Imaginez découvrir un matin que des dizaines de milliers d’adresses sur les deux plus grandes blockchains ont déjà servi de piège. Pas de fiction, pas de scénario de film. Une équipe de chercheurs vient de cartographier 65 340 instances d’adresses à haut risque sur Ethereum et BNB Smart Chain. Le total des pertes en tokens natifs dépasse les 126 000 ETH et 17 000 BNB, soit plus de 574 millions de dollars selon les prix de référence retenus. Et le plus troublant, c’est que deux nouvelles méthodes d’attaque, encore peu documentées, expliquent à elles seules près de 16 millions de dollars de ces dégâts.
Une cartographie inédite des adresses dangereuses
Le travail a été présenté lors du 35e symposium USENIX Security. Les auteurs n’ont pas cherché les gros titres. Ils ont passé au crible des millions de transactions, croisé des données publiques et extrait des clés privées oubliées sur des dépôts de code. Résultat : un portrait glacial de ce que l’on appelle désormais l’« Address Misuse », l’usage détourné d’adresses.
Deux grandes familles se détachent clairement. D’un côté, les comptes de contrats mal interprétés. De l’autre, les comptes externes dont les clés privées ont fuité ou montrent des signes évidents de compromission. Ensemble, ces 65 340 cas dessinent une carte des zones dangereuses que la plupart des utilisateurs croisent sans le savoir.
Contrats fantômes et adresses sans code
La première catégorie, la plus volumineuse, concerne les Contract Account misuse. Un utilisateur croit interagir avec un contrat intelligent. En réalité, l’adresse n’héberge aucun code sur le réseau principal. Elle existe peut-être sur un testnet, ou a été utilisée dans un autre contexte. Les chercheurs en ont dénombré 49 344 instances. Les pertes associées atteignent 22 738 ETH et 8 681 BNB.
Le mécanisme est d’une simplicité redoutable. Les adresses de contrats sont déterministes. Si quelqu’un déploie un contrat sur un réseau de test, l’adresse générée peut être exactement la même sur le réseau principal. Il suffit alors d’attendre que des utilisateurs, confondus par l’adresse familière, envoient des fonds. Plus tard, l’attaquant déploie le code de retrait au même endroit et récupère tout.
Quatre cent soixante-neuf contrats malveillants de ce type ont été identifiés. Ils ont aspiré 3 446 ETH et 431 BNB. Une technique propre, silencieuse, et jusqu’ici largement sous-estimée.
Clés privées exposées : le grand trou noir
La seconde famille, les Externally Owned Account misuse, regroupe 15 996 cas. Ici, les pertes sont nettement plus lourdes : 104 244 ETH et 9 045 BNB. Plus de 95 % de ces dégâts viennent d’un seul sous-type : les clés privées publiées par inadvertance sur GitHub.
Les chercheurs ont fouillé 63 004 dépôts créés entre janvier 2015 et mai 2025. Ils en ont extrait 16,3 millions de clés privées après déduplication, et 10,3 millions d’adresses candidates uniques. Le volume est vertigineux. Beaucoup de ces clés n’ont jamais été utilisées. D’autres, si. Et celles-ci sont devenues des passoirs.
Une fois la clé connue, n’importe qui peut signer des transactions au nom du propriétaire. Les fonds entrants sont automatiquement détournés. Dans certains cas, des scripts surveillent en permanence l’adresse et vident le compte dès qu’un solde apparaît.
Deux vecteurs d’attaque encore peu connus
Au-delà des catégories classiques, l’étude met en lumière deux chemins d’attaque relativement nouveaux. Le premier repose sur la création déterministe d’adresses de contrats, déjà évoqué. Le second exploite la fonctionnalité EIP-7702.
EIP-7702 permet de déléguer temporairement le contrôle d’un compte externe à un contrat. L’idée d’origine est pratique : un utilisateur peut donner à un contrat le droit d’agir en son nom pour une durée limitée. Mais lorsqu’une clé privée est déjà compromise, l’attaquant peut forcer une délégation vers un contrat malveillant qui draine automatiquement tous les fonds entrants.
Les chercheurs ont trouvé 17 270 cas de ce type. Les montants individuels sont modestes — 25,86 ETH et 33,45 BNB — mais le volume d’attaques montre que la technique se répand. Au total, les deux nouveaux vecteurs représentent environ 15,7 millions de dollars selon les prix de référence de l’étude.
« Nous estimons ces chiffres comme une borne inférieure conservative. L’analyse ne couvre que les tokens natifs ETH et BNB, et certains cas moins évidents ont pu nous échapper. »
— Extrait des conclusions de l’étude USENIX Security ’26
Précision de 99,11 % : ce que cela signifie vraiment
Les auteurs ont manuellement échantillonné une partie des résultats. La précision globale atteint 99,11 %. Ce chiffre est rassurant, mais il ne signifie pas que chaque une des 65 340 instances a été vérifiée à la main. Des faux positifs heuristiques restent possibles. Les données incomplètes et l’exclusion des tokens ERC-20, des NFT et des autres chaînes limitent aussi la portée du calcul de pertes.
