Qu'est-ce qu'un wallet drainer ? Comment fonctionnent les arnaques de vidage de wallet et comment s'en protéger

Un wallet drainer est un script malveillant, le plus souvent caché derrière une fausse page de mint, d'airdrop ou de support, qui vide un portefeuille crypto en amenant son propriétaire à signer une autorisation plutôt qu'en volant sa seed phrase. Il suit toujours le même schéma : vous appâter par l'urgence, vous demander de connecter votre wallet pour scanner vos soldes, puis déclencher une demande de signature déguisée en réclamation ou en vérification — en général une approbation ERC-20 illimitée, un message Permit ou Permit2 hors chaîne, ou un setApprovalForAll sur une collection NFT entière. Votre clé privée ne quitte jamais votre appareil ; ce que vous cédez, c'est l'autorité, et l'attaquant peut l'encaisser des heures ou des jours plus tard. Toute la défense se joue donc à l'étape de la signature : vérifiez le domaine caractère par caractère, lisez ce que le wallet affiche réellement, et refusez les montants de dépense illimités, les demandes setApprovalForAll et les adresses de spender que vous ne pouvez pas identifier. WATS est entièrement non custodial — vous détenez les clés et WATS n'en détient jamais aucune — si bien que rien ne peut sortir d'un wallet WATS, sur aucune de ses huit chaînes, sans une demande que vous avez approuvée vous-même — et c'est précisément le moment de ralentir et de lire avant de signer.

Ce qu'est réellement un wallet drainer (et ce qu'il n'est pas)

Un wallet drainer est un script malveillant, généralement intégré à un site web, qui vous pousse à autoriser des transactions ou des signatures remettant vos actifs à un attaquant. L'essentiel est ce qu'il n'est pas : ce n'est ni un piratage de la blockchain, ni une faille de votre logiciel de wallet, et dans la plupart des cas il ne voit jamais votre seed phrase. Un drainer opère entièrement via le flux de signature normal du wallet — il vous fait simplement approuver quelque chose que vous n'avez pas compris.

La plupart des drainers actuels sont vendus sous forme de kits prêts à l'emploi : la personne qui exploite le faux site n'a besoin d'aucune compétence technique. Le kit détecte la chaîne et les tokens que vous détenez, choisit la cible la plus précieuse et génère une requête sur mesure. C'est aussi ce qui distingue les drainers de techniques comme l'address poisoning, qui manipule ce que vous copiez plutôt que ce que vous signez.

L'anatomie d'une attaque de drainage : appât, connexion, signature

Presque toutes les attaques de drainage suivent les trois mêmes étapes. D'abord l'appât : un mint limité, une réclamation d'airdrop, une fausse page de support — n'importe quoi jouant sur l'urgence. Ensuite, le site vous demande de connecter votre wallet. La connexion seule ne déplace pas de fonds, mais elle révèle votre adresse, permettant au drainer de scanner vos soldes et de choisir son attaque. Vient enfin l'étape de la signature : le site déclenche une ou plusieurs requêtes déguisées en réclamation, vérification ou mint. À l'instant où vous approuvez la mauvaise, le drainer déplace les actifs directement ou obtient une permission durable pour les déplacer plus tard.

Les signatures que les drainers convoitent le plus

Les drainers demandent rarement un simple transfert, car un transfert vers un inconnu paraît suspect. Ils visent plutôt des permissions. Une approbation ERC-20 illimitée permet au contrat de l'attaquant de dépenser un token depuis votre adresse indéfiniment. Une signature Permit ou Permit2 fait la même chose via un message hors chaîne qui ne coûte aucun gas à la victime et peut être discrètement encaissé plus tard. Et setApprovalForAll accorde le contrôle d'une collection NFT entière en un seul clic. Le fonctionnement légitime de ces mécanismes — et la raison même de leur existence — est expliqué dans notre guide sur les approbations de tokens et Permit. Sur Solana, les astuces équivalentes passent par des délégations de tokens, voire des changements de propriété de compte glissés dans une transaction d'apparence anodine.

Les canaux de diffusion courants

Le drainer lui-même n'est qu'une charge utile ; le vrai travail consiste à vous amener sur la page. En 2026, les voies les plus courantes sont les faux sites de mint et d'airdrop qui clonent l'image d'un vrai projet, les comptes sociaux piratés de projets ou de fondateurs publiant un lien de « réclamation surprise », les publicités de recherche empoisonnées qui placent un domaine sosie au-dessus du vrai, et les faux agents de support sur Discord ou dans les réponses sur X qui envoient un lien de « vérification » après que vous avez signalé un problème. Toutes partagent un trait commun : le lien vient à vous avec une raison de se dépêcher.

Pourquoi une seule mauvaise signature peut vider un wallet sans votre seed phrase

On suppose souvent que ses fonds sont en sécurité tant que la seed phrase reste privée. Les approbations brisent cette hypothèse. Quand vous signez une approbation ou un message Permit, votre clé ne quitte jamais votre appareil — mais vous déléguez une autorité sur des actifs précis à une adresse de contrat. Si cette adresse appartient à un attaquant, il peut drainer les tokens approuvés à tout moment, depuis n'importe où, sans aucune action supplémentaire de votre part. C'est aussi pourquoi le drainage peut survenir des heures ou des jours après la visite : l'attaquant encaisse la permission stockée quand cela l'arrange.

