Approvals USDG Malveillants Vident Les Wallets Revenue

Vous venez de signer un message qui ressemble à une simple confirmation de commande, et quelques secondes plus tard le solde d’un stablecoin a disparu. Pas de phrase de récupération volée, pas de clé privée exposée, pas même une seconde transaction visible à temps pour l’annuler. C’est précisément le scénario décrit autour de Revenue, un service qui se présente comme un pont entre X Money et la cryptomonnaie. Le 4 octobre 2026, le cabinet de sécurité Salus a indiqué que des signatures de type permit avaient servi à obtenir une autorisation illimitée de dépenser des USDG, avant qu’un appel transferFrom ne déplace les jetons dans la même opération. L’affaire arrive quelques jours après un incident sur les comptes sociaux du projet. Elle pose une question simple, et désagréable : jusqu’où une signature anodine peut-elle aller quand elle est interprétée comme un chèque en blanc ?

Ce que Salus décrit vraiment sur Revenue

Le message publié par Salus est court, mais sa mécanique est nette. Les auteurs auraient soumis des signatures de permission déjà produites par des utilisateurs afin d’obtenir le droit de dépenser leurs USDG sans plafond utile. Une fois cette autorisation enregistrée, ils auraient appelé immédiatement la fonction qui permet à un tiers approuvé de transférer des jetons depuis l’adresse de la victime. Les deux étapes tiendraient dans une seule transaction. Le délai de réaction, dans ce schéma, n’existe presque plus.

Selon le cabinet, les fonds sortants auraient ensuite été partagés entre deux adresses contrôlées par les attaquants, à hauteur de 20 % pour l’une et de 80 % pour l’autre. Salus rapproche cette répartition du modèle de partage utilisé par Inferno, un service de drainage vendu à des affiliés. Le même message évoque aussi une ressemblance promotionnelle avec FomoPeek, connu pour s’appuyer sur des influenceurs, souvent appelés KOL, afin d’atteindre des cibles. Ces deux rapprochements restent des hypothèses de méthode. Ils ne constituent pas, à eux seuls, une identification d’infrastructure.

L’autorisation et le transfert des fonds sont achevés dans la même transaction, ce qui vide les wallets avant que l’utilisateur ait le temps de comprendre ce qu’il a signé.

Synthèse de l’alerte publiée par Salus, 4 octobre 2026

Il faut tenir les faits et les inférences à distance. Salus n’a pas publié, dans les éléments disponibles au moment de cette alerte, un montant total de pertes lié à Revenue. Le cabinet n’a pas non plus établi que le projet utilisait l’infrastructure d’Inferno. La ressemblance du partage et celle des méthodes de promotion sont signalées comme des indices de famille, pas comme une preuve de maison commune. Cette prudence compte, parce qu’une affaire de drainage se juge d’abord sur les transactions, les contrats appelés et les adresses, pas sur le ton d’un fil.

Revenue, de son côté, se décrit comme un service indépendant pour convertir des dollars envoyés via X Money en cryptomonnaies, sans contrôle d’identité. Le site indique aux utilisateurs de se connecter avec un compte X, de créer une commande, puis d’envoyer les dollars au compte @RevenuePay. Les options de versement annoncées comprennent l’USDC, l’USDT, le SOL et l’ETH. Les ordres iraient de 10 à 20 000 dollars, avec un plafond quotidien de 20 000 dollars par compte, et des frais affichés de 2 % plus 0,50 dollar. Le projet affirme que l’accès demandé sur X est en lecture seule et qu’il ne conserve pas les jetons d’accès. Il précise aussi ne pas être affilié à X Corp. ni à X Payments.

Une alerte qui arrive après un compte déjà troublé

Le contexte social précède l’alerte technique de quelques jours. Le 1er octobre 2026, le projet a indiqué que le contrôle de son compte sur les réseaux avait été pris par une personne associée à sa modération. Les échanges ont été suspendus temporairement. Des avertissements ont circulé sur une activité menée sous son nom. Le canal Telegram a d’abord affirmé que Revenue n’avait pas lancé de jeton et a demandé d’éviter les actifs qui se réclamaient d’un lien officiel. Des publications ont ensuite promu un jeton REV, ce qui a brouillé le message.

Ce décalage entre un démenti initial et une promotion ultérieure n’est pas un détail de communication. Dans les affaires de drainage, la confusion de marque est souvent le premier levier. Un utilisateur qui ne sait plus quel compte est légitime signe plus facilement un message présenté comme une étape de vérification, de remboursement ou de déblocage d’ordre. Le site de Revenue affichait pourtant, au moment des vérifications rapportées, des consignes classiques : le projet ne contacte pas en premier par message privé, ne demande ni mot de passe, ni phrase de récupération, ni clé privée, et les paiements X Money ne doivent partir que vers @RevenuePay après création d’une commande sur le site.

Ces consignes protègent contre le vol de secret. Elles protègent mal contre une signature de dépense. Posséder la clé n’est plus nécessaire dès lors que le titulaire a déjà autorisé une autre adresse à mouvoir un jeton précis. C’est le cœur du décalage entre l’incident du 1er octobre et l’alerte du 4. Le premier relève d’une compromission de vitrine. Le second, s’il est confirmé transaction par transaction, relève d’une autorisation que l’utilisateur a lui-même produite.

Pourquoi le nom USDG change la lecture

L’alerte ne parle pas d’un vol générique de n’importe quel jeton détenu dans le wallet. Elle vise des USDG. Un stablecoin adossé au dollar concentre souvent la trésorerie d’attente : l’utilisateur le garde parce qu’il vient de vendre, parce qu’il attend un versement, ou parce qu’il croit réduire le risque de prix. C’est aussi l’actif le plus simple à déplacer puis à fragmenter, parce que sa valeur faciale ne dépend pas d’un carnet d’ordres étroit.

Le choix d’un stablecoin dans un schéma d’approbation n’est donc pas anodin. Un attaquant qui obtient un droit illimité sur l’USDG d’une adresse peut vider le solde disponible sans avoir à convaincre un marché. Il n’a pas besoin que le jeton soit liquide sur une place précise au moment du vol. Il a besoin que le contrat reconnaisse son allowance, puis que transferFrom aboutisse. La suite, répartition vers deux adresses, devient une question de blanchiment et de commission, plus une question de marché.

Revenue annonce de son côté des versements en USDC, USDT, SOL et ETH. L’alerte de Salus porte sur l’USDG. Cet écart mérite d’être noté sans le surinterpréter. Il peut signifier que les signatures visaient un jeton déjà détenu par les utilisateurs, et non le jeton que le service promet d’envoyer. Il peut aussi signaler une page, une extension ou un écran de signature qui n’appartenait pas au parcours officiel. Tant que les transactions précises ne sont pas publiées avec leurs contrats, les deux lectures restent ouvertes.

Le site restait en ligne après l’alerte

Au moment des vérifications rapportées par la presse spécialisée, le site de Revenue demeurait accessible et continuait de présenter la conversion de soldes X Money vers des cryptomonnaies. Cette continuité ne prouve ni la culpabilité ni l’innocence de l’opérateur. Un service compromis peut rester en ligne pendant qu’une équipe tente de reprendre la main. Un service malveillant peut aussi maintenir une vitrine propre pendant que le drainage se fait sur un domaine voisin, un message privé ou une page de signature hébergée ailleurs.

