Signatures Drainer sur les DEX de perpétuels : comprendre et les repérer

6 mai 2026

Les attaques de type Drainer font aujourd’hui partie des menaces les plus coûteuses de l’écosystème DeFi. Selon les recherches récentes de Chainalysis, l’écosystème du Drainer-as-a-Service s’est fortement industrialisé : un attaquant peut désormais s’abonner à des kits prêts à l’emploi pour lancer des campagnes de fraude à la signature très ciblées contre les utilisateurs de DEX de perpétuels.

Si tu trades activement sur des plateformes comme Hyperliquid, dYdX ou GMX, comprendre comment fonctionnent les signatures Drainer est une première étape essentielle pour te protéger.

Qu’est-ce qu’une attaque par signature Drainer ?

Une attaque par signature Drainer consiste à pousser un utilisateur, via social engineering ou phishing, à signer une requête qui semble anodine, mais qui autorise en réalité le transfert de ses actifs.

Contrairement au vol direct de clé privée, un Drainer exploite des mécanismes d’autorisation légitimes de l’écosystème Ethereum, notamment :

La fonction Approve des tokens ERC-20, qui permet à une adresse tierce de transférer un montant défini de tokens
Les signatures EIP-2612 Permit, qui permettent d’accorder une autorisation hors chaîne, sans transaction Approve on-chain
Les signatures de données structurées EIP-712, utilisées pour autoriser différents types d’actions
Les autorisations groupées liées à l’abstraction de compte EIP-4337

Ces mécanismes sont utiles, voire indispensables, dans un usage normal. Le problème vient du fait que les attaquants exploitent leur complexité technique pour déguiser une autorisation malveillante en interaction DApp classique.

Pourquoi les DEX de perpétuels sont particulièrement exposés

Les interactions fréquentes créent des fenêtres de risque

Les traders de contrats perpétuels interagissent souvent avec des smart contracts : ouverture de position, ajout de marge, ajustement du collatéral, récupération de funding fees, etc. Chacune de ces actions peut impliquer une signature.

À force de signer régulièrement, il devient facile de valider machinalement une demande sans lire les détails. C’est exactement ce que les Drainers cherchent à exploiter.

Les grosses autorisations USDC sont une cible privilégiée

Sur des DEX de perpétuels comme Hyperliquid, les utilisateurs peuvent être amenés à autoriser des montants importants en USDC à des contrats de trading. Un Drainer peut reproduire une demande similaire sur une page de phishing, mais remplacer l’adresse du contrat légitime par une adresse contrôlée par l’attaquant.

Si tu confirmes par habitude une “autorisation USDC” sans vérifier précisément l’adresse du contrat cible, tu peux donner à l’attaquant le droit de déplacer une grande partie de tes fonds.

Le risque élevé des signatures Permit

EIP-2612 Permit permet d’autoriser un transfert de tokens via une signature hors chaîne, sans transaction Approve classique. Cela implique plusieurs risques :

La signature ne génère pas immédiatement de transaction on-chain et ne consomme pas de gas
Ton wallet peut ne pas afficher d’historique d’“autorisation” correspondant au moment où tu signes
L’attaquant peut ensuite soumettre lui-même la transaction on-chain et déplacer les tokens depuis ton wallet
De ton point de vue, tu peux ne rien voir avant que les actifs soient déjà transférés

Visuellement, une signature Permit peut ressembler à une simple signature de connexion à une DApp, comme un Sign-In With Ethereum. C’est l’une des raisons pour lesquelles elle est difficile à identifier pour un utilisateur non technique.

Anatomie technique d’une signature Drainer

Une requête Drainer typique basée sur EIP-712 peut contenir les champs suivants :

Type : signature de données structurées EIP-712

Domain :
name: [nom du protocole usurpé]
version: 1
chainId: 1, ou 42161 selon la chaîne ciblée
verifyingContract: [adresse du contrat Drainer, déguisée en contrat DEX]

Message :
owner: [adresse de la victime]
spender: [adresse du contrat contrôlé par l’attaquant]
value: [tout ou presque tout le solde de l’utilisateur]
deadline: [timestamp futur]
nonce: [nonce actuel récupéré automatiquement]

Si ton wallet affiche ces champs dans un format lisible, tu peux repérer que verifyingContract ou spender ne correspondent pas aux adresses officielles du protocole. Mais si le wallet n’affiche qu’une suite hexadécimale brute, il devient presque impossible pour un utilisateur normal de distinguer une signature légitime d’une signature piégée.

Comment reconnaître une signature Drainer : checklist pratique

Avant de signer quoi que ce soit, vérifie systématiquement les points suivants :

Adresse verifyingContract : correspond-elle exactement à l’adresse officielle du contrat du DEX que tu utilises, caractère par caractère ?
Adresse spender : pour une signature Permit, le spender doit être un contrat que tu connais et auquel tu fais explicitement confiance.
Champ value : le montant demandé dépasse-t-il ce qui est nécessaire pour l’action en cours ? Méfie-toi particulièrement des montants proches de ton solde total.
Champ deadline : la durée est-elle raisonnable ? Une opération normale utilise souvent une fenêtre courte, pas une date dans plusieurs années.
Origine de la demande : as-tu déclenché toi-même cette signature depuis le site officiel, ou est-elle apparue soudainement ?

