Phishing Web3 : un simple clic lui coûte 3 M$

Un geste banal. Une signature, presque machinale. Et en quelques secondes, un portefeuille entier se vide de ses 3 millions de dollars en USDT. Pas de virus, pas de piratage informatique complexe. Juste un clic mal placé, une transaction trop vite signée.

L’affaire s’est déroulée au début du mois d’août, mais elle pourrait arriver à n’importe qui et c’est bien ça, le plus effrayant.

L’adresse semblait correcte. Les premiers et derniers caractères correspondaient. Pourtant, la transaction pointait vers un smart contract frauduleux.

Un leurre, invisible à l’œil nu pour quiconque ne scrute pas chaque ligne hexadécimale avant d’approuver. Le piège a claqué, comme il le fait pour des centaines d’autres chaque mois.

Le phishing : nouvelle arme de destruction massive dans le Web3

Pendant longtemps, les vols de crypto évoquaient des failles techniques, des bugs dans des bridges, des attaques de type reentrancy ou flash loan.

Mais depuis 2024, le décor a changé. Selon plusieurs rapports de sécurité blockchain, le phishing est devenu la première cause de pertes dans l’écosystème devant tous les exploits techniques combinés. Rien qu’en 2024, ce sont plus de 1 milliard de dollars qui se sont évaporés via des attaques de type phishing.

Ce n’est pas seulement une question de négligence. Les attaquants perfectionnent leurs méthodes. Imitation d’interfaces connues, adresses quasi identiques aux originales, campagnes d’emails, d’apps mobiles ou même d’extensions navigateur piégées.

Dans certains cas, l’attaquant n’a même pas besoin de communiquer : il envoie simplement un jeton ou une transaction factice, espérant que la victime, intriguée, clique pour “révoquer” ou “nettoyer”. Et c’est souvent à ce moment-là que la signature fatale est donnée.

Someone fell victim to a phishing attack, signed a malicious transfer, and lost 3.05M $USDT!

Stay alert, stay safe. One wrong click can drain your wallet.

Never sign a transaction you don’t fully understand.

Double-check the URL, double-check all signature requests

Verify… pic.twitter.com/39YYe1LAoz

— Lookonchain (@lookonchain) August 6, 2025

Une attaque qui ne cible pas les failles du code, mais celles de l’humain

Le plus inquiétant dans cette évolution, c’est que la sécurité ne dépend plus uniquement des protocoles. Même un smart contract parfaitement audité, même un wallet hardware sécurisé, même un réseau blockchain robuste… rien de tout cela ne protège si l’utilisateur signe une transaction malveillante.

C’est une autre forme d’attaque, plus insidieuse. Plus douce, presque. Mais elle frappe fort. L’interface est familière, le message semble anodin. On clique. Et c’est terminé.

Ce type de scénario, que certains appellent “PTX phishing” (payload transaction phishing), manipule directement le contenu de la transaction. Même si l’adresse paraît bonne, même si le gas fee paraît standard, même si la signature est demandée via une dApp connue, le fond est piégé.

Le pire ? Beaucoup de ces attaques ne déclenchent aucune alerte technique. Aucun exchange n’intervient. Aucun audit ne le détecte. Car, techniquement, la victime a donné son accord. Volontairement.

L’industrie crypto doit évoluer ou assumer les conséquences

Il est urgent que la sécurité Web3 dépasse le simple champ du code. L’expérience utilisateur est aujourd’hui le principal champ de bataille.

Comment expliquer qu’en 2025, la majorité des wallets affichent encore les transactions sous forme brute ? Que les adresses soient abrégées sans vérification visuelle complète ? Que la signature de smart contracts soit une boîte noire, même pour des utilisateurs avancés ?

Les protocoles, les projets, les développeurs portent une part de responsabilité. Car si l’utilisateur est seul face à ses décisions, l’interface, la pédagogie, les garde-fous sont des choix de design. Et aujourd’hui, ils sont souvent absents ou inefficaces.

Oui, la décentralisation implique une forme de souveraineté. Mais elle ne devrait pas signifier l’abandon.

Une paranoïa saine vaut mieux qu’une confiance aveugle

Dans un monde où tout est permissionless, la prudence devient une compétence vitale. Revérifier l’URL. Copier manuellement les adresses. Révoquer régulièrement les accès. Refuser de signer sans comprendre. Se méfier des plateformes trop “pressantes”. Tout cela devrait faire partie de l’hygiène de base de tout utilisateur crypto.

Mais soyons honnêtes : à force de complexité, de FOMO et de jargon, beaucoup baissent la garde. Et les scammers le savent.

Ce dernier vol de 3 millions n’est pas un cas isolé. Il est le symptôme d’un écosystème qui avance vite, parfois trop vite pour sa propre sécurité.