Pour le lecteur, la conséquence pratique est la même. La présence d’un site, d’un compte et d’une page de consignes ne suffit pas à authentifier une demande de signature. Le point de contrôle utile se situe dans le wallet, au moment où le message ou la transaction décrit un spender, un montant et un jeton. Si ces trois éléments ne correspondent pas à une action que l’utilisateur a lui-même décidée, la signature ne devrait pas partir.

X Money comme argument commercial, pas comme garantie

X Money a commencé cette année à déployer des services de paiement auprès d’abonnés Premium et Premium+ aux États-Unis, avec des transferts entre personnes, des comptes de dépôt et une carte Visa. X n’avait pas annoncé de support direct des cryptomonnaies au moment de ce déploiement. Revenue s’est positionné dans cet interstice, comme une voie séparée pour transformer un solde en jetons détenus dans un wallet.

Le récit commercial est séduisant pour qui veut sortir des rails bancaires sans dossier. Il est aussi fragile. Un service qui demande une connexion X, un envoi de dollars vers un compte nommé, puis une adresse de réception crypto cumule trois surfaces de confiance. La première est l’identité du compte qui reçoit les dollars. La deuxième est l’authenticité du site qui crée la commande. La troisième est le wallet qui, à un moment, peut être invité à signer. L’alerte de Salus concerne surtout la troisième. Elle ne dit pas que les dollars envoyés via X Money ont été détournés au niveau du paiement. Elle dit que des autorisations de dépense sur un stablecoin ont été utilisées.

Cette distinction évite un amalgame fréquent. Un pont autoproclamé n’hérite pas de la réputation du réseau social dont il emprunte le nom dans sa communication. Revenue le écrit lui-même : le service est indépendant et n’est pas endossé par X. L’utilisateur qui lit trop vite peut pourtant croire le contraire, surtout si la promesse est l’absence de vérification d’identité et des frais affichés bas.

Une chronologie serrée, pas un roman

Les dates utiles tiennent sur moins d’une semaine. Le 1er octobre, signalement d’un compte social compromis, suspension temporaire des échanges, messages contradictoires autour d’un éventuel jeton. Le 4 octobre, alerte de Salus sur des approvals USDG et un transfert immédiat. Entre les deux, le site restait consultable. Cette compression temporelle est typique des campagnes qui profitent d’une marque déjà bruitée. Plus le fil officiel est instable, plus une contrefaçon passe.

Il reste à documenter, hors de cette synthèse, les hash, les contrats de jeton et les adresses de réception. Sans eux, un article ne peut pas chiffrer le préjudice ni nommer un opérateur. Avec eux, la discussion quitte le registre de l’alerte pour entrer dans celui de l’attribution. Salus a choisi, pour l’instant, le premier registre, avec des réserves explicites sur Inferno.

Comment lire une alerte de cabinet sans la gonfler

Une alerte de sécurité n’est ni un jugement ni un rapport d’audit complet. Elle sert à figer une mécanique pendant que les transactions sont encore fraîches. Le bon usage, pour un média comme pour un lecteur, consiste à reprendre le verbe du cabinet, à séparer ce qu’il affirme de ce qu’il compare, et à noter les absences. Ici, l’absence la plus importante est le montant. La deuxième est l’identité de l’infra. La troisième est la liste publique des transactions.

Gonfler ces absences en certitudes produit deux dégâts. Le premier est juridique, si un projet est désigné comme opérateur d’un draineur sans éléments. Le second est pratique : les utilisateurs retiennent un nom de marque et oublient le geste qui les a exposés, c’est-à-dire la signature. Or c’est le geste qui se reproduit, quelle que soit la marque du mois prochain.

L’inverse est tout aussi mauvais. Minimiser une alerte parce que le total n’est pas publié revient à attendre la facture pour fermer la porte. Dans un schéma où l’approbation et le transfert tiennent dans la même transaction, la facture arrive après le départ des fonds. La réaction utile se situe avant la signature suivante, pas après le thread de synthèse.

Le rôle des influenceurs dans la file d’attente

Salus indique que la manière de promouvoir Revenue rappelait FomoPeek, où des KOL servaient de canal vers les victimes potentielles. Le cabinet ne fournit pas, dans les éléments repris, la preuve que les mêmes personnes opéraient les deux projets. Le point utile est ailleurs. Un influenceur qui publie un lien de conversion, un code ou une étape de vérification allonge la chaîne de confiance sans allonger la vérification.

L’abonné voit un visage connu. Il ne voit pas le spender qui sera écrit dans la signature. Cette asymétrie explique pourquoi les campagnes de drainage investissent autant dans la distribution que dans le contrat. Le contrat est générique. L’histoire racontée autour du contrat est spécifique, locale, et souvent calée sur une actualité, ici le déploiement de paiements sur un grand réseau social.

Refuser le lien d’un influenceur n’est pas un jugement sur sa personne. C’est un refus de déléguer la lecture d’une autorisation de dépense. Si le service est réel, il reste accessible sans le lien. Si le service n’existe que par le lien, la question est déjà répondue.

Ce que l’utilisateur peut encore vérifier seul

Même sans explorateur avancé, quelques contrôles restent accessibles. Le domaine doit être saisi, pas cliqué depuis un message. Le compte de paiement annoncé doit correspondre exactement à celui écrit sur le site officiel consulté directement. La demande de signature doit nommer un jeton que l’utilisateur a décidé de dépenser, pour un montant qu’il comprend, vers un spender qu’il identifie. Une demande illimitée sur un stablecoin, présentée comme une formalité de commande, échoue à ce test.

Après coup, l’historique du wallet montre l’allowance si elle n’a pas déjà été consommée. S’il reste un droit non utilisé, le révoquer limite le prochain passage. S’il a été consommé dans la foulée, la révocation n’efface pas le transfert. Elle empêche seulement une seconde ponction sur un solde reconstitué. C’est déjà beaucoup, parce que les campagnes reviennent souvent sur les adresses qui ont déjà signé.

Aucune de ces vérifications ne remplace une analyse on-chain. Elles réduisent toutefois la surface au moment où la décision se prend, c’est-à-dire dans les secondes qui précèdent la confirmation. C’est là que l’affaire Revenue, quelle qu’en soit l’issue attributive, a une valeur d’exemple.

Une affaire encore ouverte sur les preuves

Au stade public de l’alerte, trois questions restent sans réponse chiffrée. Combien d’adresses ont signé. Quel contrat USDG a été visé. Quelles adresses ont reçu les parts de 20 % et de 80 %. Tant que ces éléments ne circulent pas dans un rapport, toute addition de pertes serait une invention. L’honnêteté éditoriale consiste à décrire la mécanique, pas à lui inventer un bilan.

Cette retenue n’empêche pas de tirer une leçon opérationnelle. Une signature de permission illimitée, suivie d’un transfert dans la même transaction, est un schéma déjà documenté sur d’autres jetons et d’autres marques. Le nom du service change. Le geste de l’utilisateur, lui, reste le point de rupture. C’est sur ce geste que la suite de l’article s’attarde, parce que c’est le seul que chacun peut encore refuser.