Les protections OneKey contre les Drainers

OneKey Wallet intègre plusieurs fonctions conçues pour réduire le risque lié aux signatures malveillantes :

Visualisation des signatures EIP-712 : les données structurées sont analysées et affichées dans un format lisible, avec les champs clés comme owner, spender et value, au lieu de simples données hexadécimales.
Signalement des adresses de contrat à risque : les adresses malveillantes connues peuvent être marquées avec des avertissements.
Simulation de transaction : pour les opérations Approve on-chain, OneKey peut simuler le résultat avant signature et afficher ce que tu t’apprêtes à autoriser, par exemple “autoriser X USDC à l’adresse Y”.
Alertes sur les autorisations élevées : lorsqu’une demande d’autorisation dépasse une proportion importante de tes avoirs, OneKey peut déclencher un avertissement supplémentaire.
Code open source vérifiable : les dépôts GitHub de OneKey permettent aux chercheurs en sécurité de vérifier indépendamment l’implémentation de ces protections.

Un hardware wallet joue aussi un rôle important : un attaquant ne peut pas automatiser une signature sans confirmation physique sur l’écran de l’appareil. Et contrairement à l’affichage d’un ordinateur potentiellement compromis, ce qui apparaît sur l’écran du hardware wallet ne peut pas être modifié par un malware côté logiciel.

Cela dit, un hardware wallet ne remplace pas ta vigilance. Si tu confirmes aveuglément une signature que tu ne comprends pas, l’attaque peut quand même réussir.

En complément, pense à utiliser régulièrement Revoke.cash pour auditer les autorisations que tu as laissées sur différents DEX et révoquer celles dont tu n’as plus besoin. Cela réduit la surface exploitable par un Drainer.

Vecteurs d’attaque Drainer à haut risque

Les Drainers apparaissent souvent dans des contextes où l’utilisateur est pressé ou croit interagir avec une interface familière : faux sites de DEX, liens sponsorisés imitant un protocole connu, faux airdrops, messages privés sur les réseaux sociaux, bots Telegram ou Discord, et interfaces de trading clonées.

Pour les traders de perpétuels, le danger principal est la ressemblance entre une vraie demande d’autorisation liée au trading et une demande frauduleuse conçue pour vider des USDC ou d’autres actifs utilisés comme collatéral.

FAQ

Q1 : Quelle est la différence entre une signature Permit et une autorisation Approve classique ?

Approve est une transaction on-chain : elle consomme du gas et laisse une trace visible sur la blockchain. Permit est une signature hors chaîne : elle ne consomme pas de gas au moment de la signature, puis l’autre partie peut soumettre l’autorisation on-chain. Elle est donc plus difficile à repérer dans l’historique de ton wallet. Les deux peuvent représenter un risque sérieux pour tes actifs.

Q2 : Que faire si j’ai déjà signé quelque chose de suspect ?

Si c’est une autorisation de type Approve, va immédiatement sur Revoke.cash pour révoquer l’autorisation. Si c’est une signature Permit, la révocation peut ne pas suffire, car l’autorisation a déjà été signée hors chaîne. Dans ce cas, il faut envisager de transférer rapidement les tokens concernés vers une nouvelle adresse. La vitesse d’action est cruciale : la fenêtre peut se compter en minutes.

Q3 : Un hardware wallet OneKey empêche-t-il totalement les attaques Drainer ?

Non. Un hardware wallet augmente fortement la difficulté de l’attaque, car chaque signature nécessite une confirmation sur l’appareil et l’écran du hardware wallet ne peut pas être falsifié par un malware sur ton ordinateur. Mais si tu confirmes une demande sans comprendre son contenu, une attaque peut quand même réussir. Le niveau de protection dépend aussi de ta capacité à lire et vérifier les détails affichés.

Q4 : Qu’est-ce que le Drainer-as-a-Service ?

C’est un modèle où des kits d’attaque Drainer sont commercialisés comme un service. Un attaquant n’a pas besoin de développer ses propres outils : il peut s’abonner à une infrastructure existante et partager une partie des fonds volés avec l’opérateur du service. Ce modèle a abaissé la barrière technique et contribué à la hausse des attaques Drainer ces dernières années. Voir les recherches de Chainalysis sur le sujet.

Q5 : Les DEX de perpétuels ne bloquent-ils pas eux-mêmes ces attaques ?

Les plateformes légitimes peuvent filtrer certaines adresses malveillantes connues sur leur interface officielle. Mais les attaquants opèrent souvent via leurs propres pages de phishing, en contournant totalement le front-end du protocole. C’est pourquoi la protection au niveau du wallet, comme l’analyse de signature de OneKey, reste essentielle dans tous les scénarios d’accès.

Conclusion : la vraie sécurité commence quand tu lis chaque signature

Les attaques Drainer réussissent surtout parce que des utilisateurs confirment des signatures sans comprendre ce qu’elles autorisent. Les outils de sécurité peuvent t’aider à rendre les signatures plus lisibles, mais la dernière ligne de défense reste ton propre contrôle avant validation.

Télécharge OneKey Wallet, utilise ses fonctions d’analyse de signature et de simulation de transaction, puis accède à OneKey Perps pour trader les perpétuels décentralisés avec une meilleure hygiène de sécurité. Ce n’est pas une garantie contre tous les risques, mais c’est un workflow plus prudent pour éviter les validations aveugles.

Avertissement sur les risques : cet article est fourni à titre éducatif uniquement. Il ne constitue pas un conseil financier, juridique ou de sécurité, ni une garantie de protection. Les techniques de Drainer évoluent en permanence et les méthodes décrites ici ne peuvent pas offrir une protection complète. Les actifs volés on-chain sont généralement irrécupérables. Le trading de crypto-actifs comporte des risques de marché élevés, et le trading avec effet de levier peut entraîner des pertes supérieures au capital initial.