Épuisement du portefeuille de crypto-monnaie, contrats intelligents malveillants et compromission des phrases de départ¶

Découvrir que votre portefeuille de cryptomonnaies (tel que MetaMask, Rabby, Phantom, Trust Wallet, Coinbase Wallet ou un portefeuille matériel comme Ledger ou Trezor) est activement vidé de ses jetons et de ses NFT est une urgence financière numérique aiguë, seconde par seconde. Étant donné que les transactions publiques de blockchain sur Ethereum, Bitcoin, Solana, Arbitrum, Base, Polygon et BNB Chain sont cryptographiquement irréversibles une fois confirmées dans un bloc, votre capacité à sauvegarder les actifs restants dépend entièrement de ce que vous faites au cours des cinq premières minutes.

Chaque fuite de portefeuille de crypto-monnaie appartient à l'une des deux catégories techniques distinctes : soit vous avez signé une approbation de contrat intelligent malveillant ou une signature Permit2 sur un site Web de phishing (qui permet à un attaquant d'extraire des jetons spécifiques de votre adresse sans avoir votre phrase de départ), OU votre phrase de départ de récupération secrète de 12 à 24 mots/clé privée elle-même a été compromise (via un faux site de portefeuille, un logiciel malveillant du presse-papiers, un piratage de sauvegarde dans le cloud ou un virus infostealer). Diagnostiquer laquelle des deux attaques se produit, créer un portefeuille de secours propre et isolé sur un appareil non compromis, révoquer les autorisations illimitées de jetons et retracer les fonds volés jusqu'aux rampes de sortie d'échange centralisées vous donne la meilleure chance d'arrêter la fuite et de geler les actifs volés.

Fais ça maintenant¶

Si vous constatez que des transactions sortantes non autorisées drainent votre portefeuille de crypto-monnaie ou réalisez que vous venez de vous connecter à un site de phishing ou que vous avez divulgué votre phrase de départ, exécutez ces six étapes dans l'ordre exact :

1. N'utilisez PAS le même ordinateur pour générer un nouveau portefeuille de secours : Si votre PC ou Mac est infecté par un logiciel malveillant infostealer (tel que Lumma Stealer, Atomic macOS Stealer ou Poseiden) ou une extension de navigateur malveillante, la création d'un nouveau portefeuille sur ce même ordinateur transmet immédiatement votre nouvelle phrase de départ à l'attaquant. Procurez-vous un smartphone ou portefeuille matériel séparé et propre pour créer dès maintenant une nouvelle adresse de portefeuille de destination sans compromis.
2. Transférez EN PREMIER vos jetons de gaz natifs et pièces transférables survivants vers le nouveau portefeuille propre : Avant de faire quoi que ce soit d'autre, envoyez vos pièces transférables restantes (ETH, BTC, SOL, USDC, USDT, WBTC) du portefeuille compromis directement à votre toute nouvelle adresse de portefeuille propre. Ne laissez que quelques dollars de gaz natif (comme 3 à 5 USD d'ETH, SOL ou BNB) si vous devez révoquer les approbations de contrats intelligents sur les positions verrouillées restantes.
3. Déterminez si l'attaquant dispose de votre phrase de départ ou seulement d'une approbation de jeton malveillant :
   • Signe d'un contrat intelligent malveillant/approbation Permit2 : un seul jeton spécifique (comme l'USDT ou une collection NFT) a été extrait via TransferFrom après avoir cliqué sur « Approuver » ou « Signer » sur un site Web, alors que votre bilan de gaz ETH/SOL natif reste intact.
   • Signe d'une phrase de départ / clé privée compromise : chaque pièce sur plusieurs blockchains différentes (Ethereum, Solana, Bitcoin, Arbitrum) est balayée via direct Transfer appels, et tout ETH/SOL natif que vous envoyez est volé en 1 seconde par un bot balayeur automatisé.
4. Révoquer immédiatement toutes les approbations actives de jetons de contrat intelligent : Si votre gaz ETH/SOL natif est toujours dans votre portefeuille, ouvrez un gestionnaire d'allocations de confiance (revoke.cash, Vérificateur d'approbation de jeton Etherscan sur etherscan.io/tokenapprovalchecker, ou le gestionnaire d'approbation intégré de Rabby Wallet) et Révoquer toutes les approbations de dépenses illimitées en jetons et les signatures Permit2 accordées à des adresses de contrat inconnues.
5. Déconnectez toutes les sessions dApp actives et les liens WalletConnect : ouvrez les paramètres de votre portefeuille -> Sites connectés / Sessions WalletConnect et cliquez sur Déconnecter tout afin que le site Web de phishing ne puisse plus afficher de demandes de signature.
6. Si un « Sweeper Bot » vole instantanément le gaz que vous déposez pour sauver les jetons mis en jeu, utilisez un bundle de secours Flashbots / MEV : Ne continuez jamais à envoyer de l'ETH dans un portefeuille contrôlé par un robot balayeur, le script automatisé du bot surveille le pool de mémoire et vole votre ETH en millisecondes avant que vous puissiez cliquer sur « Annuler la mise en jeu ». Utilisez plutôt un service privé de sauvetage de bundle atomique ERC-4337 / Flashbots MEV (tel que flashbots.net outils whitehat ou revoke.cash fonctionnalités de frais délégués) pour financer le gaz et extraire des jetons en un seul bloc non frontable.

