En consultant l'historique de votre portefeuille, vous remarquez un transfert de 0 USDT que vous n'avez jamais initié, depuis une adresse dont les premiers et derniers caractères sont presque identiques à une que vous utilisez souvent — c'est une classique « attaque par transfert de valeur nulle ». Cette méthode est apparue à grande échelle en 2023 et continue de causer des pertes.
Comment fonctionne l'attaque ?
Elle exploite une caractéristique des contrats ERC-20 : transferFrom peut s'exécuter avec une approbation de 0, mais ne transfère que 0 token. L'attaquant :
- Surveille les adresses actives avec des scripts automatisés
- Génère des adresses similaires dont les premiers et derniers caractères correspondent
- Envoie des transferts de 0 depuis l'adresse similaire
- Attend que vous copiez la fausse adresse lors de votre prochain transfert
Pourquoi ça fonctionne ?
Basé sur des habitudes courantes :
- Copier des adresses depuis l'historique sans vérification complète
- Ne vérifier que les premiers et derniers caractères
- Ignorer les transactions entrantes inhabituelles
Cas réels
En mai 2023, un utilisateur a perdu 20 millions de dollars en USDT suite à cette attaque. Il a copié une adresse « familière » de son historique qui était celle de l'attaquant.
Comment se protéger
- Utilisez le carnet d'adresses : Sauvegardez et sélectionnez vos adresses fréquentes
- Vérifiez l'adresse complète : Au moins les 10 premiers et 10 derniers caractères
- Envoyez d'abord un petit montant test
- Ignorez les transactions entrantes inconnues
- Utilisez des outils d'étiquetage d'adresses
Conseils de sécurité
- Ne copiez jamais d'adresses directement depuis l'historique
- Testez avec de petits montants avant les gros transferts
- Vérifiez l'adresse complète — au moins 20 caractères
- Restez vigilant face aux transferts entrants inconnus
- Utilisez la dernière version de votre portefeuille
- Activez les alertes de transaction
Les transferts depuis les exchanges bénéficient de protections supplémentaires. Binance propose des flux de transfert plus sécurisés. Vous pouvez aussi télécharger l'application Binance (utilisateurs Apple, consultez le guide d'installation iOS).
Un transfert à montant zéro endommagera-t-il mon portefeuille ?
Non. Il ne laisse qu'un enregistrement dans votre historique. Les pertes ne surviennent que si vous copiez l'adresse de l'attaquant et envoyez des fonds vous-même.
Puis-je bloquer ces transferts ?
Non. La nature ouverte de la blockchain permet à quiconque d'envoyer à n'importe quelle adresse. De bonnes habitudes vous protégeront.
Seul l'USDT est-il ciblé ?
Non. Tout token ERC-20 peut être ciblé. L'USDT est la cible principale car c'est le stablecoin le plus utilisé.
Cela peut-il arriver lors d'un retrait d'exchange ?
Les retraits d'exchange nécessitent une saisie manuelle ou une sélection depuis le carnet d'adresses. Le risque est moindre, mais vérifiez toujours les adresses.