Un portefeuille Ethereum de 2015 transfère 4,6 millions de dollars et évite une arnaque
Onze ans sans transfert sortant, trois minutes pour être pris pour cible. Hier, 9 novembre, un portefeuille qui avait reçu ses premiers ethers au lancement d’Ethereum a effectué un premier envoi de 0,05 ETH. Deux adresses ressemblant à celle du destinataire sont apparues presque aussitôt dans son historique. Malgré cette tentative d’arnaque, le transfert principal, d’une valeur d’environ 4,6 millions de dollars, est bien arrivé à l’adresse prévue.
Les points clés de cet article
- Le portefeuille avait reçu ses premiers ethers dans le tout premier bloc d’Ethereum, en juillet 2015.
- Deux adresses sosies lui ont envoyé de petites sommes dans les trois minutes suivant son premier transfert sortant.
- Le portefeuille a transféré 2 154,94 ETH vers le bon destinataire, 38 minutes après le premier envoi.
- L’empoisonnement d’adresse vise à faire passer une adresse frauduleuse pour un destinataire déjà utilisé.
Un portefeuille Ethereum de 2015 effectue son premier envoi
L’adresse figure dans le registre d’Ethereum depuis son lancement. Elle a reçu ses premiers ethers en juillet 2015, puis 755 ETH supplémentaires en mars 2016. Son historique présentait donc déjà plusieurs entrées de fonds. En revanche, aucun envoi n’y figurait avant le 9 novembre.
À 22 h 04 UTC, le portefeuille a envoyé 0,05 ETH, soit environ 106 dollars, vers une nouvelle adresse. Whale Alert a signalé le mouvement. Dans les trois minutes qui ont suivi, l’ancien portefeuille a reçu de petites sommes provenant de deux adresses similaires à celle du destinataire. Leurs premiers caractères se ressemblaient et leurs quatre derniers caractères étaient identiques. D’après les données d’Etherscan rapportées par CoinDesk, l’une de ces adresses a effectué 43 microtransferts.
Entre-temps, le portefeuille destinataire a lui-même envoyé 0,01 ETH vers une autre adresse et en a reçu la quasi-totalité trois minutes plus tard. À 22 h 42 UTC, le portefeuille de 2015 a finalement envoyé 2 154,94 ETH à l’adresse utilisée pour le premier transfert. La blockchain permet de retracer ces mouvements. Le rôle exact de l’aller-retour intermédiaire reste inconnu.
L’empoisonnement d’adresse exploite un réflexe de copier-coller
De nombreuses interfaces de portefeuilles n’affichent que le début et la fin des adresses. Dans un historique, deux destinataires différents peuvent donc sembler identiques au premier regard. L’« empoisonnement d’adresse » exploite cette ressemblance. Un transfert de faible valeur fait apparaître une adresse sosie parmi les opérations récentes.
Si l’utilisateur la copie ensuite pour un nouvel envoi, il peut signer lui-même un transfert vers le mauvais destinataire. Dans ce cas, les petites sommes reçues comptaient surtout par la place qu’elles occupaient dans l’historique. À l’échelle d’Ethereum, leur multiplication peut aussi brouiller la lecture de l’activité du réseau.
Un transfert test confirme que les fonds arrivent à l’adresse utilisée à cet instant. Sa valeur tient à la réutilisation de cette même adresse, depuis la source vérifiée, et au contrôle de la destination complète avant de signer. Ici, les deux envois du portefeuille de 2015 sont bien arrivés au même endroit. Décidément, pas si simple la self-custody.
Le Journal Du Coin
Un article de la rédaction. Le Journal du Coin, premier média d’actualités francophone sur la cryptomonnaie, Bitcoin, et les protocoles blockchain.