Le montant de 574,8 millions de dollars repose sur des prix de référence : 4 408 dollars par ETH et 847 dollars par BNB. Ce ne sont pas les cours au moment exact de chaque transaction. Les chercheurs ont choisi cette méthode pour obtenir une estimation standardisée et comparable. Ils insistent : il s’agit d’une borne basse.
EIP-7702 : une fonctionnalité qui inquiète de plus en plus
Ethereum a officiellement averti que les délégations EIP-7702 malveillantes peuvent conférer à un contrat hostile le contrôle total des actifs. Une autre étude présentée au même symposium a analysé les transactions d’autorisation EIP-7702. Plus de 63 % d’entre elles étaient associées à des attaques ciblant des comptes externes. Les chercheurs ont identifié 924 comptes de contrats malveillants répartis sur sept chaînes supportées.
Après la mise à niveau Pectra, des cas de drainage automatisé de portefeuilles ont été signalés. Dans un incident distinct, des utilisateurs de plateformes de prédiction ont perdu environ 3,1 millions de dollars via des mécanismes de délégation malveillante et de phishing. La combinaison d’une clé exposée et d’une délégation EIP-7702 crée un piège presque invisible pour la victime.
Comment les chercheurs ont construit leur jeu de données
Le travail de collecte est titanesque. Outre les 63 004 dépôts GitHub, l’équipe a exploité les forums Ethereum Stack Exchange et Stack Overflow. Elle a ensuite analysé l’historique des transactions sur Ethereum et BNB Smart Chain. L’objectif n’était pas seulement de trouver des clés exposées, mais de croiser ces clés avec l’activité on-chain réelle.
Beaucoup de clés extraites n’ont jamais interagi avec les réseaux principaux. Celles qui l’ont fait sont devenues des points de surveillance prioritaires. Dès qu’un solde apparaît, les attaquants automatisés interviennent. Le délai entre l’arrivée des fonds et leur disparition se compte parfois en secondes.
Cette approche croisée — sources de code ouvertes + analyse blockchain — donne à l’étude une solidité rare. Elle montre aussi que le problème des secrets exposés n’est pas anecdotique. Il est systémique.
Ce que les développeurs et les utilisateurs peuvent faire
Les auteurs formulent plusieurs recommandations concrètes. Pour les développeurs : une gestion stricte des secrets. Ne jamais laisser une clé privée dans un fichier versionné, même « temporairement ». Utiliser des coffres de secrets, des variables d’environnement protégées, des outils de détection de secrets dans les pipelines CI/CD.
Pour les portefeuilles : des alertes automatiques lorsqu’une adresse correspond à une clé connue comme exposée, ou lorsqu’une adresse de contrat sur le réseau principal n’a pas de code alors qu’elle en possède sur un autre réseau. Ces avertissements simples pourraient éviter des milliers de transferts malheureux.
Une idée plus structurelle est avancée : intégrer un identifiant de chaîne dans le calcul futur des adresses de contrats. Aujourd’hui, la même adresse peut exister sur plusieurs réseaux. Demain, une adresse pourrait être unique à une chaîne, réduisant fortement le risque de confusion.
Ces propositions restent des recommandations de recherche. Aucun changement de protocole n’a encore été adopté ni sur Ethereum ni sur BNB Chain. Mais le débat est lancé.
Les limites assumées de l’étude
Les chercheurs sont clairs sur ce qu’ils n’ont pas mesuré. Les tokens ERC-20, les NFT, les actifs sur d’autres chaînes sont exclus du calcul principal. Les pertes réelles sont donc très probablement plus élevées. Certains cas d’usage détourné subtils ont pu échapper aux heuristiques. La précision de 99,11 % repose sur un échantillonnage manuel, pas sur une vérification exhaustive.
Malgré ces limites, le volume de données et la méthodologie donnent du poids aux conclusions. 65 340 instances, 126 982 ETH, 17 726 BNB. Ces chiffres ne sont plus du domaine de l’anecdote. Ils décrivent une réalité mesurable de l’écosystème.
Pourquoi ces chiffres doivent inquiéter tout le monde
La plupart des utilisateurs croient que leur sécurité dépend uniquement de la solidité de leur phrase de récupération. Cette étude montre qu’une partie du danger se trouve ailleurs : dans les adresses que l’on copie-colle sans vérifier, dans les contrats que l’on pense déployés alors qu’ils ne le sont pas, dans les clés que des développeurs ont un jour oubliées dans un dépôt public.
Le problème n’est pas théorique. Des attaquants automatisés surveillent en continu les adresses dont les clés sont connues. Dès qu’un solde apparaît, il disparaît. Le temps de réaction humain est trop lent face à des bots qui agissent en millisecondes.
