Étude Ethereum Révèle 65 340 Adresses À Risque

Imaginez un instant que des dizaines de milliers d’adresses blockchain, apparemment anodines, soient en réalité des pièges ouverts. Des portefeuilles où des fonds ont déjà disparu, parfois sans que leurs propriétaires ne s’en aperçoivent immédiatement. C’est exactement ce qu’une équipe de chercheurs a mis au jour dans une étude présentée lors de la conférence USENIX Security 2026. Plus de 65 000 instances d’adresses à haut risque ont été recensées sur Ethereum et la BNB Smart Chain, associées à des pertes estimées à plus de 574 millions de dollars. Derrière ces chiffres se cachent des clés privées exposées, des confusions entre réseaux et de nouvelles techniques d’attaque encore peu documentées.

Une Découverte Qui Fait Trembler L’Écosystème

Le travail de recherche, détaillé lors du 35e symposium USENIX Security à Baltimore, dresse un portrait inquiétant de la sécurité des adresses sur deux des blockchains les plus utilisées. Les auteurs ont identifié 65 340 instances d’adresses jugées à haut risque. Ces adresses sont liées à des pertes de 126 982,94 ETH et 17 726,7 BNB en tokens natifs. En appliquant des prix de référence de 4 408 dollars pour l’ether et 847 dollars pour le BNB, les chercheurs arrivent à une estimation globale supérieure à 574,8 millions de dollars.

Ils insistent cependant sur le caractère conservateur de ce calcul. Seuls les tokens natifs ont été pris en compte. Les pertes en tokens ERC-20, en NFT ou sur d’autres chaînes n’entrent pas dans le total. De plus, les prix utilisés ne correspondent pas forcément à la valeur au moment exact de chaque transaction. Le chiffre de 574,8 millions de dollars doit donc être lu comme une borne inférieure, un plancher plutôt qu’un plafond.

Les chercheurs décrivent leurs résultats comme une estimation prudente, car l’analyse se limite aux tokens natifs sur deux réseaux seulement et peut laisser échapper des cas moins évidents.

Équipe de recherche USENIX Security 2026

Cette étude ne se contente pas de compter des adresses. Elle classe les risques, explique les mécanismes et met en lumière deux nouvelles voies d’attaque qui, à elles seules, représentent déjà environ 15,7 millions de dollars de pertes selon les valorisations retenues.

Deux Grandes Familles De Risques Identifiées

Les auteurs divisent le phénomène qu’ils nomment « Address Misuse » en deux catégories principales. La première concerne les comptes de contrats. La seconde touche les comptes contrôlés par des clés privées, les Externally Owned Accounts ou EOA.

Dans le cas des contrats, le problème survient lorsqu’un utilisateur traite une adresse dépourvue de code déployé comme s’il s’agissait d’un contrat valide. Cela arrive souvent parce que la même adresse existe sur un autre réseau, où un contrat a effectivement été déployé. L’utilisateur envoie des fonds sur le mauvais réseau, et l’adresse reste vide de code. Les chercheurs ont recensé 49 344 instances de ce type de confusion. Elles sont associées à des pertes de 22 738,41 ETH et 8 681,41 BNB.

Pour les EOA, le scénario est différent. Ici, les clés privées sont soit exposées publiquement, soit montrent de forts signes de compromission sur la chaîne. 15 996 instances ont été détectées, pour un total de 104 244,53 ETH et 9 045,29 BNB perdus. Plus de 95 % de ces pertes liées aux EOA proviennent d’un sous-type particulier : les clés privées trouvées en clair sur GitHub.

Ces chiffres montrent clairement où se concentre le danger. Les clés privées laissées en libre accès dans des dépôts publics représentent de loin le plus grand vecteur de pertes mesurées dans l’étude.

Comment Les Chercheurs Ont Construit Leur Jeu De Données

Pour aboutir à ces résultats, l’équipe a mené un travail de collecte massif. Elle a passé au crible 63 004 dépôts GitHub créés entre janvier 2015 et mai 2025. Après nettoyage et déduplication, elle a extrait 10,3 millions d’adresses candidates uniques et 16,3 millions de clés privées. Des données provenant d’Ethereum Stack Exchange et de Stack Overflow ont également été intégrées.