Les signaux d'alerte à vérifier avant de connecter ou de signer

Quelques habitudes déjouent la plupart des drainers. Vérifiez le domaine caractère par caractère — les domaines sosies sont la norme des sites d'appât. Traitez tout lien non sollicité assorti d'un délai comme hostile jusqu'à preuve du contraire. Avant d'approuver, lisez ce que le wallet affiche réellement : un montant de dépense illimité, une requête setApprovalForAll ou une adresse de spender que vous ne pouvez pas identifier sont autant de raisons de refuser. Méfiez-vous particulièrement des demandes de signature de données hexadécimales brutes que vous ne pouvez pas lire. Si votre wallet propose la simulation de transaction ou un aperçu lisible, utilisez-le à chaque fois — une page de réclamation qui « a besoin » d'une approbation de token demande quelque chose qu'une réclamation n'exige pas.

Que faire si vous avez signé quelque chose de malveillant

Partez du principe que la permission sera utilisée — et laissez ce que vous avez signé dicter l'ordre des opérations. S'il s'agissait d'un message Permit ou Permit2 hors chaîne pas encore encaissé, il n'existe aucune allowance on-chain à révoquer, et remettre l'allowance du token à zéro par anticipation ne vous protège pas : l'encaissement ultérieur par l'attaquant écrit simplement une nouvelle allowance par-dessus (les révocations Permit2 vivent de même sur le contrat Permit2, pas sur le token). Pour un Permit signé mais non encaissé, le premier geste fiable est de déplacer les actifs concernés vers un wallet neuf doté d'une clé fraîchement générée. Pour les approbations on-chain et setApprovalForAll, la révocation fonctionne : utilisez un outil de révocation réputé ou le gestionnaire d'approbations de votre wallet pour remettre le spender malveillant à zéro pour chaque token et chaque collection touchés, puis déplacez tout ce qui a de la valeur. Si vous n'avez signé que des permissions, votre seed phrase reste secrète et l'ancien wallet redevient utilisable une fois nettoyé — mais si vous avez un jour saisi votre seed phrase sur un site web, le wallet est définitivement compromis et tout doit être déplacé immédiatement.

La place de WATS dans tout cela

Le WATS Hot Wallet est construit autour du principe même sur lequel repose tout cet article : la signature est la frontière de sécurité. WATS est entièrement non custodial — vous détenez vos clés, et WATS ne détient jamais de clé — donc rien ne quitte votre wallet sans une demande que vous avez approuvée vous-même, et aucun tiers ne peut co-signer en votre nom ni annuler une approbation après coup. Un seul wallet WATS couvre Ethereum, Arbitrum, Optimism, Base, Polygon, BNB Chain, Solana et TON : le réflexe de lire une demande avant de l'approuver reste donc identique sur les huit chaînes, au lieu de changer d'une application à l'autre.

Les frais fonctionnent eux aussi différemment de la plupart des wallets, et cela compte ici pour une raison très terre-à-terre. Les frais de réseau peuvent être payés dans un seul token, ATS, au lieu du token de gas natif de chaque chaîne — via l'abstraction de compte ERC-4337 sur les chaînes EVM et LayerZero OFT pour circuler d'une chaîne à l'autre, les ATS collectés étant brûlés depuis une offre de 100M vers un plancher de 30M. Ce n'est pas une réduction : cela change le token qui paie les frais, pas leur coût réel. Ce que cela change au quotidien, c'est que vous ne courez pas après un token de gas natif en plein milieu d'une opération sur une chaîne que vous connaissez mal — et cette course-là est exactement l'état de précipitation que les drainers sont conçus pour exploiter.

Deux limites, dites franchement, car un article de sécurité ne doit rien survendre : WATS ne propose pas son propre outil de révocation d'approbations ; pour les approbations déjà accordées, utilisez donc un révocateur tiers réputé. Et la WATS NFC Metal Card ne stocke aucune clé privée — elle authentifie par simple contact l'accès à des clés qui vivent à l'intérieur des applications WATS — elle protège donc l'accès à l'appareil, pas vous d'une signature que vous avez choisi d'approuver.

En résumé

Un wallet drainer ne casse pas la cryptographie. Il emprunte votre consentement, puis le dépense plus tard. Toutes les défenses de cet article se ramènent à une seule habitude : savoir ce que vous signez avant de le signer, et considérer les approbations illimitées, setApprovalForAll et l'hexadécimal illisible comme un signal d'arrêt plutôt que comme une formalité. Le geste concret consiste à garder vos clés dans un endroit d'où vous signez délibérément — installez WATS depuis la page de téléchargement, notez hors ligne la seed phrase qu'il génère et ne la saisissez jamais sur un site web, et lisez chaque demande d'approbation que WATS vous affiche sur Ethereum, Arbitrum, Optimism, Base, Polygon, BNB Chain, Solana et TON. C'est sur cet écran que l'argent se gagne ou se perd réellement.