Un utilisateur d’Ethereum aurait perdu 1 010 ETH dans une attaque de phishing liée à Tornado Cash après avoir interagi avec ce qui a été présenté comme une version expirée de l’interface front-end de l’outil de confidentialité, selon de premiers signalements qui restent indépendamment non vérifiés.

Ce que l’on sait de la perte signalée de 1 010 ETH

L’incident a été relayé par le journaliste crypto WuBlockchain sur X, qui a indiqué qu’un utilisateur avait perdu les fonds dans une attaque de phishing. Le signalement n’a pas été confirmé de manière indépendante à ce stade.

Une autre publication sociale de Cryptopolitan décrivait la même perte comme étant survenue après que la victime a visité une interface expirée de Tornado Cash. L’adresse associée peut être consultée sur Etherscan pour un contexte on-chain.

• Perte signalée : 1 010 ETH, attribuée à une attaque de phishing.
• Vecteur mentionné : une interface de marque Tornado Cash, apparemment expirée.
• Statut : signalé, non confirmé indépendamment.

Comment un leurre de phishing Tornado Cash peut piéger les utilisateurs

Le phishing dans la cryptomonnaie cible généralement l’utilisateur plutôt que le protocole. Au lieu de casser un smart contract, l’attaquant trompe la victime afin qu’elle signe une transaction malveillante ou une autorisation de jeton qui vide son portefeuille. Autrement dit, l’attaque a nécessité la propre signature de la victime — une approbation que l’attaquant n’aurait pas pu obtenir autrement.

Cette distinction est importante ici. Les signalements présentent l’incident comme du phishing, et non comme une faille du protocole, ce qui signifie que le risque se situait au niveau de l’interaction avec le portefeuille plutôt que dans le code sous-jacent de Tornado Cash hébergé sur le site officiel du projet. Tornado Cash est lui-même un mixer qui utilise des preuves à divulgation nulle de connaissance pour rompre le lien on-chain entre l’expéditeur et le destinataire, ce qui en a fait l’un des outils de confidentialité les plus utilisés sur Ethereum avant que les autorités américaines n’affirment qu’il avait aussi servi à blanchir des milliards de dollars, y compris des fonds liés au groupe Lazarus de la Corée du Nord.

Ce passé juridique éclaire la manière dont une interface front-end laissée à l’abandon peut devenir un piège. Le Trésor américain a sanctionné Tornado Cash en août 2022, laissant l’interface officielle hors ligne pendant une période prolongée durant laquelle des miroirs et des copies archivées ont circulé ; une décision de la Cinquième Cour d’appel fédérale rendue en novembre 2024 a estimé que les sanctions allaient trop loin, et celles-ci ont été levées en mars 2025, après quoi le site officiel est revenu. Une période sans interface canonique, toujours en ligne, est précisément le type d’environnement dans lequel d’anciens favoris de navigateur et des domaines mémorisés orientent les utilisateurs vers des copies obsolètes ou ressemblantes.

Les domaines d’application abandonnés ou arrivés à expiration constituent un danger connu. La société de sécurité Coinspect a documenté comment des dApps « zombies » dotées d’infrastructures expirées peuvent être réenregistrées ou usurpées, transformant une adresse autrefois digne de confiance en piège qui récupère les autorisations des utilisateurs revenant sur le service. Quelqu’un qui se fie à un ancien favori ou à un domaine mémorisé peut se retrouver face à une page qui semble authentique tout en collectant des approbations.

Ce que cela signifie pour la sécurité des portefeuilles Ethereum

Une perte de plusieurs milliers d’ETH souligne pourquoi la vérification du front-end reste un point faible persistant, même pour des utilisateurs habitués à l’auto-garde. Des noms de marque reconnus n’offrent aucune garantie que la page chargée dans le navigateur est bien la page légitime. Il ne s’agit pas non plus d’une menace marginale : des approbations malveillantes sont diffusées via des kits loués de « wallet drainer », et des sociétés de sécurité on-chain ont mesuré des centaines de millions de dollars prélevés sur des victimes au moyen de signatures trompeuses en une seule année.

Les défenses pratiques reposent sur la vigilance avant signature. Cela signifie vérifier l’URL exacte, lire le contenu de chaque transaction plutôt que d’approuver aveuglément, et examiner périodiquement puis révoquer les autorisations de jetons accordées à d’anciennes applications — une tâche pour laquelle des outils gratuits comme Revoke.cash et le vérificateur d’autorisations de jetons d’Etherscan ont été conçus.

La même prudence s’applique aux parcours d’onboarding et de paiement, où les utilisateurs alimentent de plus en plus leurs portefeuilles via des rails destinés aux particuliers, ainsi qu’aux juridictions qui formalisent l’accès de détail, comme la décision de la Russie d’autoriser la négociation publique d’Ethereum et d’autres actifs. L’adoption plus large élargit le bassin de cibles que les opérateurs de phishing tentent d’atteindre.

Tant que le signalement n’est pas corroboré, l’interprétation la plus prudente reste celle de la mise en garde : considérer toute interface d’outil de confidentialité, surtout si elle a pu expirer, comme non vérifiée tant que son domaine et ses interactions avec les contrats n’ont pas été examinés directement. Les prochaines étapes naturelles seraient une confirmation indépendante par des chercheurs en sécurité, le traçage on-chain des 1 010 ETH depuis l’adresse liée, et l’identification du domaine en cause — aucun de ces éléments n’ayant encore été fourni par les premiers signalements.

Avertissement : cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou en investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Faites toujours vos propres recherches avant de prendre une décision.