Ice Phishing : Le Bouton 'Connexion' Qui Vide Votre Portefeuille

Résumé : L'Ice Phishing ne vole pas votre mot de passe ; il vole votre permission. En vous incitant à signer une Approbation de Token malveillante, les hackers peuvent drainer vos actifs à volonté. Cet article décortique la fonction d'approbation (approve) et comment utiliser Revoke.cash.

---

Prompts Midjourney

1. /imagine prompt: A user clicking a shiny "Claim Airdrop" button, but underneath the button is a contract signing a deal with a digital devil, "Malicious Contract" --ar 16:9
2. /imagine prompt: A visual representation of "Unlimited Allowance", a pipe flowing gold coins from a wallet to a black hole, "Token Drain" --ar 16:9
3. /imagine prompt: A futuristic padlock interface showing "Revoke Permissions", turning red lights to green, "Wallet Hygiene" --ar 16:9

---

1. Le Concept : Approuver vs Transférer

Sur Ethereum/EVM, un contrat intelligent (comme Uniswap) ne peut pas toucher vos tokens à moins que vous ne lui donniez la permission.

Il y a deux façons d'interagir :

1. Transférer (Transfer) : « Envoyer 10 USDT à Bob ». (Action unique).
2. Approuver (Approve) : « Autoriser Uniswap à dépenser jusqu'à 1 000 USDT de mon portefeuille ». (Permission persistante).

La Faille : La plupart des dApps demandent une « Approbation Illimitée » (Indéfinie) pour plus de commodité, afin que vous n'ayez pas à signer à chaque transaction. Les escrocs en abusent.

2. L'Attaque : La « Mise à Jour de Sécurité »

Vous recevez un e-mail ou voyez un lien sur Twitter : « Mise à jour de sécurité OpenSea : Vérifiez votre portefeuille pour éviter la perte d'actifs. »

Vous cliquez sur le lien. Il ressemble exactement à OpenSea.

Vous cliquez sur « Vérifier » (Verify).

Votre portefeuille affiche une demande de transaction.

• Elle ne dit pas « Send ETH ».
• Elle dit « SetApprovalForAll » ou « Approve WETH ».
• L'adresse du bénéficiaire (Spender Address) est le contrat du hacker.

Le Piège : Vous pensez que vous vous « connectez » ou « vérifiez ». En réalité, vous venez de signer un document légal qui dit : « J'autorise ce hacker à déplacer TOUS mes NFT et WETH quand il le souhaite. »

Ils ne volent pas vos fonds immédiatement. Ils attendent que vous déposiez plus, puis drainent tout d'un coup.

3. Comment lire la transaction

Avant de cliquer sur « Confirmer », regardez l'onglet Data (Données) ou la simulation de transaction.

Drapeaux Rouges 🚩

1. Fonction : SetApprovalForAll (Cela donne 100% du contrôle de votre collection NFT).
2. Fonction : Approve (avec un nombre massif comme 1.1579e+59).
3. Bénéficiaire (Spender) : Une adresse de contrat inconnue (Vérifiez sur Etherscan — est-elle vérifiée ? S'appelle-t-elle « Uniswap Router » ?).

4. Remédiation : Revoke.cash

Si vous soupçonnez avoir signé une mauvaise approbation :

1. Allez sur Revoke.cash.
2. Connectez votre portefeuille (mode lecture seule d'abord).
3. Scannez pour trouver des « Autorisations Illimitées » (Unlimited Allowances) vers des contrats inconnus.
4. Révoquez-les (Revoke) immédiatement. Cela coûte de petits frais de gaz mais coupe le lien avec le hacker.

En savoir plus : Pour plonger dans la fermeture de ces « portes dérobées », lisez notre guide sur La Porte Dérobée Cachée. Attention aussi à l'Empoisonnement d'Adresse, qui vous incite à envoyer des fonds volontairement.

Conclusion

Votre phrase secrète est la clé du coffre-fort. Vos « Approbations » sont les signataires autorisés. Vous ne donneriez pas une procuration sur votre compte bancaire à un étranger — ne donnez pas SetApprovalForAll à des sites web aléatoires.