Address poisoning : vérifiez le destinataire avant l’envoi

Pour éviter l’address poisoning, obtenez l’adresse du destinataire indépendamment et comparez la destination complète avant de confirmer. Ne réutilisez pas une adresse simplement parce qu’une ligne récente de transactions semble familière. Une entrée de l’historique indique qu’une activité a été enregistrée ; elle n’établit pas que l’adresse appartient à la personne que vous voulez payer.

Ce guide propose une vérification du destinataire reproductible. Il ne vous demande pas de déplacer des fonds, de signer une transaction de test ou d’interagir avec un jeton inconnu.

Pourquoi l’adresse dans l’historique peut sembler correcte

Dans une arnaque par address poisoning, un attaquant crée une adresse ressemblante et la place dans votre historique grâce à un transfert de valeur négligeable ou nulle. Le but est de vous faire copier cette adresse pour un paiement ultérieur. L’explication de MetaMask décrit le mécanisme et met en garde contre la confiance dans des débuts et des fins identiques : le milieu peut différer.

Recevoir une telle entrée ne démontre pas à lui seul que vos clés de signature sont compromises. Le danger réside dans la destination que vous choisirez ensuite.

Imaginez deux libellés abrégés :

• Destinataire prévu : MÊME-DÉBUT [milieu vérifié] MÊME-FIN
• Imitation : MÊME-DÉBUT [milieu différent] MÊME-FIN

Ce sont des libellés symboliques, pas des adresses de wallets. Si l’interface masque le milieu, les deux lignes peuvent sembler aussi familières. Développer une ligne révèle davantage de caractères, mais il faut toujours une référence indépendante pour savoir quelle adresse complète est prévue.

Préparez une référence du destinataire avant d’ouvrir Envoyer

Notez le but du transfert en termes simples : votre propre wallet de réception, le wallet d’une personne précise ou un dépôt sur votre compte auprès d’un service. Ce but détermine d’où doit venir la référence.

Destination prévue	Référence indépendante
Votre propre wallet	Son adresse complète de réception
Une autre personne	Adresse confirmée par un canal de contact connu
Dépôt auprès d’un service	Page actuelle de dépôt dans le compte officiel

Pour une autre personne, posez une question précise : « Est-ce ton adresse de réception pour ce réseau ? » Envoyez l’adresse candidate complète par le canal que vous utilisez déjà avec elle. Une réponse d’un compte inconnu ne confirme pas que vous parlez à votre contact habituel.

Pour un service, lisez les instructions actuelles avec l’adresse. Vérifiez l’actif et le réseau sélectionnés, ainsi que les informations supplémentaires de destination exigées par le service. Un nom de compte familier ou une ancienne capture de dépôt ne résout pas un écart avec les instructions d’aujourd’hui. Si la destination reste incertaine, faites une pause avant de créer le transfert.

Si le destinataire utilise un nom lisible, notre guide du nom ENS à l’adresse explique comment examiner l’enregistrement d’adresse concerné. La résolution du nom et la vérification de la personne prévue sont des contrôles distincts.

Comparez l’adresse complète après l’avoir collée

Gardez la référence indépendante à disposition pendant la préparation du transfert. Les recommandations de Trezor demandent également de vérifier chaque caractère avant de confirmer, même lorsque la destination est votre propre wallet. Cette liste éditoriale permet d’appliquer la vérification de l’adresse complète ; elle ne prétend pas décrire une fonction d’un wallet particulier.

1. Choisissez le réseau et l’actif prévus. Vérifiez que la référence correspond au même contexte de destination.
2. Collez l’adresse complète du destinataire depuis la source vérifiée. Développez le champ de destination s’il ne montre qu’un libellé abrégé.
3. Comparez chaque partie de la valeur collée. Parcourez toute la chaîne par groupes faciles à examiner, y compris le milieu. Ne terminez pas la vérification à un préfixe identique.
4. Lisez la confirmation finale. Vérifiez le destinataire réel, le réseau et le montant affichés pour le transfert que vous allez autoriser. Si le destinataire complet n’est pas disponible, cette vérification n’est pas achevée.
5. Arrêtez-vous au moindre écart. Revenez à la source fiable et établissez à nouveau l’adresse prévue. Ne choisissez pas la ligne de l’historique qui semble la plus proche.

MetaMask recommande des contacts vérifiés et décrit l’affichage du destinataire sur un wallet matériel comme un point de contrôle supplémentaire. Un contact enregistré n’est utile qu’après vérification de son adresse. L’écran d’un appareil offre un autre endroit pour comparer ; confirmer la même mauvaise adresse sur deux écrans n’établit pas le bon destinataire.

Séparez les vérifications du destinataire du nettoyage du portefeuille

Une entrée indésirable dans l’historique, un actif indésirable et une autorisation de dépense soulèvent des questions différentes. Notre guide des jetons spam et NFT traite de l’identité des actifs et du nettoyage de leur affichage. Le guide des autorisations de jetons traite des permissions détenues par celui qui peut dépenser. Ni masquer une ligne ni déconnecter un site ne vérifie la destination du prochain paiement.

Owlio lit les avoirs d’adresses publiques. Ajouter une adresse à un outil de suivi peut vous aider à examiner le wallet choisi, mais son solde ne prouve pas qu’il appartient au destinataire prévu. Owlio ne signe ni n’envoie votre transfert, et ce guide ne prétend pas qu’il détecte les entrées d’historique manipulées.

Si vous avez déjà confirmé un transfert vers une adresse suspecte, conservez l’identifiant de transaction, le réseau et la destination complète pour l’investigation. Consultez votre wallet d’envoi ou le service par son canal officiel d’assistance. Actualiser le portefeuille, modifier un contact ou masquer une ligne n’annule pas le paiement confirmé, et cette liste ne peut promettre une récupération.

Pour le prochain transfert, la règle d’arrêt est simple : ne poursuivez que si la destination complète correspond à la référence du destinataire vérifiée indépendamment dans la confirmation d’envoi. Une ligne récente de l’historique ne peut fournir cette vérification à elle seule.