À partir de ce corpus, les chercheurs ont analysé les transactions sur Ethereum et sur la BNB Smart Chain. Leur cadre de détection a ensuite été validé par un échantillonnage manuel. La précision globale rapportée atteint 99,11 %. Ce chiffre ne signifie pas que chacune des 65 340 instances a été vérifiée à la main. Il s’agit d’une précision mesurée sur un échantillon. Les auteurs reconnaissent eux-mêmes la possibilité de faux positifs liés aux heuristiques utilisées et l’incomplétude des données disponibles.

Cette méthode de collecte révèle un problème systémique. Des développeurs, parfois par simple négligence, parfois par manque de formation, publient des fichiers contenant des clés privées. Une fois en ligne, ces clés peuvent être récupérées par n’importe qui disposant d’un script de scraping un peu sophistiqué. Les fonds associés deviennent alors une cible facile.

Deux Nouvelles Voies D’Attaque Documentées

Au-delà du recensement des adresses à risque, l’étude décrit deux techniques d’attaque relativement nouvelles. La première exploite le caractère déterministe de la création d’adresses de contrats. Un attaquant peut déployer un contrat sur un réseau de test, publiciser son adresse, puis attendre que des utilisateurs envoient par erreur des fonds sur le réseau principal à la même adresse. Une fois les fonds arrivés, l’attaquant déploie le code de retrait à cet emplacement. Les chercheurs ont lié 469 contrats malveillants de ce type à des pertes de 3 446,37 ETH et 431,79 BNB.

La seconde technique s’appuie sur l’EIP-7702. Cet upgrade permet de déléguer le contrôle d’un compte EOA à un contrat. Lorsqu’une clé privée est déjà exposée, un attaquant peut utiliser cette délégation pour faire exécuter automatiquement un code qui vide le portefeuille dès qu’un dépôt arrive. L’étude a recensé 17 270 cas de ce type, pour des pertes de 25,86 ETH et 33,45 BNB. Avec les prix de référence retenus, ces deux nouvelles voies d’attaque représentent ensemble environ 15,7 millions de dollars.

L’EIP-7702 ouvre des possibilités d’automatisation dangereuses lorsque les clés privées sont déjà compromises. Les attaquants n’ont plus besoin d’agir manuellement : le code se charge de tout.

Analyse issue de l’étude USENIX Security 2026

Ces mécanismes illustrent une évolution des menaces. Les attaquants ne se contentent plus de chercher des clés oubliées. Ils anticipent les erreurs des utilisateurs et exploitent les nouvelles fonctionnalités du protocole.

EIP-7702 : Un Sujet De Préoccupation Qui S’Étend

L’étude n’est pas isolée. Les recommandations officielles d’Ethereum soulignent déjà que des délégations EIP-7702 malveillantes peuvent donner à un code hostile un contrôle total sur les actifs d’un compte. Une autre recherche présentée à la même conférence USENIX Security 2026 a constaté que plus de 63 % des transactions d’autorisation EIP-7702 analysées étaient associées à des attaques ciblant des EOA. Cette seconde étude a identifié 924 comptes de contrats malveillants répartis sur sept chaînes supportées.

Des cas concrets ont déjà été rapportés. Après la mise à niveau Pectra d’Ethereum, des délégations EIP-7702 ont été liées à des activités automatisées de drainage de portefeuilles. Dans un autre incident, des attaquants ont réussi à soutirer environ 3,1 millions de dollars à des utilisateurs de Polymarket via du phishing et une exécution déléguée malveillante.

Ces éléments montrent que la fonctionnalité, bien qu’utile pour certains cas d’usage légitimes, élargit la surface d’attaque lorsqu’elle est combinée à des clés déjà compromises ou à des utilisateurs peu vigilants.

Ce Que Les Chiffres Ne Disent Pas

Il est important de garder une perspective critique. Les 65 340 instances ne représentent pas 65 340 adresses uniques dans tous les cas. Certaines adresses peuvent apparaître dans plusieurs contextes. La précision de 99,11 % est mesurée sur un échantillon et non sur l’ensemble des résultats. Les heuristiques utilisées peuvent générer de faux positifs. Enfin, les pertes en tokens non natifs, en NFT ou sur d’autres blockchains ne sont pas incluses dans le total de 574,8 millions de dollars.

