Attaque par dusting (dusting attack)
En bref Une attaque par dusting envoie d’infimes montants de crypto ou des tokens indésirables à de nombreux wallets pour les tracer ou piéger leurs détenteurs.
Une attaque par dusting consiste à envoyer de très petites quantités de crypto, appelées dust, à un grand nombre d’adresses. Les montants sont financièrement négligeables. L’objectif est soit d’observer ce qui se passe ensuite, soit de déposer dans votre wallet un élément destiné à vous attirer dans un piège.
La forme initiale vise la confidentialité. Sur les blockchains à UTXO comme Bitcoin, si vous dépensez ensuite ces poussières avec vos autres fonds dans une même transaction, un observateur peut relier les adresses concernées à un même propriétaire, ce qui contribue à vous désanonymiser. Sur les blockchains à comptes comme Ethereum, BNB Chain et Solana, la version la plus courante est un envoi frauduleux : des tokens ou NFT inconnus arrivent dans votre wallet avec un nom qui renvoie vers un site. Ce site cache un drainer qui attend que vous connectiez votre wallet et signiez. Une technique voisine, l’address poisoning, consiste à envoyer des transferts nuls ou infimes depuis une adresse ressemblant à l’une de celles que vous utilisez, dans l’espoir que vous la copiiez depuis votre historique lors d’un prochain envoi.
Le risque vient du fait que ces poussières sont inoffensives tant que vous n’interagissez pas avec elles. Essayer de vendre un token inconnu peut vous amener à visiter un faux site ou à autoriser un contrat malveillant, et certains tokens frauduleux sont conçus pour être invendables. Copier une adresse depuis votre historique de transactions peut envoyer vos véritables fonds directement à l’attaquant.
Le plus sûr est d’ignorer les tokens que vous ne vous attendiez pas à recevoir. La plupart des wallets permettent de les masquer et, sur Solana, vous pouvez fermer les comptes de tokens vides pour récupérer le dépôt de rent. Ne visitez pas les sites indiqués dans les noms des tokens ou les mémos. Copiez toujours l’adresse du destinataire depuis une source fiable et vérifiez-la intégralement, pas seulement ses premiers et derniers caractères.