Arbre de décision : arrêter la fuite active d'un portefeuille cryptographique¶

Suivez cet organigramme de tri technique en temps réel pour arrêter l'hémorragie et sauver vos actifs numériques survivants :

flowchart TD
    A["Transactions cryptographiques sortantes non autorisées détectées"] --> B["Générez un tout nouveau portefeuille propre sur un périphérique propre/un portefeuille matériel distinct"]
    B --> C{"Avez-vous tapé votre phrase de départ de 12/24 mots ou téléchargé un fichier, ou simplement cliqué sur Signer/Approuver sur un site ?"}
    C -->|"Seulement cliqué sur Signer/Approuver/Réclamation sur une dApp"| D["Contrat intelligent malveillant ou fuite Permit2"]
    D --> E["Accédez immédiatement à revoke.cash ou Etherscan Token Approvals et révoquez les allocations malveillantes."]
    E --> F["Transférez les jetons liquides restants vers votre nouveau portefeuille propre par mesure de précaution"]
    C -->|"Phrase de départ saisie, clé privée exportée ou exécution d'un logiciel malveillant sur PC"| G["Phrase de départ complète / compromission de clé privée"]
    G --> H{"Un Sweeper Bot automatisé vole-t-il instantanément tout gaz ETH/SOL que vous déposez ?"}
    H -->|"Non : le gaz natif fonctionne toujours"| I["Évacuez toutes les pièces liquides et libérez immédiatement les positions DeFi vers un nouveau portefeuille propre"]
    H -->|"Oui : Sweeper Bot vole de l'essence en < 2 secondes"| J["ARRÊTEZ d’envoyer du gaz. Utilisez le bundle atomique RPC privé Flashbots pour sauver les jetons jalonnés/airdrop"]
    F --> K["Tracez le portefeuille de l'attaquant sur Block Explorer, signalez-le à Exchange Compliance et au FBI IC3 / Police"]
    I --> K
    J --> K

Diagnostic du vecteur d'attaque : Smart Contract Drainer vs Seed Phrase Compromise¶

Pour éviter de perdre plus d'argent en essayant de sauvegarder votre portefeuille, vous devez d'abord comprendre comment l'attaquant déplace vos fonds en recherchant l'adresse de votre portefeuille sur un explorateur de blocs public (etherscan.io, solscan.io, arbiscan.io, basescan.org, ou mempool.space).

Comparaison des 4 principaux mécanismes de drainage des portefeuilles de cryptomonnaies¶

Protocole 1 : Arrêter un contrat intelligent malveillant ou Permit2 Égouttoir¶

Lorsque vous interagissez avec des protocoles de finance décentralisée (DeFi) sur Ethereum et des blockchains compatibles EVM (Arbitrum, Optimism, Base, Polygon, Avalanche, BNB Chain), des tokens comme USDC, USDT, DAI, PEPE ou WETH utilisent la norme ERC-20. De par sa conception, un contrat intelligent ne peut pas retirer les jetons ERC-20 de votre portefeuille à moins que vous ne lui accordiez au préalable une Allocation. Les kits de phishing ("Drainers-as-a-Service" tels que Angel Drainer, Pink Drainer ou Inferno Drainer) incitent les utilisateurs à accorder une allocation illimitée (115792089237316195423570985008687907853269984665640564039457584007913129639935 unités) ou en signant un EIP-2612 hors chaîne Permit /Uniswap Permit2 message directement au contrat de l'escroc.