Les auteurs eux-mêmes présentent leurs conclusions comme une estimation basse. Ils annoncent vouloir étendre leurs travaux à d’autres chaînes et à d’autres types de tokens dans le futur. En attendant, les 126 982,94 ETH et 17 726,7 BNB constituent le volume mesurable de pertes en tokens natifs dans le périmètre défini par l’étude.

Les Recommandations Des Chercheurs

Face à ces constats, l’équipe formule plusieurs pistes. Elle suggère que les portefeuilles affichent des alertes lorsque l’utilisateur s’apprête à interagir avec une adresse connue pour avoir eu sa clé exposée. Elle recommande également des avertissements en cas de mismatch entre un contrat et le réseau utilisé. Du côté des développeurs, un renforcement des pratiques de gestion des secrets s’impose. Publier une clé privée dans un dépôt public, même par erreur, reste une faille majeure.

Les auteurs proposent aussi d’envisager l’intégration d’identifiants de chaîne dans la dérivation future des adresses de contrats. Cela permettrait de réduire les confusions entre réseaux de test et réseaux principaux. Ces propositions restent des recommandations de recherche. Elles n’ont pas encore été adoptées comme modifications de protocole par Ethereum ou par la BNB Chain.

En pratique, les utilisateurs peuvent déjà adopter des réflexes simples. Vérifier systématiquement le réseau avant d’envoyer des fonds. Ne jamais coller une adresse trouvée sur un réseau de test dans un portefeuille principal. Utiliser des outils de gestion de secrets plutôt que de stocker des clés en clair dans des fichiers de code. Et rester attentif aux nouvelles fonctionnalités comme les délégations EIP-7702, qui peuvent transformer un simple compte en un automatisme dangereux si elles sont mal configurées.

Pourquoi Cette Étude Compte Pour L’Ensemble Du Secteur

Les montants en jeu dépassent largement les pertes isolées d’un ou deux utilisateurs. Plus d’un demi-milliard de dollars, même en estimation basse, illustre l’ampleur des frictions de sécurité qui persistent dans l’écosystème. Les confusions entre réseaux, les clés exposées et l’exploitation de nouvelles fonctionnalités du protocole montrent que la maturité technique n’a pas encore rattrapé la complexité croissante des outils.

Pour les développeurs, le message est clair. La gestion des secrets ne peut plus être considérée comme une tâche secondaire. Pour les utilisateurs, la vigilance reste essentielle, même lorsque les interfaces semblent intuitives. Pour les équipes de protocoles, l’étude rappelle que chaque nouvelle primitive, aussi utile soit-elle, doit être accompagnée d’une réflexion approfondie sur les scénarios d’abus possibles.

Les travaux présentés à USENIX Security 2026 ne prétendent pas résoudre tous les problèmes. Ils fournissent en revanche une cartographie précise d’une partie des risques actuels. En quantifiant les pertes, en classant les mécanismes et en documentant de nouvelles techniques, ils offrent une base solide pour améliorer les pratiques et les outils de protection.

Un Aperçu Des Méthodes De Détection

Le cadre de détection mis en place par les chercheurs combine plusieurs sources. L’extraction de clés privées et d’adresses à partir de dépôts GitHub constitue le socle principal. L’analyse on-chain des transactions permet ensuite de confirmer les mouvements de fonds et de repérer les comportements suspects. L’échantillonnage manuel sert enfin de contrôle qualité.

Cette approche multi-sources explique en partie la précision élevée obtenue. Elle montre aussi les limites inhérentes à tout travail de ce type. Les données publiques ne capturent pas l’intégralité des incidents. Certains attaquants utilisent des techniques d’obfuscation ou opèrent sur des chaînes non analysées. Les pertes réelles sont donc vraisemblablement plus élevées que le total présenté.

Malgré ces réserves, l’étude reste l’une des plus complètes à ce jour sur la question des adresses à risque sur Ethereum et BNB Smart Chain. Elle offre un point de référence utile pour les futures recherches et pour les équipes chargées de la sécurité des portefeuilles et des applications décentralisées.

Les Implications Pour Les Utilisateurs Quotidiens

Pour un utilisateur lambda, les conclusions de l’étude se traduisent par des gestes concrets. Avant d’envoyer des fonds, vérifier le réseau sélectionné dans le portefeuille. Éviter de réutiliser des adresses trouvées sur des explorateurs de testnet. Ne jamais partager de phrases de récupération ou de clés privées, même dans un contexte apparemment sûr. Et rester prudent face aux invitations à « autoriser » des délégations ou des contrats inconnus.