La signature qui remplace la clé

Le vol classique de wallet suppose un secret : phrase de douze ou vingt-quatre mots, clé privée, ou fichier de coffre accompagné de son mot de passe. Le schéma décrit ici s’en passe. Le titulaire conserve son secret. Il produit néanmoins une autorisation que le contrat de jeton accepte comme suffisante pour laisser un tiers déplacer le solde. Dans le vocabulaire des portefeuilles, on parle d’allowance. Dans le vocabulaire des attaquants, on parle d’un droit déjà signé, donc exploitable sans nouveau clic de la victime.

Les standards de permission hors chaîne, popularisés pour éviter une transaction d’approbation séparée et ses frais, ont rendu ce geste plus discret. L’utilisateur signe un message. Le relais ou l’attaquant soumet ensuite ce message au contrat. Pour un stablecoin qui implémente ce mécanisme, la permission peut couvrir un montant précis ou, dans les cas les plus dangereux, un plafond si élevé qu’il équivaut à l’intégralité du solde présent et futur. L’alerte visant Revenue décrit ce second cas sur l’USDG.

La difficulté n’est pas technique pour le grand public. Elle est visuelle. Une demande de signature ressemble souvent à une confirmation banale : connexion, vérification d’adresse, validation d’un ordre. Le texte lisible peut être court. Le contenu signé, lui, contient le spender, le montant, l’échéance et le nonce. Quand l’interface du wallet résume mal ces champs, l’utilisateur valide un droit de dépense en croyant valider une étape de service.

Le même bloc, deux effets

Regrouper l’enregistrement de l’autorisation et l’appel de transfert dans une seule transaction change la cinétique du vol. Dans un schéma plus ancien, la victime pouvait voir une approbation confirmée, puis disposer de minutes ou d’heures avant que le solde parte, le temps de révoquer. Ici, Salus indique que les deux effets aboutissent ensemble. Le reçu que l’utilisateur consulte après coup montre déjà la sortie des fonds.

Cette compression n’est pas une prouesse mystérieuse. Elle est une composition d’appels. Un contrat intermédiaire, ou un bundle soumis par un relais, peut consommer la signature, écrire l’allowance, puis transférer avant que le bloc suivant n’existe. Pour l’observateur, une seule empreinte de transaction concentre la preuve. Pour la victime, une seule notification concentre la mauvaise nouvelle.

Le partage ultérieur en 20 % et 80 % intervient après cette ponction, ou dans la même composition si le contrat de drainage prévoit la ventilation. Salus présente cette coupe comme ressemblant au partage de revenus d’Inferno, où une part revient à l’affilié qui a amené la victime et une part plus large aux opérateurs de l’outil. La ressemblance éclaire un modèle d’affaires. Elle ne nomme pas, à elle seule, le fournisseur du script utilisé dans les transactions Revenue.

Inferno comme modèle, pas comme étiquette collée

Inferno est déjà apparu dans des dossiers d’approbation à grande échelle. Salus avait enquêté, après la perte d’environ 550 000 USDC par un utilisateur en août, sur un faux site Hyperliquid promu par des annonces sponsorisées. L’infrastructure avait été rapprochée de l’écosystème Inferno. Une investigation en couverture décrivait une offre de scripts malveillants, de génération de commandes d’approbation, de drainage automatisé, de retraits inter-chaînes, d’échanges de jetons et d’outils de consolidation. Le partage automatique des recettes figurait parmi les fonctions mises en avant.

Les groupes reliés à cette infrastructure ont été associés par Salus à environ 52,74 millions de dollars de pertes sur plusieurs incidents. Ailleurs, une plainte déposée en mai contre Coinbase par un investisseur anonyme évoquait un vol de phishing de 2024, avec une réclamation d’environ 55 millions de dollars en DAI après un faux écran de connexion. La plainte alléguait l’usage d’Inferno. Une partie des fonds aurait ensuite été tracée vers un compte de détail, selon Zero Shadow. Ces précédents montrent la longévité du modèle. Ils ne transfèrent pas automatiquement la responsabilité à chaque nouveau partage 20/80.

Le bon réflexe de lecture consiste donc à séparer trois couches. La première est le fait transactionnel : signature, allowance illimitée, transfert immédiat, coupe en deux adresses. La deuxième est le modèle économique du draineur comme service, déjà documenté. La troisième est l’attribution, qui exige des recoupements d’infrastructure, de domaines, de kits et d’adresses de commission. Salus a franchi la première, esquissé la deuxième, et laissé la troisième ouverte.

FomoPeek, KOL et la porte d’entrée

L’autre comparaison de Salus porte sur la promotion. FomoPeek a été associé à l’usage d’influenceurs pour attirer des utilisateurs vers des parcours risqués. Revenue, selon le cabinet, présentait une méthode voisine, sans que l’identité des opérateurs soit établie. Le point intéressant n’est pas le nom du précédent. Il est la fonction du relais humain.

Un service de conversion qui promet de sortir des dollars d’un réseau social vers un wallet a besoin de confiance rapide. Un créateur déjà suivi fournit cette confiance à moindre coût qu’une marque déposée. Le message type mêle tutoriel, code de parrainage et urgence. L’utilisateur arrive sur une page qui ressemble à une caisse. La demande de signature, si elle survient, est habillée en étape de vérification de l’adresse de réception ou de déblocage du versement. Rien, dans ce théâtre, n’oblige à demander une phrase de récupération. L’allowance suffit.

C’est pourquoi les consignes classiques du site, utiles contre le vol de seed, ratent une partie de la menace. Ne jamais donner sa phrase secrète reste une règle juste. Elle ne couvre pas le cas où le wallet, tenu par l’utilisateur, signe lui-même le droit de dépense. La pédagogie doit donc ajouter une deuxième règle, aussi sèche que la première : ne jamais signer une permission illimitée sur un stablecoin pour un tiers que l’on ne saurait nommer et révoquer.

Ce que voit vraiment celui qui signe

Dans la plupart des wallets grand public, une demande de permission hors chaîne s’affiche comme un message à confirmer, parfois avec un domaine, parfois avec un résumé généré par l’application. Le domaine peut être usurpé par un caractère proche. Le résumé peut omettre le plafond. L’utilisateur pressé valide parce que la page web, elle, parle de délai de traitement, de file d’attente ou de frais déjà payés.

Une lecture minimale devrait isoler quatre champs. Le spender, c’est-à-dire l’adresse ou le contrat qui recevra le droit. Le jeton concerné, ici l’USDG dans l’alerte. Le montant, qui doit être un chiffre compréhensible et non une valeur maximale du type utilisé pour dire sans limite. L’échéance, qui dit jusqu’à quand le droit vit. Si l’un de ces champs est illisible, la signature n’a pas de justification opérationnelle pour un simple envoi de dollars vers un compte de paiement.

Revenue décrit un parcours où l’utilisateur envoie des dollars, puis reçoit des cryptomonnaies sur une adresse qu’il a fournie. Rien, dans cette description commerciale, n’exige que le wallet de l’utilisateur autorise un tiers à dépenser un stablecoin déjà détenu. Cette incohérence de parcours est le signal le plus clair. Un service qui doit vous envoyer des jetons n’a pas besoin, pour cette seule promesse, de pouvoir prendre ceux que vous détenez déjà.

Juillet, un précédent à sept chiffres

Un cas proche, rapporté en juillet, avait vu un utilisateur Ethereum perdre près d’un million de dollars après une transaction malveillante. L’approbation donnait aux auteurs le moyen de déplacer des actifs sans nouvelle autorisation du titulaire. Le montant n’a rien de représentatif d’un cas médian. Il montre toutefois l’échelle possible dès lors qu’un wallet de trésorerie signe un droit large. L’affaire Revenue, faute de total publié, ne peut pas être rangée sur la même échelle. Elle peut être rangée dans la même famille de geste.