Comment révoquer les approbations de jetons malveillants en 60 secondes¶

1. Ouvrez un outil légitime et indépendant de révocation d'allocation :
   • Révoquer.cash (revoke.cash), Prend en charge plus de 100 blockchains EVM et affiche à la fois les approbations standard ERC-20/ERC-721 et Permit2 signatures avec dates d'expiration.
   • Vérificateurs d'approbation officiels de Block Explorer :
     • Éthereum : etherscan.io/tokenapprovalchecker
     • Chaîne BNB : bscscan.com/tokenapprovalchecker
     • Polygon: polygonscan.com/tokenapprovalchecker
     • Arbitrage : arbiscan.io/tokenapprovalchecker
     • Base: basescan.org/tokenapprovalchecker
   • Rabby Wallet Built-in Security Tab: If you use Rabby Wallet, click the Approvals shield icon directly inside the wallet interface to batch-revoke risky contracts without opening a web page.
2. Sort approvals by "Newest" or "Value at Risk":
   • Look at the Spender column. Legitimate protocols will display verified labels like Uniswap: Universal Router ou Aave: Pool V3.
   • Malicious drainers typically appear as an unverified raw hexadecimal address (e.g., 0x4f8a...9c12) or a recently deployed fake contract.
3. Click "Revoke" and confirm the transaction in your wallet:
   • Clicking Revoke submits an on-chain transaction that overwrites the spender's allowance back to 0.
   • Once that transaction confirms on the blockchain (usually within 2 to 12 seconds), the drainer contract is mathematically severed from your wallet and cannot pull another cent of that token.

Protocol 2: Defeating an automated "Sweeper Bot" on a compromised seed phrase¶

If a hacker has stolen your actual 12-word or 24-word recovery seed phrase (or raw private key), they immediately load your private key into an automated server script called a Sweeper Bot.

How a Sweeper Bot traps victims¶

Suppose your compromised Ethereum wallet still has $15,000 worth of staked tokens in an Aave, Lido, or EigenLayer contract (or an upcoming claimable token airdrop), OR still holds an ERC-20 token the attacker hasn't moved yet, but the attacker swept your native ETH balance down to 0.0000 ETH.

1. To unstake or transfer your \(15,000 of tokens out to safety, your compromised wallet needs **\)2.00 worth of ETH to pay the blockchain network gas fee**.
2. You send $5.00 of ETH from your Coinbase account into your compromised wallet so you can click "Unstake".
3. Within 0.8 seconds of your $5.00 ETH deposit landing, before your human fingers can even click the "Unstake" button, the hacker's automated Sweeper Bot detects the incoming ETH in the public mempool and instantly fires a high-priority gas transaction that steals your $5.00 of ETH right back out to the hacker's address.
4. Victims often try sending ETH 10 times in a row, losing $50 or $100 in gas to the Sweeper Bot every single time while their staked tokens remain trapped inside the compromised wallet.

How to beat a Sweeper Bot using Flashbots / Private MEV Atomic Bundles¶

Stop sending regular ETH deposits to a wallet monitored by a Sweeper Bot. Sweeper bots watch the public transaction mempool and need 1 block (or a public pending transaction) to see and steal your deposited ETH. You can defeat any Sweeper Bot by using Flashbots Protect / MEV Atomic Bundling (on Ethereum and EVM chains) or Jito Bundles (on Solana):

1. How an Atomic Rescue Bundle works: Instead of sending ETH in Block #1 and trying to click "Transfer/Unstake" in Block #2, an atomic bundle packages two separate transactions into a single private array sent directly to block builders via a Private RPC (completely invisible to the public mempool where the Sweeper Bot is watching):
   • Bundle Transaction #1 (from your Clean Safe Wallet): Sends exact gas (0.0015 ETH) to the Compromised Wallet.
   • Bundle Transaction #2 (pre-signed by the Compromised Wallet): Immediately executes the unstake() ou transfer() of your valuable tokens out to your Clean Safe Wallet, consuming 100% of that 0.0015 ETH gas in the exact same block at the exact same microsecond.
2. Because both transactions execute atomically inside the same block with zero public mempool visibility, the hacker's Sweeper Bot never sees the ETH arrive and leaves with 0.0000 ETH left over while your tokens land safely in your clean wallet.
3. Trusted Whitehat Rescue Resources for Sweeper Bot Victims:
   • Seal 911 (Security Alliance Whitehat Emergency Hotline): Created by Paradigm and leading blockchain security researchers. If you have significant funds trapped behind a sweeper bot or an active smart contract exploit, contact the official verified SEAL 911 bot at seal911.org (ou via leur lien Telegram officiel sur securityalliance.org) pour une assistance gratuite au regroupement de secours Whitehat MEV.
   • Documentation Flashbots Whitehat Rescue : Scripts open source (flashbots/searcher-sponsored-tx) à docs.flashbots.net vous permettent de sponsoriser du gaz à partir d'un portefeuille propre pour sauver les actifs ERC-20/ERC-721 d'une clé compromise sans écrire de code personnalisé.
   • EIP-7702 / Outils de gaz délégués : utilitaires de secours modernes intégrés à des outils tels que revoke.cash et Ambire/Rabby permettent de payer du gaz de révocation ou de sauvetage à partir d'un portefeuille secondaire.

