Crypto : ce réflexe que vous avez avec vos favoris a vidé son portefeuille de 2,4 millions de dollars en 12 heures
En quelques heures, un utilisateur de Tornado Cash a vu 1 010 ETH s’évaporer après un simple clic sur un ancien favori menant à un faux site. Cette attaque de phishing soulève une question glaçante : vos propres liens enregistrés sont-ils vraiment sûrs ?
Un simple réflexe numérique peut coûter très cher. Un utilisateur de Tornado Cash, un service bien connu de mélange de cryptomonnaies, a vu son portefeuille se vider en quelques heures après avoir cliqué sur un lien qu’il pensait parfaitement sûr.
L’incident, survenu cette semaine, illustre la vulnérabilité d’outils pourtant familiers comme les favoris de navigateur. L’homme aurait perdu au total 1 010 ETH, soit l’équivalent d’environ 2,4 millions de dollars (près de 2,2 millions d’euros), en se rendant sur le mixeur via un vieux favoris pointant vers une interface aujourd’hui contrôlée par des pirates. Tout est parti d’un clic presque machinal.
Phishing sur Tornado Cash : 1 010 ETH envolés en 12 heures
Selon les éléments rapportés, l’utilisateur s’est connecté à ce qu’il croyait être l’interface habituelle de Tornado Cash, en réalité une copie frauduleuse destinée au phishing. En l’espace d’environ douze heures, ses fonds ont été drainés : 1 010 ethers transférés vers des adresses contrôlées par les attaquants, sans qu’il ne s’en rende compte immédiatement.
Le contexte autour de Tornado Cash est particulier. Il y a plus de quatre ans, le régulateur américain a sanctionné le service, avant de lever ces sanctions l’année dernière. Entre-temps, l’interface utilisateur originale a été abandonnée, ou au moins son nom de domaine, tandis que les smart contracts du protocole sont restés accessibles sur la blockchain Ethereum. Des acteurs malveillants auraient profité de cette zone grise pour récupérer le nom de domaine historique et y déployer une copie du site, visuellement très proche de l’original, mais reliée à des contrats malicieux.
Dans ce décor, un ancien favori enregistre toujours l’adresse du domaine historique. L’utilisateur clique, tombe sur un site qui ressemble trait pour trait à celui qu’il connaît, connecte son wallet, puis signe des transactions qu’il pense légitimes. Le piège se referme à ce moment-là, au niveau des autorisations accordées et des contrats appelés en arrière-plan.
Cette affaire ne serait pas isolée. Toujours d’après les informations rendues publiques, le journaliste Colin Wu estime que le même groupe de pirates aurait déjà dérobé près de 4 000 ETH au cours des douze derniers mois en recourant à des méthodes similaires, consistant à exploiter d’anciens liens ou des domaines expirés associés à des services connus.
Vieux favoris, faux sites : comment éviter le piège Tornado Cash
Ce cas met en lumière un risque souvent sous-estimé : un favori enregistré il y a plusieurs années peut, du jour au lendemain, pointer vers un propriétaire de domaine totalement différent. L’URL paraît correcte, le logo aussi, et l’habitude fait le reste. Pour limiter ce type de mésaventure, quelques vérifications rapides avant de connecter un portefeuille crypto peuvent faire la différence.
| Point à vérifier | Pourquoi c’est important | Comment faire | Risque si ignoré |
|---|---|---|---|
| Lien en favoris très ancien | Le domaine a pu changer de mains | Rechercher l’URL via le site officiel | Élevé : interface de phishing possible |
| Nom de domaine familier | Peut imiter un service déjà connu | Comparer l’adresse avec une source récente | Élevé : confiance automatique trompeuse |
| Demande de connexion du wallet | Peut déclencher un contrat malveillant | Vérifier l’application et le réseau affichés | Élevé : fonds drainés rapidement |
| Signature d’autorisations larges | Donne un accès durable à vos tokens | Limiter les allowances, lire chaque message | Élevé : vidage du portefeuille possible |
| Projet peu actif publiquement | Le site peut être abandonné ou repris | Consulter blog, docs, canaux officiels | Moyen : confusion et mauvais réflexes |
Au-delà de Tornado Cash, cet épisode rappelle l’importance d’un minimum d’hygiène numérique pour toute gestion de cryptomonnaies. Auditer régulièrement ses favoris, séparer la navigation classique des opérations sensibles, révoquer périodiquement les autorisations données à des dapps, et prendre quelques secondes pour vérifer chaque URL avant de connecter un portefeuille sont autant de gestes simples qui réduisent nettement l’exposition à ce type de piège.
En bref
- Cette semaine, un utilisateur de Tornado Cash s’est connecté via un ancien favori vers le domaine historique tornado.cash, pensant accéder au mixeur Ethereum qu’il utilisait autrefois.
- La page était en réalité un faux front-end de phishing qui a drainé environ 1 010 ETH, soit près de 2,4 millions de dollars, en à peine douze heures via des autorisations malicieuses.
- Cette affaire, qui s’ajoute à d’autres vols estimés à près de 4 000 ETH, interroge nos réflexes numériques et impose de revoir la façon dont nous gérons favoris et wallets crypto.
