Anatomie d'un escroc du monde des cryptomonnaies : comment 1,93 milliard de dollars se sont évaporés en six mois

Qu'est-ce qu'un « drainer » ?

A crypto drainer est un outil de phishing spécialement conçu pour le Web3. Il ne cherche pas à vous soutirer votre mot de passe ni à extraire une clé privée. Au contraire, il vous incite à valider une transaction — généralement un approve(), setApprovalForAll(), ou hors chaîne Permit message — qui donne à l'attaquant le pouvoir de déplacer vos actifs à sa guise. Le portefeuille reste « le vôtre ». Les fonds, eux, non.

Ce modèle est d'une efficacité redoutable, car il exploite à outrance légitime les éléments fondamentaux de la blockchain. Votre clé privée n'est jamais compromise. Il n'y a aucun logiciel malveillant sur votre ordinateur. Il n'y a qu'une seule signature, sur une seule transaction, que les analystes de la chaîne pourront voir et dont l'effet ne peut être annulé par aucune autorité.

Selon Chainalysis, un « drainer » est « un outil de phishing conçu pour l'écosystème Web3 » qui se fait passer pour une dApp légitime. Group-IB, Check Point Research, et ScamSniffer ont répertorié des milliers de campagnes reposant précisément sur ce principe.

La chaîne d'attaque en six étapes

Chaque attaque de type « drainer » — Inferno, Pink, Angel, MS, CLINKSINK, Rugging et les dizaines de variantes sans nom — suit les six mêmes étapes. Tout l'art consiste à les condenser en quelques secondes, entre la connexion au portefeuille et la confirmation de la transaction.

1. Leurre

Faux airdrops, publicités sponsorisées sur Google/X, comptes vérifiés piratés (le Comptes de la SEC et de Mandiant (qui ont tous deux servi de « mégaphones » pour détourner des fonds), des bots de vérification sur Discord, de fausses frappes de NFT, des invitations « exclusives » à des versions bêta et des escroqueries liées à des licences de propriété intellectuelle. Quelle que soit la forme sous laquelle elles se présentent, l'objectif est de vous amener sur un domaine contrôlé par le pirate.

2. Se connecter

Vous cliquez sur « Connecter le portefeuille ». MetaMask, Rabby, WalletConnect, Phantom… Tout va bien, c'est normal. Le script JavaScript du drainer dispose désormais d'un accès en lecture à votre objet portefeuille via window.ethereum (ou l'équivalent), et commence à tirer eth_call les requêtes en arrière-plan.

3. Recon

L'outil de suivi répertorie vos actifs : solde natif, jetons ERC-20, collections NFT, positions DeFi sur plusieurs chaînes. Il utilise des oracles de prix de type CoinGecko pour convertir tous les montants en dollars américains. Des kits premium tels que Inferno Drainer enregistrer leur configuration sur la chaîne (BNB Chain) afin qu'il puisse être mis à jour sans avoir à redéployer le code JavaScript.

4. Signe

L'application décentralisée (dApp) vous invite à « Vérifier la propriété », « Réclamer l'airdrop », « Approuver la collecte » ou « Signer pour accéder ». L'interface du portefeuille affiche ce qui semble être un message anodin. En réalité, les données d'appel (calldata) sont soigneusement choisies pour maximiser les dégâts — voir la section suivante.

5. Égoutter

Dès que vous avez signé, l'agresseur passe à l'action transferFrom() à partir d'un portefeuille distinct (séparation opérationnelle — l'« adresse » qui a reçu l'autorisation n'est jamais le « destinataire » qui détient le butin). Les kits Premium regroupent les transferts d'ETH natifs, d'ERC-20, de NFT ERC-721/1155 et de Permit2 en une seule multicall. Délai net entre la signature et le virement : secondes.

6. Laver

Les fonds transitent par SushiSwap / Uniswap (les DEX légitimes sont délibérément ajoutés à la liste blanche par la plupart des outils de sécurité), puis via des ponts vers d'autres chaînes, ensuite via des branches de Tornado Cash, pour aboutir finalement à Monero. Le Incident Trezor : 284 millions de dollars a fini par être transféré en XMR en quelques heures.

Un exemplaire signé Permit2 Un simple message suffit pour valider l'ensemble du lot. Pas de deuxième confirmation. Pas de possibilité de récupération.

Les quatre charges utiles meurtrières

Tout drainer en service utilise une combinaison de ces quatre éléments de base. Chacun d'entre eux est un légitime Norme ERC ou méthode RPC. Il n'y a pas de « solution miracle » : seule la sensibilisation compte.

