Lorsque des hackers ciblent vos « habitudes », comment réduire le risque de poisoning d'adresse dès la source ?

Dans le monde du Web3, la première réaction de beaucoup face à la sécurité est de protéger les clés privées, les phrases de récupération et les permissions d’autorisation.

Bien sûr, ces éléments sont importants, mais dans la pratique, il existe un type de risque qui ne provient pas d’une fuite de clé privée, ni d’une vulnérabilité de contrat, mais qui survient lors d’une opération tout à fait ordinaire : copier une adresse.

La toxification d’adresse exploite justement ce point. Elle ne consiste pas à pirater un système pour en tirer profit, mais à utiliser la falsification, la perturbation et l’inductions pour amener l’utilisateur, lors d’un processus de transfert apparemment normal, à envoyer ses actifs à une adresse erronée.

Ce type d’attaque est difficile à contrer, non pas parce qu’il nécessite une expertise technique élevée, mais parce qu’il exploite précisément les habitudes visuelles et la dépendance aux chemins de l’utilisateur dans ses opérations quotidiennes.

Qu’est-ce que la toxification d’adresse ?

La toxification d’adresse consiste pour un attaquant à générer une adresse falsifiée très similaire visuellement à l’adresse que l’utilisateur utilise habituellement, puis à l’injecter dans l’historique des transactions via une transaction à 0 ou à très faible montant.

Lorsqu’un utilisateur doit effectuer un transfert, s’il copie simplement l’adresse depuis l’historique sans vérifier chaque caractère, il risque de transférer ses actifs à une adresse falsifiée préparée par l’attaquant.

Ce type d’attaque n’est pas rare. Au cours des deux dernières années, plusieurs cas publics ont été documentés, prouvant que la toxification d’adresse peut entraîner des pertes concrètes, et même que la pratique de faire un petit test avant un transfert officiel ne suffit pas toujours à éviter le risque.

Plus inquiétant encore, avec la mise à niveau de Fusaka qui a considérablement réduit les frais de Gas, le coût marginal de ces attaques a également diminué. Selon Blockaid, en janvier 2026, le nombre de tentatives de toxification sur la chaîne a atteint 3,4 millions, soit une croissance de 5,5 fois par rapport à novembre dernier (628 000), avec une explosion du taux de toxification.

Pourquoi la toxification d’adresse est-elle si facile à exploiter ?

Techniquement, la toxification d’adresse n’est pas compliquée ; ce qui la rend difficile à prévenir, c’est qu’elle exploite plusieurs faiblesses naturelles dans les opérations des utilisateurs.

1. La vérification manuelle de l’adresse n’est pas adaptée

Une adresse sur la blockchain est généralement composée de 42 caractères. Pour la majorité des utilisateurs, vérifier chaque caractère est irréaliste, peu fiable et peu durable. Souvent, ils ne regardent que les premières et dernières lettres, en se fiant à l’impression que c’est « probablement la bonne », puis passent à l’étape suivante. Les attaquants conçoivent leurs falsifications en exploitant cette habitude.

2. Les transactions malveillantes se mêlent au bruit des transactions normales

Les transactions de toxification apparaissent souvent avec des montants très faibles ou nuls, et ne diffèrent pas fondamentalement d’un transfert ordinaire. Lorsqu’elles s’intègrent dans l’historique réel, il devient difficile pour l’utilisateur de distinguer rapidement, à l’œil nu, entre les transactions légitimes et celles qui sont intentionnellement perturbatrices.

3. Les alertes traditionnelles arrivent souvent trop tard

De nombreux rappels de sécurité interviennent avant la confirmation du transfert. Mais pour la toxification d’adresse, le moment critique est souvent plus tôt — au moment où l’utilisateur décide de copier une adresse depuis l’historique.

Si la détection et l’alerte ne se produisent qu’à la toute fin, le chemin d’erreur a déjà été tracé.

Pour faire face à la toxification d’adresse, le portefeuille doit faire plus que simplement « avertir »

Ce type de risque ne peut pas être complètement éliminé par une simple vigilance accrue de l’utilisateur.

En tant qu’interface entre l’utilisateur et la blockchain, le portefeuille doit assumer davantage de responsabilités en matière de jugement préalable et de protection proactive, en identifiant et en bloquant le risque dès les premiers points de contact, plutôt que de tout laisser à la seule vigilance de l’utilisateur.

Dans imToken 2.19.0, nous avons renforcé la gestion des risques liés à la toxification d’adresse. Notre approche ne consiste pas à ajouter un seul message d’alerte, mais à intégrer la détection, le filtrage, l’alerte et la vérification à des étapes plus appropriées dans le flux d’opération.

Trois niveaux de protection contre la toxification d’adresse

1. Cacher les transactions à haut risque, réduire la pollution de l’historique

Pour contrer la pollution des historiques par des adresses malveillantes via de petites transactions ou des transactions à 0, la nouvelle version active par défaut la fonction « cacher les transactions à risque ».

Lorsque le système détecte une transaction de toxification à haut risque, il la filtre en priorité dans l’historique et les notifications associées, pour limiter la visibilité de ces perturbations.

L’objectif n’est pas seulement d’alléger l’interface, mais surtout de réduire dès la source la probabilité que l’utilisateur copie une adresse risquée depuis l’historique.

2. Mettre l’alerte en amont lors de l’action de copie

Le point clé de la toxification d’adresse n’est pas le bouton de transfert lui-même, mais l’étape de copie d’adresse.

