Autorisations TRC-20 : comment on vole des USDT et comment les révoquer

Qu’est-ce qu’une autorisation

Les jetons TRC-20, dont l’USDT, ont une fonction approve. En la signant, vous dites : « cette adresse peut prélever jusqu’à N jetons sur mon portefeuille ». Le bénéficiaire lance ensuite lui-même le prélèvement (transferFrom), sans votre signature à chaque fois.

C’est un mécanisme normal : les services d’échange et d’autres applications demandent une autorisation pour effectuer un échange. Le problème est double. Beaucoup d’applications demandent une autorisation illimitée, valable jusqu’à ce que vous la révoquiez — pendant des années.

Comment elle sert à voler

L’escroc n’a pas besoin de votre phrase de récupération. Une seule signature approve vers son adresse suffit. Prétextes habituels :

• « Réclamez un airdrop », « récupérez un bonus », « vérifiez votre portefeuille pour retirer ».
• Une fausse page de service d’échange ou d’application connue.
• Un « support » sur Telegram qui demande de connecter votre portefeuille à un site « pour vérification ».
• Un site pour « échanger » de faux USDT reçus « en cadeau ».

La fenêtre du portefeuille paraît banale : « Approve », « Confirmer », parfois increaseAllowance. Une minute ou un mois plus tard, le bénéficiaire prélève tout le solde du jeton. Le portefeuille ne demande rien : l’autorisation existe déjà.

Voir les autorisations accordées

Les autorisations sont inscrites sur la blockchain, donc visibles par adresse sans connecter de portefeuille. Collez votre adresse dans GuardPay /check : le rapport contient une section des autorisations accordées — à qui, pour quel jeton et pour quel montant. Les adresses qui ont déjà vidé d’autres portefeuilles sont signalées.

Révoquer, et pourquoi il faut signer

Révoquer, c’est envoyer la même fonction approve avec un montant de 0 au même bénéficiaire. C’est une transaction ordinaire depuis votre portefeuille, donc :

1. Il faut connecter le portefeuille qui détient les jetons et signer. Sans la signature du propriétaire, personne ne peut révoquer — ni nous, ni une plateforme, ni le support du portefeuille.
2. Il faut un peu de TRX ou d’énergie pour les frais, comme pour toute action sur un contrat.
3. Une autorisation, une signature. TRON n’a pas d’envoi groupé : « tout révoquer » signifie plusieurs signatures d’affilée.

GuardPay /revoke affiche les autorisations de votre adresse lues directement dans le contrat et prépare la révocation dans votre propre portefeuille : une signature par autorisation. Vos clés et votre phrase de récupération restent chez vous.

Avant de signer, vérifiez la fenêtre : méthode approve, le contrat du jeton est celui que vous révoquez, le bénéficiaire est celui que vous révoquez, le montant est 0. Révoquez via un portefeuille ou un service de confiance et ne saisissez jamais votre phrase de récupération sur un site de « révocation ».

Quand révoquer ne sert plus à rien

La révocation bloque les prélèvements futurs mais ne rend pas ce qui a déjà été pris. Si l’argent est parti, retracez son chemin avant qu’il ne se disperse dans des bureaux de change : que faire dans les premières heures.

Et si ce n’est pas une autorisation qui a été volée mais la clé entière (vous avez saisi votre phrase sur un site, téléchargé un « portefeuille » d’une source non vérifiée), révoquer est inutile : l’escroc possède la clé. Transférez alors d’urgence ce qui reste vers un nouveau portefeuille avec une nouvelle phrase.

Les habitudes qui protègent

• Autorisez le montant exact de l’opération plutôt qu’un montant illimité, si l’application le permet.
• Gardez l’essentiel de vos fonds dans un portefeuille séparé que vous ne connectez jamais à des sites.
• Une fois par mois, vérifiez votre adresse dans /revoke et révoquez ce que vous n’utilisez plus.