Empoisonnement d’adresse sur TRON : comment un sosie entre dans votre historique

À quoi cela ressemble

Vous envoyez régulièrement des USDT au même destinataire : un fournisseur, une plateforme d’échange, un collègue. Un jour, une nouvelle ligne apparaît dans l’historique : un transfert de 0 USDT ou de quelques centimes. L’adresse commence et finit exactement comme celle de votre destinataire : les quatre premiers et les quatre derniers caractères sont identiques. Le milieu diffère, mais le portefeuille le remplace souvent par des points de suspension.

Un jour ou une semaine plus tard, vous payez à nouveau la même personne, ouvrez l’historique, copiez « son » adresse depuis la dernière ligne — et l’argent part chez l’escroc.

Pourquoi une adresse sosie est si facile à fabriquer

Une adresse TRON compte 34 caractères. Un ordinateur ordinaire trouve en quelques heures une adresse dont les 4 à 5 premiers et derniers caractères coïncident. Les escrocs n’ont besoin ni de votre clé ni de votre signature : la blockchain est publique, ils voient qui vous payez et créent un sosie précisément pour ce destinataire.

Le sosie arrive dans votre historique de trois façons :

• La poussière. Un montant infime de TRX ou d’USDT envoyé du sosie vers vous.
• Un transfert de 0 USDT. Le contrat USDT permet à n’importe qui de déclencher un transfert nul au nom d’autrui sans autorisation. Dans un explorateur, on dirait que vous avez vous-même envoyé 0 USDT au sosie.
• Un faux jeton. Un jeton nommé « USDT » sur un contrat étranger. La ligne ressemble à un vrai paiement.

Qui est visé

Le plus souvent ceux qui envoient de grosses sommes aux mêmes adresses : acheteurs et vendeurs de gré à gré, comptables, caissiers de bureaux de change, personnes qui alimentent souvent un compte sur une plateforme. Plus vos envois sont gros et réguliers, plus il est rentable pour l’escroc de dépenser en sosie et en poussière.

Trois habitudes qui protègent

1. Le carnet d’adresses plutôt que l’historique. Enregistrez l’adresse vérifiée du destinataire dans le carnet du portefeuille avec un libellé clair. N’envoyez que depuis le carnet. L’historique n’est pas une liste de contacts.
2. Vérifiez chaque caractère. Si vous devez coller une adresse, comparez-la entièrement, pas seulement le début et la fin. Le plus simple : un QR code affiché par le destinataire sur son propre appareil, ou un message de sa part par un autre canal.
3. Un envoi test et une vérification. Avant une grosse somme, envoyez-en une petite et demandez au destinataire de confirmer la réception. Vérifiez la nouvelle adresse dans GuardPay /check : une adresse vieille de quelques jours qui envoie de la poussière à des dizaines de portefeuilles inconnus est une raison de s’arrêter.

Que faire si un sosie est déjà dans votre historique

N’envoyez rien à cette adresse, pas même pour « rendre la poussière ». Masquez la ligne ou le jeton si le portefeuille le permet et cessez un temps de copier des adresses depuis l’historique. Prévenez les personnes que vous payez souvent : elles ont peut-être reçu un sosie elles aussi.

Si un transfert vers le sosie est déjà parti, agissez vite : retracez où est allé l’argent avant qu’il ne se dilue dans des bureaux de change. La marche à suivre est dans « Arnaqué sur TRON : que faire dans les premières heures ».

Pour les entreprises

Ne signez les paiements d’un portefeuille partagé que vers des adresses d’une liste approuvée à l’avance. Une adresse entre dans la liste depuis un contrat ou un message signé de la contrepartie, jamais depuis l’historique. Une personne prépare le transfert, une seconde vérifie l’adresse entière. Les adresses abrégées du type « TXy…4k7 » dans les tableurs et les messageries sont exactement la forme sur laquelle compte l’empoisonnement.