste sauvegardée plutôt que dans l'historique des transactions. Cela élimine entièrement les entrées empoisonnées de votre flux de travail.

Le chiffre de 4,5 millions de portefeuilles rappelle que la sécurité blockchain ne se limite pas à protéger sa clé privée. Elle implique aussi de prêter une attention rigoureuse à la destination réelle de ses transactions avant d'appuyer sur « envoyer ». Et tant que l'envoi reste quasi gratuit sur les réseaux à haut débit, le dusting de masse demeure peu coûteux à exécuter — ce qui fait de l'habitude de vérifier l'adresse complète au moment de l'envoi la protection qui compte finalement le plus.

Avertissement : cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d'investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Faites toujours vos propres recherches avant de prendre des décisions.