La famille compte plus que le ticket. Un drainage de quelques centaines de dollars, répété sur des dizaines d’adresses, finance un affilié aussi sûrement qu’un coup unique sur une baleine. Le partage automatique sert exactement cette économie de volume. L’affilié n’a pas à calculer une commission. Le contrat, ou le script en aval, coupe les fonds. C’est cette industrialisation, plus que le nom d’un kit, qui explique la récurrence des alertes depuis deux ans.

Pour l’utilisateur isolé, l’échelle industrielle est invisible. Il voit une page, un créateur, une promesse de versement. Le kit, lui, voit une signature valide et un solde. Réduire l’écart entre ces deux visions est le seul levier durable, au-delà du gel éventuel d’un domaine.

Pourquoi l’absence de KYC n’est pas le sujet central

Revenue met en avant l’absence de vérification d’identité. Ce choix attire une clientèle qui refuse le dossier bancaire, ou qui ne peut pas le produire. Il complique aussi le recours. Sans identité fiable du client, un service honnête peine à geler un ordre litigieux. Un service malhonnête, ou un imitateur, s’en sert comme argument de vitesse. L’alerte de Salus ne repose pourtant pas sur l’absence de KYC. Elle repose sur des signatures de dépense.

Confondre les deux sujets conduit à de mauvais conseils. Ajouter un contrôle d’identité n’empêche pas un utilisateur identifié de signer une allowance toxique. À l’inverse, un service sans KYC peut très bien ne jamais demander de signature de dépense, s’il se contente de recevoir un paiement fiat et d’émettre un envoi crypto depuis ses propres fonds. Le critère opérationnel reste le sens du flux. Qui envoie, qui reçoit, et quelle autorisation le wallet est invité à produire.

Les frais annoncés, 2 % plus 0,50 dollar, et le plafond de 20 000 dollars par jour, dessinent un produit de détail. Ce n’est pas un bureau de gré à gré pour institutionnels. Le risque individuel peut sembler borné par le plafond. Il ne l’est pas si la signature porte sur un solde déjà présent dans le wallet, indépendant de la commande en cours. Un utilisateur peut avoir envoyé 200 dollars via le parcours commercial et perdre, par une permission séparée, plusieurs milliers d’USDG détenus par ailleurs. Le plafond marketing ne borne pas l’allowance.

Le compte social comme second théâtre

La compromission annoncée le 1er octobre ajoute une couche d’incertitude légitime. Quand un projet dit perdre la main sur sa modération, chaque lien publié dans les heures suivantes devient suspect, y compris ceux qui semblent corriger le tir. Les messages sur l’absence de jeton, puis l’apparition de publications autour d’un REV, illustrent ce brouillard. Un utilisateur ne peut pas arbitrer en temps réel entre un canal repris et un canal restauré.

La règle pratique, dans ce genre de fenêtre, est de ne rien signer et de ne rien envoyer vers un compte cité dans un message non vérifié. Attendre ne coûte qu’un délai. Signer peut coûter le solde d’un stablecoin. Les consignes du site, si le domaine est saisi à la main et non ouvert depuis un lien, restent un point d’appui : pas de premier contact en message privé, pas de demande de secret, paiement uniquement vers le compte nommé après création d’ordre. Elles ne dispensent pas de lire la signature.

On a vu, sur d’autres marques, des attaquants conserver un site intact et n’empoisonner que le compte social, ou l’inverse. Ici, les deux surfaces ont été questionnées à quelques jours d’intervalle. Cela justifie une prudence renforcée, pas une conclusion pénale. Un incident de modération peut être réel sans que l’opérateur du site soit l’auteur des signatures. Un opérateur peut aussi mettre en scène une compromission pour éloigner la responsabilité. Les transactions trancheront mieux que le fil.

Ce que peut faire un exchange, et ce qu’il ne peut pas

Une partie des dossiers Inferno s’est terminée, ou a été ralentie, au moment où des fonds touchaient une plateforme centralisée. Le cas évoqué dans la plainte de mai montrait un passage vers un compte de détail. Ce n’est pas une garantie de restitution. C’est un point de friction. Un attaquant qui reste en adresses auto-hébergées, qui fragmente et qui passe par des ponts, réduit cette friction. Les outils de consolidation décrits dans l’enquête Salus sur Inferno servent précisément à choisir le moment et le lieu de sortie.

Pour les utilisateurs touchés par le schéma USDG, le réflexe utile immédiat n’est pas d’écrire à une plateforme au hasard. Il est de conserver les empreintes de transaction, de révoquer toute allowance restante sur le jeton concerné, et de cesser d’utiliser l’adresse exposée pour recevoir de nouveaux fonds. Une adresse qui a signé une fois peut être recontactée. Les campagnes recyclent les listes de signataires.

La révocation ne ramène pas les jetons déjà transférés. Elle coupe le droit résiduel. Si l’autorisation a été consommée intégralement dans la même transaction, le solde est déjà parti, mais une nouvelle autorisation pourrait être demandée plus tard sous un autre habillage. Changer d’adresse de réception pour les flux futurs limite le recyclage.

Lire une transaction sans se perdre

Un explorateur de blocs affiche, pour ce type d’incident, une interaction avec le contrat du stablecoin et, souvent, un contrat intermédiaire. Les logs montrent un événement d’approbation puis un événement de transfert, ou un transfert qui suppose une allowance déjà posée dans le même appel. L’adresse qui reçoit n’est pas forcément l’adresse finale. La coupe 20/80 peut apparaître comme deux transferts successifs vers deux destinataires, ou comme une ventilation interne.

Sans publier ici d’adresse, on peut retenir la méthode. Noter le contrat du jeton. Noter le spender. Noter les destinataires immédiats. Vérifier si le même spender apparaît dans d’autres wallets au même moment. Cette répétition, plus que le montant unitaire, signe une campagne. Salus, en parlant de perpetrators au pluriel et de deux adresses de répartition, décrit déjà cette structure, sans livrer le grand livre complet dans le message public repris par la presse.

Les médias qui chiffrent trop tôt un préjudice prennent un risque de correction. Mieux vaut écrire qu’aucun total n’a été établi publiquement, puis expliquer la mécanique. C’est la ligne tenue ici. Elle laisse la place à une mise à jour si un décompte on-chain est publié.

Le stablecoin comme cible préférée

L’USDG n’est pas le premier stablecoin visé par une allowance toxique, et il ne sera pas le dernier. Les attaquants préfèrent les jetons qui se transfèrent sans glissement de prix et qui s’échangent partout. Un jeton de gouvernance volatil peut aussi être pris, mais il oblige à une vente rapide, donc à une trace de marché. Un dollar tokenisé se déplace, se coupe, se pont parfois, avec moins de friction narrative.

Pour le détenteur, la conséquence est contre-intuitive. Le stablecoin, choisi pour ne pas bouger, devient l’actif le plus exposé à une signature distraite, précisément parce que son solde est souvent le plus élevé dans le wallet du quotidien. Une permission illimitée sur cet actif équivaut à laisser un tiers signer des chèques sur le compte courant, pas sur un portefeuille d’actions peu liquide.

