Vous pensez être en sécurité parce que votre Ledger dort au coffre et que votre phrase secrète est gravée dans l’acier ?Malheureusement, je dois casser l’ambiance. En effet, si vous avez utilisé la DeFi ne serait-ce qu’une fois depuis 2020, vous avez probablement laissé la porte de service grande ouverte.
Chaque fois que vous tradez sur un DEX (échange décentralisé comme Uniswap ou 1inch) ou que vous placez vos fonds sur un protocole, vous validez une petite transaction discrète avant l’échange : « Approve spending ».
Or, ce que 99% des utilisateurs ignorent, c’est que vous venez souvent de signer un chèque en blanc sans limite.
Aujourd’hui, nous allons nous attaquer au vice caché de la blockchain : les Autorisations Illimitées (Unlimited Allowances). Dans cet article, je vais vous expliquer comment elles fonctionnent. Surtout, je vous montrerai comment nettoyer votre portefeuille avant qu’un « protocole zombie » ne vienne le vider pendant votre sommeil.
1. L’Analogie du Plombier : Comprendre le Risque
Pour bien comprendre la gravité de la situation, oublions le code technique une seconde.
Imaginez que vous travaillez dans une banque ultra-sécurisée. Un jour, les toilettes fuient. Naturellement, vous appelez un plombier. Cependant, pour qu’il puisse entrer avec ses outils, vous ne lui ouvrez pas juste la porte : vous lui donnez votre propre badge d’accès, avec des droits sans limite sur toutes les salles.
Dans un premier temps, il répare la fuite. Tout se passe bien. Puis, il part.
Néanmoins, vous avez oublié de récupérer le badge.
Deux ans plus tard, ce plombier (ou le voleur qui lui a piqé son sac) revient en pleine nuit. À ce moment-là, il ne vient pas pour les toilettes. En réalité, il a toujours le badge valide. Par conséquent, il entre, vide le coffre, et ressort sans aucune effraction.
En DeFi, c’est exactement ce qui se passe
Le standard ERC-20 a une particularité : pour qu’un contrat intelligent (comme Uniswap) puisse prendre vos USDT et les échanger contre de l’ETH, il ne peut pas le faire de force. En effet, vous devez lui donner l’autorisation. C’est ce qu’on appelle la fonction approve().
Pourquoi « Illimité » ?
Tout d’abord, comprenons la raison. Pour vous éviter de payer des frais à chaque transaction, les développeurs d’applications (DApps) programment l’interface pour demander une permission sur la totalité de vos fonds (techniquement, le chiffre est 2^256 - 1, soit l’infini).
💀 Le Scénario Catastrophe :
Prenons un exemple concret. En 2022, vous avez testé un petit protocole de farming douteux avec 100 USDT. Depuis, vous avez tout retiré. Cependant, l’autorisation « Illimitée », elle, est restée active sur la blockchain.
Aujourd’hui, en 2026, vous avez maintenant 50 000 USDT sur votre portefeuille. Ainsi, si la clé privée de ce vieux protocole est compromise, le hacker peut utiliser l’ancienne autorisation de 2022 pour vider vos 50 000 USDT actuels. Et cela, sans que vous n’ayez rien à valider sur votre Ledger.
2. Le Nettoyage : Tuto Revoke.cash
Heureusement, pas de panique. Comme pour un badge, cet accès peut être désactivé. C’est ce qu’on appelle Révoquer (Revoke).
⚠️ AVERTISSEMENT CRITIQUE DE SÉCURITÉ
En premier lieu, ne tapez jamais « Revoke » au hasard sur Google. En effet, les premiers résultats sont souvent des publicités pour des sites d’hameçonnage (scams) qui imitent l’outil pour vider votre portefeuille.
Par conséquent, utilisez uniquement le lien officiel : revoke.cash.
Étape 1 : Le Diagnostic
Pour commencer, connectez votre portefeuille. Rassurez-vous, c’est sans danger : l’outil ne demande pas d’accès à vos fonds, juste la lecture publique.
Ensuite, regardez la colonne « Allowance ».
Si vous voyez le symbole « Infini » (∞) ou un chiffre astronomique sur un jeton comme l’USDT, l’USDC ou le WBTC, alors c’est une fenêtre ouverte.