1. approve(spender, type(uint256).max) — Dépenses illimitées en ERC-20

Le grand classique. Vous approuvez un contrat de jetons pour le montant maximal possible (2^256 − 1) vers une adresse de paiement que vous ne contrôlez pas. Le destinataire du paiement — c'est-à-dire l'attaquant — effectue alors un appel transferFrom(you, attacker, balance) quand bon leur semble. L'autorisation reste valable indéfiniment, sauf si vous la révoquez explicitement via Revoke.cash ou directement le contrat du jeton.

2. setApprovalForAll(operator, true) — collection complète de NFT

Pire que l'approbation ERC-20, car c'est tout ou rien par collection. Une seule signature suffit pour que l'attaquant puisse désormais disposer de tous les NFT de ce contrat. C'est ainsi que Seth Green a perdu 4 Bored Apes en 2022 et qu'une seule victime a perdu 14 BAYC à la suite de la fausse arnaque à la licence « Forte Pictures » en décembre 2022.

3. EIP-2612 / Signatures hors chaîne Permit2

Voici le L'arme de prédilection pour la période 2024-2026. Au lieu d'une solution sur la chaîne approve() (ce qui consomme du gaz et se ressent clairement dans votre portefeuille), l'attaquant récupère une signature EIP-712 hors chaîne via eth_signTypedData_v4. Aucune transaction. Aucun gaz de votre côté. Juste une fenêtre contextuelle indiquant « Signez ce message ». L'interface utilisateur du portefeuille pour la signature de données saisies est réputée pour être difficile à lire, et celle d'Uniswap Permis n° 2 transforme une signature en autorisations pour plusieurs jetons à la fois.

Ceci Étude de cas complète de Blockaid sur Permit2 pour un guide détaillé de l'attaque, incluant l'astuce de routage SushiSwap qui dissimule le détournement d'ETH au sein de ce qui ressemble à un échange normal.

4. Ingénierie sociale par phrase-clé directe

Ce n'est pas à proprement parler un « drainer » au sens strict du terme, mais il s'agit de la variante la plus productive en 2026. Le Janvier 2026 : incident Trezor n'a contourné aucun système de chiffrement. Un « agent du service client » a appelé la victime, l'a guidée à travers une fausse procédure de « vérification » et l'a amenée à lui lire sa phrase de récupération. Résultat : 1 459 BTC + 2,05 millions de LTC = 284 millions de dollars, soit 71 % du total des pertes liées aux vols de cryptomonnaies pour ce mois-là, convertis en Monero avant que la presse ne s'en empare.

Les portefeuilles matériels empêchent l'extraction de clés à distance. Ils ne vous empêchent pas de saisir votre phrase de récupération sur le site web d'un hameçonneur. Utilisez un Phrase de passe BIP-39.

L'économie du « vidangeur à la demande »

Aucun des acteurs qui vous volent réellement votre argent n'écrit le code. Ils rent Le Drainer-as-a-Service (DaaS) est un marché B2B entièrement banalisé, caractérisé par une stratégie de marque, des niveaux de tarification, des canaux d'assistance, des mises à jour de version et une pression à la baisse évidente sur les commissions des opérateurs.

Frais d'adhésion pour un affilié : a Acompte de 5 000 à 10 000 dollars, parfois sous forme de kit clé en main. L'affilié conserve entre 75 et 95 % des fonds détournés et confie toutes les questions techniques — charge utile JS, contrat intelligent, hébergement, circuit de blanchiment, voire assistance Telegram 24 h/24 et 7 j/7 — à l'opérateur. SentinelOne et le Étude universitaire IMC 2025 suivre la chaîne d'approvisionnement en détail.

C'est pourquoi les mesures ponctuelles de type « jeu du chat et de la souris » ne suffisent pas — et pourquoi les bureaux d'enregistrement qui ferment les yeux sur les abus constituent le véritable goulot d'étranglement. PhishDestroy a recensé et signalé Plus de 16 000 domaines liés à Inferno seul.