La parade n’est pas d’abandonner les stablecoins. Elle est de segmenter. Une adresse de réception pour les versements entrants. Une adresse de dépense, avec des montants limités, pour les interactions de sites. Une conservation longue, idéalement derrière un support matériel, qui ne signe jamais un permit venu d’une page de conversion. Cette séparation ne figure pas dans le parcours marketing de Revenue. Elle relève de l’hygiène de l’utilisateur, et elle aurait réduit l’impact décrit par Salus même en cas de signature imprudente sur l’adresse chaude.

Ce que les interfaces de wallet doivent encore montrer

Une partie du fardeau ne devrait pas rester sur l’utilisateur. Les wallets qui affichent une demande de permit comme un simple message signé, sans traduire le droit de dépense en langage clair, facilitent le schéma. Une interface responsable devrait écrire, en toutes lettres, que le site demande le droit de prendre jusqu’à tel montant de tel jeton, maintenant ou plus tard, et nommer le spender en adresse copiable. Le plafond maximal devrait être affiché comme illimité, pas comme un détail technique.

Certaines applications le font déjà, avec un avertissement spécifique pour les allowances sans borne. D’autres résument encore trop. Tant que l’écart demeure, les campagnes continueront de viser les wallets les plus bavards en apparence et les plus muets sur le fond. L’affaire rapportée autour de Revenue est un argument de plus pour imposer cet affichage, y compris lorsque la signature ne crée pas immédiatement une transaction visible dans l’historique classique d’approbation.

Les simulateurs de transaction, qui prévisualisent les changements de solde, aident quand l’appel est on-chain et groupé. Ils sont moins parlants si l’utilisateur ne signe qu’un message, et si la soumission a lieu ensuite depuis une autre adresse. D’où l’importance de traiter le message lui-même comme une transaction potentielle, et non comme un captcha amélioré.

Une grille de lecture pour les prochains avis

Les prochaines alertes de ce type gagneraient à être lues avec une grille stable. Quel jeton. Quel mécanisme, permit ou approbation classique. Le transfert est-il dans la même transaction. Y a-t-il une ventilation fixe vers deux adresses ou plus. Le projet visé avait-il déjà signalé une compromission de comptes. Un total est-il publié, ou seulement une mécanique. Cette grille évite à la fois le sensationnalisme et le déni.

Appliquée ici, elle donne : USDG, permit soumis pour une permission illimitée, transfert immédiat, coupe 20/80, compromission sociale signalée trois jours plus tôt, pas de total public, ressemblance avec un modèle de draineur sans attribution d’infrastructure. C’est assez pour alerter. Ce n’est pas assez pour conclure à l’identité de l’opérateur du kit.

Les lecteurs qui détiennent des fonds sur une adresse ayant interagi avec le parcours Revenue ont, eux, une action indépendante de cette conclusion. Vérifier les allowances. Révoquer ce qui dépasse un besoin précis. Cesser de faire confiance aux liens diffusés pendant la fenêtre de compromission annoncée. Le reste appartient aux enquêteurs et, le cas échéant, aux plateformes qui verraient passer les fonds.

Le mot de la fin, sans moraline

Revenue s’est présenté comme un raccourci entre un solde de réseau social et un wallet. Salus décrit un raccourci d’un autre genre, entre une signature et un solde vidé. Les deux récits peuvent coexister le temps qu’une analyse d’adresses les relie ou les sépare. En attendant, la leçon tient en une phrase que les consignes de site oublient encore trop souvent. Une clé privée n’a pas besoin d’être volée pour qu’un stablecoin parte, si son titulaire a déjà signé le droit de le prendre.

Le partage en 20 % et 80 % restera le détail qui fait lever les sourcils, parce qu’il évoque une caisse automatique d’affiliés. Il doit rester un indice, pas un verdict. Les indices servent à orienter la vérification. Les verdicts, dans ce domaine, se signent avec des transactions, pas avec une ressemblance de pourcentage.

• Ne signez pas une permission illimitée pour débloquer un versement.
• Un service qui doit vous envoyer des jetons n’a pas à dépenser les vôtres.
• Après une alerte de compte compromis, aucun lien du fil ne mérite une signature.
• Révoquez les allowances résiduelles et changez d’adresse de réception.
• Exigez un affichage clair du spender, du jeton, du plafond et de l’échéance.

L’actualité du 4 octobre 2026 ajoute un nom, Revenue, à une famille d’attaques déjà connue. Elle n’invente pas le procédé. Elle rappelle que la promesse d’un pont sans friction peut côtoyer, à quelques écrans de distance, une demande de droit de dépense. Distinguer les deux écrans reste, pour l’instant, la protection la plus concrète dont dispose le détenteur d’USDG.

Anatomie d’une allowance illimitée

Sur la plupart des jetons de type ERC-20, dépenser au nom d’autrui suppose un droit écrit dans le contrat. Ce droit porte un nom peu poétique, allowance, et deux paramètres : qui peut dépenser, et jusqu’à combien. Une interface honnête demande un montant proche de l’opération en cours. Une interface négligente, ou malveillante, propose le plafond maximal que le champ peut contenir. L’utilisateur voit parfois un bouton unique, du genre approuver, sans voir que le chiffre sous-jacent couvre bien plus que sa commande.

Le mécanisme de permit déplace une partie de cette écriture hors de la transaction payée par l’utilisateur. Il signe un accord structuré. Quelqu’un d’autre peut ensuite payer le gaz pour enregistrer cet accord. C’est pratique pour l’expérience d’achat. C’est aussi pratique pour qui collecte des signatures via une page trompeuse, puis les soumet en lot. Salus décrit exactement cette soumission, suivie sans délai de l’usage du droit obtenu.

Illimité ne signifie pas que l’attaquant crée des jetons. Il signifie qu’il peut transférer ce qui est déjà là, et ce qui arriverait ensuite tant que le droit n’est pas révoqué ou consommé selon les règles du contrat. D’où l’intérêt, après un incident, de ne plus recevoir de nouveaux USDG sur la même adresse. Un versement de remboursement, ironiquement, pourrait repartir si une allowance vive subsistait.

Le théâtre de la commande légitime

Un parcours de conversion crédible a une logique comptable simple. L’utilisateur paie en dollars. Le service, après réception, envoie des cryptomonnaies depuis sa trésorerie ou depuis un prestataire. Le wallet du client est donneur d’adresse, pas donneur de jetons. Toute demande qui inverse ce sens mérite un arrêt. Si la page explique que la signature sert à vérifier que vous contrôlez l’adresse, la vérification standard consiste à signer un message neutre, sans spender et sans montant, ou à envoyer un micro-montant. Elle ne consiste pas à accorder une dépense illimitée.

Les kits de drainage connaissent cette objection. Ils habillent la demande avec un vocabulaire de conformité, de file anti-fraude ou de déblocage de plafond. Le vocabulaire change, la structure signée non. Apprendre à chercher le spender dans l’écran du wallet vaut mieux que d’apprendre la liste des prétextes, qui s’allonge chaque trimestre.

Revenue publie des garde-fous contre le contact non sollicité et contre la demande de secrets. Ces phrases sont nécessaires. Elles deviennent insuffisantes si l’utilisateur pense qu’une signature quelconque, du moment qu’elle ne révèle pas la seed, reste anodine. Le travail d’explication consiste à remettre la signature de dépense au même niveau de gravité que la seed, pour le jeton concerné.