Les portefeuilles modernes intègrent déjà certaines protections. Des alertes sur les adresses signalées, des vérifications de réseau, des confirmations supplémentaires pour les opérations sensibles. L’étude suggère d’aller plus loin en intégrant des listes d’adresses à risque connues et en renforçant les messages d’avertissement lorsqu’une adresse de contrat ne correspond pas au contexte du réseau.

Ces améliorations ne dispensent pas l’utilisateur de sa responsabilité. La blockchain reste un environnement où une erreur de destinataire ou de réseau peut entraîner une perte définitive. La transparence des transactions, souvent présentée comme un avantage, devient un inconvénient lorsque des clés sont exposées : n’importe qui peut surveiller et vider un compte dès qu’un solde apparaît.

Perspectives Et Travaux Futurs

Les auteurs indiquent clairement leur intention d’élargir le périmètre. D’autres chaînes, d’autres types de tokens, éventuellement d’autres sources de données. Cette extension permettra de mieux mesurer l’ampleur réelle du phénomène et de vérifier si les mêmes patterns se retrouvent ailleurs.

En parallèle, la communauté des développeurs de portefeuilles et d’applications décentralisées peut s’appuyer sur ces résultats pour prioriser les correctifs. Intégrer des listes de clés exposées connues, améliorer les messages d’erreur en cas de mismatch de réseau, renforcer les contrôles autour des délégations EIP-7702. Autant de pistes concrètes qui découlaient directement des observations de l’étude.

Le débat sur l’intégration d’identifiants de chaîne dans la dérivation des adresses de contrats mérite également d’être suivi. Si une telle modification venait à être adoptée, elle pourrait réduire significativement les confusions entre réseaux. En attendant, la vigilance et les bonnes pratiques restent les meilleurs remparts.

Un Rappel Utile Sur La Nature Des Pertes

Il convient de rappeler que les pertes recensées ne résultent pas toutes d’attaques sophistiquées. Une partie importante découle d’erreurs humaines : envoi de fonds sur le mauvais réseau, utilisation d’une adresse de testnet, publication accidentelle d’une clé. Ces erreurs sont facilitées par la complexité de l’écosystème multi-chaînes et par le manque de garde-fous automatiques dans certains outils.

Les attaques véritablement malveillantes, qu’il s’agisse de l’exploitation de contrats déterministes ou de l’utilisation d’EIP-7702 sur des clés déjà compromises, représentent une fraction plus petite mais particulièrement préoccupante. Elles montrent que des acteurs mal intentionnés scrutent activement les nouvelles fonctionnalités et les failles de configuration.

Dans les deux cas, le résultat est le même pour la victime : des fonds irrécupérables. La nature irréversible des transactions blockchain transforme chaque erreur ou chaque compromission en perte définitive. C’est précisément ce qui rend ces études de sécurité si importantes. Elles permettent d’anticiper, de documenter et, idéalement, de prévenir.

Conclusion Provisoire Sur Un Sujet En Évolution

L’étude présentée à USENIX Security 2026 dresse un état des lieux inquiétant mais nécessaire. 65 340 instances d’adresses à haut risque, plus de 126 000 ETH et 17 000 BNB perdus, une estimation supérieure à 574 millions de dollars. Derrière ces chiffres se trouvent des clés exposées sur GitHub, des confusions entre réseaux et de nouvelles techniques d’attaque qui exploitent les dernières évolutions du protocole.

Les recommandations des chercheurs – alertes dans les portefeuilles, meilleure gestion des secrets, réflexion sur les adresses de contrats – offrent des pistes concrètes. Leur mise en œuvre dépendra de la capacité de l’écosystème à transformer ces constats en améliorations tangibles. En attendant, chaque utilisateur, chaque développeur et chaque équipe de protocole a intérêt à intégrer ces enseignements dans ses pratiques quotidiennes.

La sécurité blockchain n’est jamais un état acquis. Elle se construit au fil des découvertes, des incidents et des corrections. Cette étude constitue une contribution importante à cet effort collectif. Elle rappelle que derrière chaque adresse se cache une responsabilité, et que la moindre négligence peut coûter très cher.