Protocole 3 : traçage des fonds volés, gel des sorties d'échange et reporting des forces de l'ordre¶

Bien que personne ne puisse annuler une transaction sur une blockchain décentralisée, les cybercriminels veulent finalement convertir les cryptomonnaies volées en espèces utilisables ou en pièces stables propres. Lorsque des fonds volés touchent un échange centralisé (CEX) (tel que Binance, Coinbase, Kraken, OKX, Bybit ou KuCoin) ou restent détenus dans des pièces stables centralisées (Tether/USDT et Circle/USDC), ces fonds PEUVENT être gelés par l'émetteur ou l'équipe de conformité de l'échange si vous agissez rapidement et déposez un rapport officiel d'application de la loi.

1. Traçage immédiat de la chaîne et alertes de gel du stablecoin¶

1. ** Copiez le hachage de transaction (TxID) et l'adresse de réception de l'attaquant** : ouvrez l'explorateur de blocs de votre chaîne, copiez le hachage exact de la transaction du vol et cliquez sur l'adresse du portefeuille du destinataire qui a reçu vos fonds.
2. Never delete your browser history or wallet logs: Forensic investigators need the exact phishing URL you visited and the exact timestamps.
3. If large amounts of USDT (Tether) or USDC (Circle) were stolen: Unlike decentralized ETH or BTC, both Tether (USDT) and Circle (USDC) have a built-in smart contract function (addBlackList() / blacklist()) that can permanently freeze stolen USDT or USDC directly inside the hacker's self-custody wallet upon receiving an urgent law enforcement request or court order.
4. Track where the hacker moves the funds using free visual tracers:
   • Paste the hacker's wallet address into MetaSleuth (metasleuth.io), MistTrack (misttrack.io), Breadcrumbs (breadcrumbs.app), or Arkham Intelligence (platform.arkhamintelligence.com).
   • Set up a free Etherscan / Solscan Watch Alert on the hacker's wallet address so you receive an email the instant the hacker sends the stolen coins to a Centralized Exchange deposit address (for example, an address labeled Binance 14, OKX, FixedFloat, ou ChangeNOW).

2. Contacting Centralized Exchange Compliance Desks & Filing Police Reports¶

The instant your on-chain trace shows stolen funds entering a Centralized Exchange deposit address or instant swapper service:

1. Submit an urgent Law Enforcement Freeze Request Ticket to that specific exchange: Every major exchange operates an emergency fraud/stolen-funds ticketing portal (such as Binance Law Enforcement / Stolen Funds support, Coinbase Support, Kraken Security, or FixedFloat/ChangeNOW support). Provide:
   • L'adresse du portefeuille de votre victime, les adresses intermédiaires de l'attaquant, l'adresse de dépôt exacte à l'échange et le hachage de transaction (TxID) showing the funds entering their exchange hot wallet.
   • Most exchanges will place a temporary 24-to-72-hour internal compliance hold on suspiciously flagged deposit accounts to give you time to upload an official police report number and have the investigating officer email the exchange's Law Enforcement Request portal (kodexglobal.com or the exchange's direct LE portal).
2. File official national cybercrime reports immediately (100% free):
   • United States: File an immediate report with the FBI Internet Crime Complaint Center (IC3) at ic3.gov (select virtual currency and include every transaction hash, token ticker, USD value, and recipient wallet address), report to the Secret Service local field office cyber fraud task force, and file a local police report to obtain a formal Case Number.
   • United Kingdom: File an online report with Action Fraud at actionfraud.police.uk or call 0300 123 2040 so the National Fraud Intelligence Bureau and Police Cyber Crime Unit can issue an exchange preservation notice.
   • European Union, Canada, & Australia: File via Chainabuse (chainabuse.com, operated by TRM Labs), which automatically shares your scammer wallet address report across major exchanges, wallet security blacklists, and law enforcement partners, alongside the Canadian Anti-Fraud Centre (CAFC), Australian Cyber Security Centre (cyber.gov.au), or your national Europol cybercrime desk.