Étape 2 : Repérer les « High Risk »
Attention, ne révoquez pas tout aveuglément (chaque révocation coûte des frais). En revanche, ciblez en priorité :
- Les Stablecoins (USDT, USDC, DAI) : C’est la cible n°1 des hackers car c’est de l’argent facile à blanchir.
- Les contrats « Unknown » : Si Revoke ne reconnaît pas le nom du protocole, c’est une alerte rouge absolue.
- Les fantômes du passé : Ce site de rendement agricole sur lequel vous avez mis 50$ il y a 3 ans ? Dehors. Révoquez immédiatement.
Étape 3 : L’Action
- Tout d’abord, cliquez sur le bouton « Revoke » à droite de la ligne.
- Ensuite, votre portefeuille (MetaMask, Rabby, Ledger) va s’ouvrir. À ce moment, vous allez devoir payer des frais de réseau (quelques centimes sur Layer 2, quelques dollars sur Ethereum).
- Finalement, une fois la transaction validée, le « badge » est détruit. Dès lors, le contrat ne peut plus toucher à un centime.
3. L’Hygiène du Survivant : Ma Routine
En cybersécurité, ce n’est pas de la magie. Au contraire, c’est de la discipline. Voici donc la routine que j’applique personnellement :
La règle du « One-Shot »
Premièrement, quand je teste un nouveau protocole « Degen » ou expérimental, je révoque l’accès IMMÉDIATEMENT après avoir retiré mes fonds. Ainsi, je ne laisse jamais traîner une clé chez un inconnu.
Le ménage de printemps
Deuxièmement, le premier dimanche du mois, je scanne mes adresses principales sur Revoke.cash. Certes, c’est embêtant, mais c’est nécessaire.
L’arme secrète : Rabby Wallet
Si vous utilisez encore MetaMask par défaut, vous avez un train de retard sur la sécurité.
En effet, je recommande plutôt Rabby Wallet (audité et open-source). Pourquoi ? Parce que, avant de signer une transaction, il vous simule le résultat et vous avertit : « Attention, vous êtes sur le point de donner un accès illimité à vos USDC ».
Mieux encore : il vous permet de modifier le montant. Par exemple, si vous voulez échanger 100 USDC, n’approuvez que 100 USDC. Pas un de plus.
4. SOS : Que faire si je viens de cliquer sur un lien d’hameçonnage ?
Imaginons que vous avez cliqué, puis signé, et votre estomac vient de se nouer. Soudainement, vous réalisez que c’était une arnaque.
À partir de maintenant, c’est une course contre la montre. Tout d’abord, identifiez votre cas :
Cas A : Vous avez juste signé une « Approval » ou « Permit »
Dans ce cas, le hacker a le badge, mais n’a pas encore lancé le transfert.
✅ Action : Immédiatement, foncez sur Revoke.cash. Ensuite, révoquez l’autorisation. De plus, augmentez les frais (« Aggressive » ou « High Priority ») pour que votre annulation passe sur la blockchain avant son vol.
Cas B : Vous avez donné votre phrase secrète ou signé un « Transfer »
Malheureusement, il a les clés du coffre. Par conséquent, révoquer ne sert à rien.
🚨 Action : Oubliez la révocation. À la place, déplacez vos fonds.
Ensuite, envoyez immédiatement vos actifs les plus précieux vers un autre portefeuille sain (ou une plateforme centralisée comme Binance ou Kraken) que vous contrôlez. Ainsi, sauvez les meubles.
Le mot de la fin
La DeFi vous donne la liberté incroyable d’être votre propre banque. Cependant, rappelez-vous qu’une banque sans vigile, ça se braque.
💡 Gardez cette phrase en tête avant chaque signature :
« Ma phrase secrète est mon coffre-fort. Mes autorisations sont mes fenêtres. Je les garde fermées. »
Stay safe,
Antoine Morel
Avertissement : Cet article a une visée éducative sur la sécurité informatique. En conséquence, l’auteur n’est pas responsable de vos pertes en cas de mauvaise manipulation. Vérifiez toujours les URL.
Commentaires (Aucun)