Affiliés, kits et caisses automatiques

Le modèle du draineur comme service sépare les rôles. Une équipe maintient les contrats, les pages et les outils de retrait. Des affiliés apportent le trafic, via publicités, comptes compromis ou créateurs. La commission se règle en chaîne pour limiter la fraude entre complices. Une coupe fixe, souvent citée dans une zone proche de 20 % pour l’apporteur, évite la négociation au cas par cas. Voir 20 % et 80 % dans une affaire nouvelle fait donc penser à ce catalogue. Cela peut aussi être une imitation consciente, destinée à brouiller les pistes, ou une coïncidence de taux. Seuls les contrats de commission et les adresses déjà attribuées permettraient de trancher.

Cette économie explique la durée de vie des campagnes. Le coût marginal d’une victime supplémentaire est faible une fois le kit prêt. Le coût pour la victime, lui, est intégral sur le jeton visé. L’asymétrie est le produit. Tant que des signatures illimitées restent socialement acceptées comme étape de connexion, le produit trouve preneur.

Les chiffres déjà associés par Salus à l’écosystème Inferno, de l’ordre de 52,74 millions de dollars sur plusieurs dossiers, montrent que le catalogue n’est pas marginal. Les comparer au cas Revenue serait prématuré. Les citer sert seulement à rappeler que le procédé a déjà financé une activité durable, pas une expérience isolée.

Que faire dans l’heure qui suit un doute

Si une signature vient d’être produite et que le solde est encore intact, la priorité est la révocation de l’allowance avant toute autre navigation. Les outils de révocation spécialisés, ou l’interface du contrat si l’on sait la lire, permettent de remettre le droit à zéro. Il faut le faire depuis un environnement que l’on contrôle, pas depuis la page qui a demandé la signature. Fermer l’onglet ne révoque rien.

Si le solde est déjà parti, la révocation reste utile pour le résiduel, puis vient la conservation des preuves : heure, domaine consulté, empreinte, jeton, montant. Signaler au projet n’est pas inutile, mais ne doit pas passer par un lien reçu en message privé après l’incident. Les faux supports prospèrent dans les minutes qui suivent une alerte publique. Ils promettent un remboursement contre une nouvelle signature, ce qui constitue souvent le second vol.

Déplacer les autres jetons vers une adresse neuve, dont la seed n’a jamais été saisie sur la machine utilisée pour la page douteuse, limite l’exposition si un malware accompagnait le site. Dans le schéma décrit par Salus, le malware n’est pas nécessaire. La prudence supplémentaire ne coûte qu’un transfert de plus.

Le marché des ponts autoproclamés

Chaque fois qu’une grande plateforme ajoute un paiement en monnaie classique, des services tiers apparaissent pour en faire autre chose : du crypto, du jeton maison, du rendement. La demande est réelle. L’offre est difficile à trier, parce que ces services n’ont souvent ni licence identifiable, ni historique d’audit, ni séparation claire des fonds. Revenue coche, dans sa communication, l’indépendance assumée et l’absence de lien avec X. C’est un point de clarté. Ce n’est pas un point de sûreté.

Un utilisateur peut juger le produit attractif pour des montants qu’il accepte de perdre. Ce cadre-là est au moins conscient. Il cesse de l’être si le même wallet sert de coffre pour l’épargne en stablecoins. Mélanger l’adresse du pari et l’adresse du loyer numérique est l’erreur qui transforme un frais de 2 % en perte sèche du solde.

Les plafonds affichés, 10 dollars au minimum et 20 000 au maximum par ordre, avec un quotidien identique au maximum, situent le service dans la billeterie de détail. Les attaques par allowance ignorent cette grille. Elles lisent le solde réel du jeton, pas le montant de la commande. D’où l’insistance, peut-être répétitive mais justifiée, sur la séparation des adresses.

Influenceurs, responsabilité et zone grise

Salus rapproche la promotion de Revenue de celle de FomoPeek sans fusionner les équipes. La zone grise est connue. Un créateur peut relayer un lien qu’il croit être un partenaire. Il peut aussi relayer un lien contre rémunération sans avoir testé le parcours jusqu’à la signature. Dans les deux cas, son audience hérite d’un risque qu’elle n’a pas les moyens de mesurer sur une story de quinze secondes.

La responsabilité éditoriale d’un créateur financier ne se règle pas dans cet article. Le conseil au lecteur, lui, est indépendant de cette responsabilité. Un visage familier n’authentifie pas un spender. Si le créateur est de bonne foi, il comprendra qu’on n’utilise pas son lien et qu’on saisit le domaine soi-même. S’il ne le comprend pas, l’information est déjà suffisante.

Les campagnes futures copieront ce canal, parce qu’il convertit. S’attendre à ce qu’il disparaisse après une alerte est irréaliste. S’attendre à ce que chaque lecteur ouvre le détail de signature l’est un peu moins, à condition que les wallets rendent ce détail inévitable.

Ce que cette affaire ne permet pas de dire

Il n’est pas établi, sur la base publique utilisée ici, que Revenue opère un draineur. Il n’est pas établi que Inferno ait fourni le kit de ces transactions. Il n’est pas établi un montant de pertes. Il n’est pas établi que les dollars envoyés vers @RevenuePay aient été détournés. Il n’est pas établi que le jeton REV éventuellement promu ait un lien technique avec les approvals USDG. Empiler ces négations n’est pas une défense du projet. C’est une hygiène de faits, utile le jour où un rapport viendra combler une case et pas les autres.

Ce que l’on peut dire, c’est qu’une alerte spécialisée décrit un schéma d’autorisation illimitée et de transfert groupé visant des utilisateurs associés à cette marque, après une fenêtre où le projet lui-même déconseillait de faire confiance à son compte social. Ce faisceau justifie d’éviter le parcours tant que les allowances et les domaines ne sont pas clarifiés par des preuves vérifiables.

La clarification utile viendrait d’une liste de transactions, d’une explication du projet sur la présence ou l’absence de demandes de permit dans son flux normal, et d’une révocation guidée si des spender identifiés circulent. En l’absence de ces pièces, la prudence reste asymétrique : elle coûte un délai, pas un solde.

Vers une habitude de signature plus sèche

Les utilisateurs expérimentés ont déjà une règle informelle. Ils approuvent le montant exact, ils révoquent après usage, ils séparent les adresses. Cette règle circule mal vers le public attiré par un pont sans identité. C’est pourtant ce public que visent les pages calées sur X Money. Traduire la règle sans jargon est donc une partie du travail d’information, au même titre que le récit de l’alerte.

Approuver le montant exact signifie accepter que le site prenne 100 unités s’il doit en prendre 100, pas un droit ouvert. Révoquer après usage signifie remettre le compteur à zéro, même si l’opération a réussi. Séparer les adresses signifie que l’adresse qui parle aux sites inconnus ne détient pas l’épargne. Aucune de ces habitudes n’exige de comprendre le bytecode d’un contrat. Elles exigent de refuser l’écran flou.

Si le secteur des wallets généralisait l’avertissement illimité, et si les sites légitimes cessaient de demander des plafonds absurdes par paresse de développement, la fenêtre exploitée dans ce type d’alerte se réduirait. En attendant cette convergence, chaque incident comme celui signalé autour de Revenue sert de rappel ponctuel. Le rappel ne remplace pas l’habitude. Il peut la déclencher.