Signaux d'alerte avant de signer

La boîte de dialogue de signature constitue la dernière ligne de défense. Si l'une de ces conditions est remplie, annuler — il n'existe aucun flux légitime qui les rende nécessaires :

• Vous êtes arrivé ici via un résultat de recherche sponsorisé, un message privé ou un lien contenu dans un e-mail. Les résultats sponsorisés liés aux cryptomonnaies ont été compromis sur tous les principaux moteurs de recherche. Utilisez toujours un signet pour y accéder.
• La signature est « gratuite » / « sans frais de gaz » / « hors chaîne ». Il s'agit d'une signature hors chaîne de type Permit2. Lisez les champs de données typées. Si spender Si cela vous est inconnu, passez votre chemin.
• Le montant est de uint256.max, 0xfff…fff, ou « illimité ». Presque aucun processus légitime ne nécessite une autorisation illimitée.
• La fonction est setApprovalForAll sur une collection que vous ne reconnaissez pas. Ou pour une plateforme autre qu'OpenSea, Blur ou LooksRare.
• Le site vous demande de changer de chaîne dès que vous vous connectez. Boucle d'extraction multi-chaînes en cours.
• Le contrat de destination a été déployé il y a moins de 7 jours. Les drainers de classe Inferno renouvellent leurs contrats intermédiaires toutes les 24 heures.
• Tu te sens pressé. Compteurs à rebours, « l'offre prend fin dans 4 min 32 s », « plus que 12 places disponibles » : tous les modèles Drainer en sont équipés.
• C'est le « service client » qui vous a contacté en premier. Trezor, Ledger, MetaMask, Coinbase, Binance… Aucun d’entre eux ne vous envoie de message privé. Jamais.

Comment se défendre concrètement

• Séparation des portefeuilles. Portefeuille froid (matériel, majeure partie du patrimoine) → portefeuille chaud opérationnel (1 à 2 semaines d'activité) → portefeuille jetable (tout ce qui est nouveau, solde quasi nul). Ne connectez jamais un portefeuille froid à une nouvelle dApp.
• Portefeuille matériel + phrase de passe BIP-39. La phrase de passe fait toute la différence entre « l'incident Trezor de 284 millions de dollars » et « le pirate a votre phrase de récupération mais ne trouve rien ». Mémorisez-la. Ne la stockez pas sous forme numérique.
• Simulateurs de transactions.Blockaid, Protection pour portefeuille, Pocket Universe, Fire — installez-en une. Elles affichent la variation réelle du solde avant que vous ne signiez.
• Ajouter toutes les dApps à vos favoris. Ne tapez jamais « Uniswap » dans Google. Ne cliquez jamais sur les liens vers des cryptomonnaies sur les réseaux sociaux. Les résultats sponsorisés sont trompeurs bien plus souvent que vous ne le pensez.
• Vérifiez vos validations chaque semaine.Revoke.cash affiche toutes les autorisations actives sur l'ensemble des chaînes. Révocer toutes celles que vous n'utilisez pas activement.
• Avant toute chose, passez tout site inconnu par un proxy. Videz votre portefeuille, voyez ce qu'il contient, puis décidez s'il vaut vraiment la peine d'en avoir un.
• Désactivez les extensions de navigateur dans le profil du portefeuille. Un profil de navigateur distinct (ou une fenêtre Brave Tor) réservé au Web3. Les extensions constituent un vecteur de fuite de ressources avéré — voir Analyse de la chaîne d'approvisionnement npm de Mend.io.
• Vérifiez la réputation du domaine. Collez l'URL dans Rapports sur le domaine PhishDestroy, urlscan, ou notre bot Telegram. Si nous l'avons déjà vu, il est signalé.

« Les drainers ne contournent pas la cryptographie. Ils remettent en cause l'hypothèse selon laquelle les humains sont capables de lire les données d'appel à la vitesse exigée par les portefeuilles. Il suffit de ralentir le processus d'une seule signature pour que tout le système de vol s'effondre. »

Comment PhishDestroy lutte contre les « drainers »

Nous sommes un collectif bénévole à but non lucratif. Nous traquons les infrastructures de draineurs 24 heures sur 24, 7 jours sur 7, sur les moteurs de recherche, les publicités payantes, Discord, X, Telegram et les pièges à registres, puis nous les neutralisons.

• Plus de 785 000 Domaines liés au phishing et aux escroqueries suivis depuis 2019.
• Plus de 89 000 signalements d'abus adressés aux bureaux d'enregistrement et aux hébergeurs.
• 50 ans et plus Les éditeurs de logiciels antivirus et les plateformes de renseignements sur les menaces exploitent notre flux.
• < 0,5 % taux de faux positifs sur plus de 100 000 rapports validés.
• Gratuit, public, immuable archives des preuves sur GitHub + HuggingFace.

Vous avez repéré un site qui ralentit votre connexion ? Envoyez l'URL à @PhishDestroy_bot. On aura déposé la plainte pour abus avant même que ton café ne refroidisse.