Post-incident decontamination: cleaning your devices and hardening future wallets¶

Before using your new cryptocurrency wallet for everyday transactions, eliminate the root vulnerability that caused the compromise:

1. If your Seed Phrase was stolen while using a Windows PC or Mac, assume you have an Infostealer virus: Malware hidden inside fake game cracks, fake Zoom/Calendly links, fake Notion/PDF sponsorships, or pirated software silently reads the local LevelDB vault files of browser extensions (MetaMask, Phantom) and watches your clipboard. Disconnect the PC from Wi-Fi, back up only plain documents, and perform a complete USB clean reinstall of Windows or macOS.
2. Use a dedicated Hardware Wallet (Cold Storage) for savings, and a separate "Hot Wallet" for daily dApps:
   • Vault / Cold Wallet (90%+ of funds): Keep your long-term Bitcoin, Ethereum, Solana, and stablecoins on a dedicated hardware wallet (such as a Trezor, Ledger, Coldcard, or Keystone) where the private key is stored inside an offline Secure Element chip that never touches your computer's RAM. Never connect your Cold Vault address to random websites, NFT mints, or airdrops.
   • Burner / Hot Wallet (< 10% of funds): Keep a separate browser wallet containing only the small amount of funds you plan to swap or mint with that day. If you ever click a malicious link on your Hot Wallet, your Cold Vault remains 100% untouched.
3. Installez une extension de simulation de transactions Web3 en temps réel : les portefeuilles modernes comme Rabby Wallet et Phantom, ou des extensions de sécurité de navigateur gratuites comme Pocket Universe et Wallet Guard, simulent chaque transaction avant de la signer et font apparaître un avertissement rouge vif : "AVERTISSEMENT : la signature de ce message drainera tous vos USDC et NFT vers une adresse non fiable."
4. Ne stockez jamais votre phrase de départ de 12/24 mots sous forme numérique : Ne prenez jamais de photo de votre phrase de départ sur votre smartphone (les sauvegardes de photos dans le cloud sont une cible privilégiée pour les pirates), ne l'enregistrez jamais dans un gestionnaire de mots de passe, Apple Notes, Google Docs ou des brouillons d'e-mails, et ne saisissez jamais votre phrase de départ sur un site Web ou un clavier. Écrivez uniquement votre phrase de départ sur du papier physique ou tamponnez-la sur des plaques en acier inoxydable ignifuges stockées dans un coffre-fort physique.

Questions fréquemment posées¶

Sources vérifiées¶

• Federal Bureau of Investigation (FBI, États-Unis) : Rapports de fraude en matière de crypto-monnaie de l'Internet Crime Complaint Center (IC3) et annonces d'intérêt public sur les draineurs de contrats intelligents DeFi (ic3.gov).
• Cybersecurity and Infrastructure Security Agency (CISA, États-Unis) et NSA : sécurité des crypto-monnaies, authentification résistante au phishing et avis sur les logiciels malveillants Infostealer (cisa.gov).
• Consumer Financial Protection Bureau (CFPB) et Federal Trade Commission (FTC, États-Unis) : Éviter les escroqueries cryptographiques et les faux services de récupération (consumer.ftc.gov).
• National Cyber ​​Security Center (NCSC) et Action Fraud (Royaume-Uni) : Conseils sur la sécurité des crypto-actifs et signalement des actifs numériques volés (ncsc.gov.uk, actionfraud.police.uk).
• Normes Ethereum Foundation et EIP (internationales) : norme de jeton ERC-20 (EIP-20), approbations de permis sans gaz (EIP-2612) et abstraction/regroupement de comptes (ethereum.org, eips.ethereum.org).
• Security Alliance (SEAL 911) & Flashbots Whitehat Collective (International): Emergency Whitehat Sweeper-Bot Rescue Protocols and MEV Atomic Bundling (securityalliance.org, docs.flashbots.net).

Guides associés¶

• Data breach response and password leaks
• MFA phishing and adversary-in-the-middle bypass
• SIM swapping
• Escroqueries et fraudes