La suite dépendra des pièces on-chain que les enquêteurs choisiront de publier, et de la réponse factuelle du projet sur son flux de signatures. D’ici là, le geste à retenir n’appartient ni à Salus ni à Revenue. Il appartient à la personne qui, devant un écran de confirmation, décide si un tiers a vraiment besoin du droit de vider ses USDG pour lui envoyer autre chose.

Une journée type côté victime

Imaginons, sans inventer de montant, le déroulé tel que la mécanique le permet. Le matin, un message ou une vidéo parle d’un moyen de transformer un solde de paiement social en stablecoin ou en ether. Le lien mène à une page qui reprend le vocabulaire de Revenue, ou à une page soeur. L’utilisateur crée une commande, envoie des dollars vers le compte indiqué, puis se voit demander de connecter un wallet pour confirmer l’adresse de réception. La confirmation n’est pas un message neutre. C’est un permit sur l’USDG.

Il valide, parce que la page affiche un temps d’attente et parce qu’il a déjà payé les frais de tête. Dans le bloc suivant, ou dans le même, l’allowance est posée et le transfert part. La notification du wallet arrive trop tard pour être une alerte. Elle est un reçu. Le solde USDG, qui n’avait rien à voir avec la commande de 10 ou de 200 dollars, a suivi la coupe vers deux adresses. L’utilisateur cherche le support. Le compte social, déjà annoncé comme compromis quelques jours plus tôt, n’est pas un canal fiable pour cette recherche.

Ce récit est une reconstruction pédagogique, pas un procès-verbal. Il sert à montrer où le sens du flux s’inverse. Le service devait envoyer. La signature a permis de prendre. Tant que cette inversion n’est pas devenue un réflexe de lecture, les kits n’ont pas besoin d’être nouveaux pour fonctionner.

Les mots qui devraient faire arrêter l’écran

Certains termes, dans un écran de wallet, méritent un arrêt même si le reste de la page web est rassurant. Spender ou opérateur désigné. Unlimited, infinite, ou un nombre à plus de quinze chiffres. Permit, et non simple connexion. Un jeton stable que l’on n’avait pas l’intention de vendre. Une échéance très lointaine, ou absente. La présence d’un seul de ces termes ne prouve pas le vol. La combinaison, face à un service qui promet un envoi entrant, le rend très difficile à justifier.

À l’inverse, un message de connexion qui ne contient aucun droit de transfert, affiché clairement comme tel par le wallet, appartient à une autre catégorie. Encore faut-il que l’application le dise, et que le domaine corresponde au site saisi à la main. La compromission d’un compte social ne change pas le domaine légitime. Elle multiplie les domaines qui prétendent l’être.

Noter le domaine dans un gestionnaire, après l’avoir vérifié hors ligne de message, réduit les fautes de frappe homoglyphes. Cette précaution est ancienne. Elle redevient centrale dès qu’une marque est bruitée, comme Revenue l’a été dès le 1er octobre.

Pourquoi les médias chiffrent mal ce genre d’alerte

La pression du titre pousse à associer un dollar à chaque nom de projet. Quand le cabinet ne donne pas de somme, certains textes en importent une depuis un dossier voisin, ici les 52 millions liés à un écosystème plus large, ou le million de juillet. Le lecteur retient alors un préjudice qui n’a pas été mesuré pour l’affaire du jour. La correction, le lendemain, voyage moins bien que le chiffre.

Refuser le chiffre absent n’affaiblit pas l’article. Cela le rend réutilisable le jour où le chiffre arrive. On pourra alors comparer la mécanique, déjà décrite, au décompte, sans avoir à défaire une approximation. C’est le choix retenu pour Revenue : décrire le 20/80, ne pas le convertir en butin total.

Les enquêteurs, de leur côté, ont de bonnes raisons de retarder un total. Publier trop tôt une adresse de commission peut la faire vider vers une nouvelle couche. Publier un total partiel peut être pris pour un total définitif. Le décalage entre l’alerte utile au public et le rapport utile à l’attribution est donc normal. Il ne doit pas être comblé par l’imagination.

Ce que changerait une réponse claire du projet

Une réponse utile de Revenue ne serait pas un démenti d’une ligne. Elle dirait si le flux normal demande une signature de permit, sur quel jeton, pour quel spender, et avec quel plafond. Elle publierait le domaine canonique et le compte de paiement exact. Elle dirait quoi révoquer si des utilisateurs ont signé pendant la fenêtre douteuse. Elle séparerait l’incident de modération du 1er octobre de l’alerte du 4, en expliquant ce qui a été repris et ce qui ne l’a pas été.

Tant qu’une telle note n’est pas produite, les utilisateurs n’ont pas à remplir les blancs en faveur du parcours. Le site peut rester en ligne, les frais peuvent rester affichés, la phrase d’indépendance vis-à-vis de X peut rester exacte, sans que la signature d’un permit USDG devienne raisonnable. Les deux plans, commercial et cryptographique, ne se valident pas l’un l’autre.

Si le projet démontre ensuite qu’aucune demande de ce type n’émane de son domaine, l’alerte se déplace vers les imitateurs et les comptes repris. Cette issue est fréquente. Elle n’efface pas les pertes de ceux qui ont signé sur une copie. Elle précise seulement qui tenait la page. Pour la victime, la page compte plus que la marque qu’elle imitait.

Le précédent Hyperliquid sponsorisé, en miroir

L’enquête d’août sur un faux site Hyperliquid, atteint via des annonces payantes et lié par Salus à l’écosystème Inferno après environ 550 000 USDC perdus, offre un miroir utile. Là, le canal était la publicité d’un moteur de recherche. Ici, Salus évoque plutôt des relais de type KOL, sur le modèle attribué à FomoPeek. Les canaux diffèrent. La fin de chaîne, allowance puis transfert, se ressemble. C’est la fin de chaîne qui doit concentrer l’attention de l’utilisateur, parce que c’est la seule qu’il peut interrompre au dernier écran.

Le miroir rappelle aussi que les grandes marques sont des habits, pas des cibles uniques. Hyperliquid, Coinbase dans la plainte de mai, Revenue aujourd’hui : le nom sert à calmer la méfiance. Le contrat, lui, ne connaît pas la marque. Il connaît une signature valide et un solde. Retirer au nom sa fonction de calmant est la part éducative de chaque nouvelle alerte.

On peut respecter une équipe qui construit un produit et, le même jour, refuser de signer sur une page qui en porte les couleurs. Cette distinction est inconfortable pour les communautés qui défendent un ticker. Elle est saine pour les soldes.

Une check-list avant le prochain pont

Avant d’utiliser un service qui promet de transformer un paiement de réseau social en cryptomonnaie, cinq questions suffisent. Le domaine a-t-il été saisi à la main. Le compte de destination des dollars est-il exactement celui du site officiel. Le wallet est-il une adresse secondaire, pauvre en stablecoins. La signature demandée contient-elle un droit de dépense. Le projet a-t-il signalé, dans les jours précédents, une perte de contrôle de ses comptes. Une seule réponse défavorable justifie d’attendre.

Cette liste ne remplace pas un audit. Elle filtre les cas grossiers, qui sont aussi les plus répandus. Le schéma décrit par Salus aurait échoué à la troisième et à la quatrième question, et possiblement à la cinquième pour qui avait lu l’avertissement du 1er octobre. Le filtre est donc applicable sans compétence de recherche on-chain.