Ainsi, lorsque l’utilisateur effectue une opération de copie depuis la page de détails d’une transaction, le système affiche une alerte claire, guidant l’utilisateur à vérifier l’adresse plus attentivement, plutôt que de se fier uniquement aux premiers et derniers caractères.

Comparé à une simple alerte avant le transfert, cette approche se situe à un moment plus critique, celui où le risque se matérialise réellement, et permet de mieux interrompre la routine de copie automatique.

3. Marquer en continu les adresses à risque dans les étapes clés

Au-delà de la liste d’historique ou de la scène de copie, le système affichera également des indicateurs et des alertes dans les détails de transaction, lors de la vérification préalable au transfert, pour toute adresse suspecte.

L’objectif n’est pas de déranger inutilement, mais de fournir un retour d’information plus rapide et cohérent avant que l’utilisateur ne passe à l’étape suivante.

Interprétation technique : pourquoi la détection dynamique est-elle nécessaire pour la toxification d’adresse ?

La toxification d’adresse ne repose pas sur une vulnérabilité du protocole blockchain, mais sur l’exploitation des habitudes et de l’inertie visuelle de l’utilisateur. L’attaquant crée une adresse falsifiée très similaire à une adresse réelle, puis, par de petites transactions ou des transactions à 0, l’intègre dans l’historique, induisant l’utilisateur en erreur lors de la copie ou du transfert.

Sa difficulté de gestion provient notamment du fait que : d’un point de vue de la chaîne, ces transactions apparaissent souvent comme « normales ». Il n’y a pas de signature d’attaque évidente ni de comportement anormal évident, ce qui rend insuffisantes les listes noires statiques ou les alertes post-événement.

La réponse d’imToken à ces risques ne consiste pas à attribuer une étiquette permanente de « bon » ou « mauvais » à une adresse, mais à effectuer une détection dynamique en temps réel lors de la consultation des transactions, de la vérification, de la copie ou du transfert, en combinant les données on-chain et le contexte actuel, pour identifier les transactions suspectes et appliquer des filtres, des marquages, des alertes ou des vérifications préalables.

La détection de risque ne se limite pas à « est-ce que ça ressemble » ?

L’identification de la toxification ne se limite pas à la similarité de chaîne de caractères, mais consiste à combiner plusieurs preuves dans un environnement bruité pour prendre une décision. La logique de détection actuelle considère principalement plusieurs signaux :

Preuves de similarité

Pour qu’une adresse falsifiée soit crédible, elle doit être visuellement « suffisamment proche ». Le système quantifie ces caractéristiques structurelles pour repérer ces risques élevés de similarité.

Preuves de coût et de forme

Pour se diffuser à faible coût, les adresses toxifiées présentent souvent des distributions spécifiques de montants et de formes de transaction. La signalisation par montant n’est pas décisive en soi, mais peut être utilisée en combinaison avec d’autres preuves pour réduire les faux positifs.

Preuves de comportement temporel

Certaines transactions de toxification apparaissent immédiatement après une vraie transaction de l’utilisateur, tentant de profiter de l’inertie post-opération pour insérer rapidement une adresse falsifiée dans l’historique. Le système analysera ces comportements dans un contexte temporel et situationnel précis.

Pourquoi une décision de risque unifiée est-elle nécessaire ?

Une seule preuve ne suffit pas pour une évaluation de risque fiable. Le système doit agréger plusieurs signaux pour produire une évaluation globale, puis appliquer une stratégie adaptée à chaque point de contact.

Ce design offre trois avantages principaux :

• Réduire les faux positifs : les signaux faibles ne déclenchent pas seuls une action de haute gravité.
• Assurer une cohérence d’expérience : la même transaction bénéficie d’une évaluation cohérente sur différentes interfaces.
• Faciliter la rétrospective et l’optimisation : chaque détection peut être analysée pour améliorer le processus.

Pour les portefeuilles non custodial, cette capacité de gestion des risques est particulièrement difficile.

Car la toxification d’adresse exploite le comportement utilisateur, pas une anomalie technique évidente ; ses méthodes évoluent avec la chaîne, les actifs, le rythme et les techniques de falsification. En l’absence de contrôle centralisé, la qualité de la détection dépend fortement de la stratégie, de la conception des points d’interaction et de l’itération continue.

C’est pourquoi imToken construit cette capacité comme un système de sécurité évolutif, supportant la mise à jour des stratégies, la gestion versionnée, et la surveillance des résultats, pour que la défense reste efficace face à l’évolution des attaques.

Comment faire évoluer la protection ?

Si vous utilisez déjà imToken, il est conseillé de mettre à jour rapidement vers la version 2.19.0.

Le nouveau version intègre par défaut la protection contre la toxification d’adresse, sans configuration supplémentaire, pour une détection et une alerte plus proactive.

Pour conclure

La toxification d’adresse nous rappelle que la sécurité Web3 ne se limite pas aux moments « les plus dangereux », mais peut aussi se cacher dans les opérations quotidiennes et familières.

Lorsque le risque exploite les habitudes humaines, la capacité de sécurité doit évoluer d’un simple « rappel de résultat » vers une « protection du processus ». Pour le portefeuille, il ne s’agit pas seulement d’exécuter la transaction, mais d’aider l’utilisateur à réduire les erreurs et les risques lors des étapes clés.

C’est cette philosophie qui motive l’amélioration continue des capacités de sécurité de imToken : permettre aux utilisateurs de garder le contrôle tout en bénéficiant d’une protection plus immédiate et concrète.