Pour les institutions et les projets qui gèrent des trésoreries, le risque est encore plus élevé. Une seule adresse compromise ou mal interprétée peut entraîner des pertes massives avant même que l’alerte interne ne retentisse.
Vers une meilleure hygiène de la chaîne
L’étude ne se contente pas de dresser un constat. Elle esquisse une feuille de route. Améliorer la documentation des adresses par réseau. Renforcer les outils de détection de secrets. Intégrer des alertes dans les interfaces de portefeuille. Envisager des évolutions protocolaires pour rendre les adresses de contrats uniques par chaîne.
Les auteurs annoncent vouloir élargir leurs travaux à d’autres blockchains et à d’autres types de tokens. Les prochains résultats pourraient être encore plus frappants. En attendant, les 126 982 ETH et 17 726 BNB mesurés restent le meilleur indicateur disponible des pertes liées à l’usage détourné d’adresses sur les deux réseaux étudiés.
Le message est simple. Dans un écosystème où tout le monde peut vérifier une adresse, trop peu de gens le font vraiment. Et ceux qui ont laissé des clés traîner sur GitHub ont, sans le vouloir, ouvert des portes que des milliers d’attaquants ont déjà franchies.
Ce que révèle vraiment cette cartographie
Au-delà des chiffres, l’étude force à reconsidérer la notion même de confiance dans les adresses. Une adresse Ethereum ou BNB n’est pas un simple identifiant. C’est un point d’entrée potentiel vers des fonds. Lorsqu’elle est mal utilisée, mal documentée ou associée à une clé exposée, elle devient un piège.
Les 49 344 cas de contrats sans code et les 15 996 cas de comptes externes compromis montrent que le phénomène n’est ni marginal ni récent. Il s’est construit progressivement, à mesure que les développeurs multipliaient les tests, les forks, les déploiements multi-chaînes, et oubliaient parfois de nettoyer leurs dépôts.
La présence de plus de 16 millions de clés privées extraites de GitHub donne une idée de l’ampleur du problème de gestion des secrets dans l’écosystème. Même si la grande majorité de ces clés n’a jamais été utilisée sur les réseaux principaux, le volume lui-même est un signal d’alarme.
Les leçons à retenir pour la suite
Première leçon : ne jamais faire confiance à une adresse uniquement parce qu’elle « ressemble » à une adresse connue. Vérifier systématiquement la présence de code sur le réseau concerné. Deuxième leçon : traiter toute clé privée comme un secret critique, même dans un environnement de test. Troisième leçon : rester vigilant face aux nouvelles fonctionnalités comme EIP-7702, qui élargissent les possibilités d’attaque lorsqu’elles sont combinées à des clés déjà compromises.
Les portefeuilles et les explorateurs de blocs ont un rôle crucial à jouer. Des alertes claires, des indicateurs de risque, des vérifications automatiques d’adresses connues comme dangereuses pourraient considérablement réduire les pertes futures. Les développeurs de protocoles, eux, pourraient explorer des évolutions qui rendent les adresses de contrats moins ambigües entre les chaînes.
En attendant, chaque utilisateur, chaque projet, chaque institution qui gère des crypto-actifs a intérêt à revoir ses pratiques. Les 574,8 millions de dollars estimés ne sont pas une abstraction. Ils correspondent à des fonds qui ont réellement quitté des portefeuilles, souvent sans que leurs propriétaires ne comprennent immédiatement ce qui s’était passé.
L’étude USENIX Security ’26 ne clôt pas le sujet. Elle l’ouvre. Et elle montre que la sécurité des adresses, trop longtemps considérée comme un détail technique, est devenue un enjeu central pour la confiance dans les blockchains publiques.
Chiffres clés à retenir
- 65 340 instances d’adresses à haut risque identifiées
- 49 344 cas de contrats sans code déployé
- 15 996 cas de comptes externes compromis
- 126 982,94 ETH et 17 726,7 BNB de pertes mesurées
- Estimation standardisée : plus de 574,8 millions de dollars
- 16,3 millions de clés privées extraites de 63 004 dépôts GitHub
- Précision de détection : 99,11 % après échantillonnage manuel
Ces données forcent à regarder la réalité en face. L’écosystème crypto a construit des outils extraordinaires de transparence et de programmabilité. Mais la même transparence qui permet de tout vérifier permet aussi de tout surveiller. Et ceux qui laissent des portes ouvertes — que ce soit par confusion d’adresse ou par exposition de clé — découvrent trop tard que quelqu’un d’autre a déjà franchi le seuil.
La prochaine fois que vous copierez une adresse, que vous déploierez un contrat de test, ou que vous pousserez du code sur un dépôt public, souvenez-vous de ces 65 340 instances. Elles ne sont pas des cas isolés. Elles sont le miroir d’une hygiène de sécurité encore trop souvent négligée. Et le coût de cette négligence se compte désormais en centaines de millions de dollars.