Les services qui survivront à ce filtre seront ceux qui n’ont pas besoin d’une allowance pour envoyer des fonds, et qui publient un domaine stable même quand leur compte social vacille. Les autres dépendront de la vitesse de signature de leur audience. Ce n’est pas une base d’activité très solide, mais c’est une base qui a déjà suffi à d’autres kits.

Clôturer sans fermer l’enquête

L’alerte du 4 octobre 2026 place Revenue dans la chronique des approvals malveillants, aux côtés de mécaniques déjà vues sur d’autres marques. Le partage 20/80 attire le regard vers un modèle d’affiliés documenté, sans le coller définitivement à ce dossier. L’absence de total public empêche le bilan. La compromission sociale préalable empêche la confiance aveugle dans les liens. Le site encore ouvert empêche, à l’inverse, de raconter une disparition de vitrine.

Il reste un geste, répétable, qui ne dépend d’aucun rapport futur. Lire le spender. Lire le jeton. Lire le plafond. Si ces lignes ne décrivent pas une dépense que l’on a décidée, ne pas signer. Les USDG qui restent après cette lecture valent davantage qu’une commande accélérée. Les kits, eux, continueront de parier sur le clic d’après.

Quand un décompte ou une attribution sera publié, il faudra le lire avec la même séparation des couches : fait, modèle, preuve d’infrastructure. D’ici là, traiter toute demande de permit illimitée liée à ce parcours comme hostile est la position la plus cohérente avec ce que Salus a rendu public, et avec ce que le projet n’a pas encore détaillé.

Glossary express pour relire l’alerte

Quelques termes reviennent dans ce dossier et prêtent à confusion dès qu’on les traduit trop vite. Les poser une dernière fois fixe le vocabulaire sans ouvrir de nouveau procès.

Avec ces cinq notions, le message de Salus se lit sans embellissement. Des permits d’utilisateurs ont été soumis pour une allowance large sur l’USDG. TransferFrom a suivi dans la même transaction. Les fonds ont été coupés en deux parts. Le modèle rappelle un kit connu. La vitrine sociale avait déjà vacillé. Le reste est enquête, pas titre.

Pour le détenteur, la traduction tient en une consigne de terrain. Si l’écran parle allowance ou permit sur un stablecoin que vous comptiez garder, vous n’êtes plus dans une commande de conversion. Vous êtes dans une autorisation de sortie. Refermer cet écran est une décision complète, pas une hésitation. Les rapports viendront après. Le solde, lui, ne revient pas sur une hésitation transformée en signature.

Après l’alerte, la semaine qui compte

Les jours qui suivent une alerte de ce type sont souvent plus dangereux que le jour même. Les imitateurs ouvrent des comptes d’assistance. Des jetons homonymes apparaissent. Des fils promettent une liste blanche de remboursement. Le brouillard déjà observé autour d’un éventuel REV montre que la marque était assez discutée pour porter ces suites. Aucune de ces suites ne devrait obtenir une nouvelle signature.

Une veille minimale consiste à ne suivre que le domaine saisi soi-même, à ignorer les messages entrants, et à traiter toute demande de reconnexion comme hostile pendant plusieurs jours. Si un rapport d’adresses est publié par un cabinet identifiable, la révocation peut cibler un spender précis. Sinon, une révocation large des droits USDG inutiles reste un coût de gaz modeste au regard du risque décrit.

Cette discipline temporelle, plus qu’un outil miracle, distingue les lecteurs qui subissent la campagne de ceux qui en sortent après le premier avertissement. L’avertissement, ici, a deux dates. Le 1er octobre pour la vitrine. Le 4 octobre pour la mécanique de dépense. Les ignorer toutes les deux relève du choix. Les connaître et signer quand même aussi. L’article s’arrête avant ce choix, parce que c’est le seul qui n’appartient pas aux enquêteurs.

Revenue voulait être un pont. L’alerte en fait, pour un temps, un cas d’école sur la différence entre recevoir des cryptomonnaies et autoriser quelqu’un à prendre celles que l’on a déjà. Tenir cette différence, dans l’écran du wallet et pas seulement dans un article, est la seule mise à jour qui protège vraiment le prochain solde.

Questions que l’on se pose encore à voix haute

Faut-il considérer le service comme fermé. Non, pas sur la seule base d’un site encore accessible et d’une alerte qui ne publie pas de total. Faut-il le considérer comme sûr. Non plus, tant que le flux de signatures n’est pas expliqué et que la fenêtre de compte compromis n’est pas refermée de façon vérifiable. Faut-il y envoyer de nouveaux dollars. Pas si le wallet utilisé détient des stablecoins que l’on n’accepte pas de perdre, et pas via un lien reçu après le 1er octobre.

Le pourcentage 20/80 prouve-t-il Inferno. Non. Il justifie une comparaison, que Salus a formulée comme une ressemblance. Un audit indépendant du contrat de ventilation pourrait un jour renforcer ou écarter cette piste. En attendant, citer le modèle aide à comprendre pourquoi deux adresses reçoivent des parts fixes. Il ne désigne pas un employeur.

L’USDG est-il le seul jeton à surveiller. Non. Toute allowance large sur un stablecoin du même wallet mérite une revue, parce que les campagnes enchaînent parfois les jetons une fois la première signature obtenue. Commencer par l’USDG suit l’alerte. Continuer par les autres stablecoins suit la logique du kit.

X Money est-il en cause. Rien dans l’alerte ne le dit. Le service visé se présente comme indépendant, et X n’avait pas annoncé de conversion crypto native au déploiement de ses paiements. Mélanger les marques rassure à tort ou accuse à tort. Le bon sujet reste la signature produite dans le wallet de l’utilisateur, pas le réseau social cité dans la publicité du pont.

Ce que les prochains rapports devraient contenir

Pour sortir du conditionnel, un rapport utile contiendrait les empreintes des transactions groupant approbation et transfert, l’adresse du contrat USDG, les spender, les deux destinataires de la coupe, et l’intervalle de temps couvert. Il dirait combien d’adresses distinctes apparaissent, sans nécessairement publier la liste complète des victimes. Il comparerait les bytecodes ou les sélecteurs d’appels à des kits déjà classés, afin de confirmer ou d’écarter Inferno sur pièce, pas sur taux.

Côté projet, une note technique pourrait montrer l’absence de permit dans le flux nominal, avec des captures du wallet sur le domaine canonique. Cette note ne blanchit pas les imitateurs. Elle réduit la surface de doute pour qui n’a interagi qu’avec le site saisi à la main. Les deux documents, rapport de cabinet et note de projet, répondent à des questions différentes. Les attendre ensemble est raisonnable. Signer en les attendant ne l’est pas.

Jusqu’à ces pièces, la position éditoriale reste celle d’une actualité de sécurité : une mécanique crédible, des réserves d’attribution explicites, un contexte social déjà dégradé, et une consigne pratique centrée sur les allowances. C’est assez pour informer. Ce n’est pas assez pour condamner un opérateur nommé au-delà de ce que les transactions, une fois publiées, permettront de soutenir.

Le lecteur qui n’attend pas ces pièces pour vérifier son propre wallet a déjà fait la part utile du travail. Les USDG n’ont pas besoin d’un épilogue judiciaire pour rester là où leur titulaire les a laissés. Ils ont besoin que la prochaine demande de permission illimitée reste sans réponse.