Les crypto drainers deviennent des produits
Un drainer ne casse généralement pas la cryptographie d’un wallet. Il attaque l’utilisateur.
BrefCrypto avait déjà documenté des malwares capables de viser directement wallets et comptes d’exchange. Les drainers utilisent une approche différente : la victime est attirée vers un faux site, un airdrop, une dApp ou une opération présentée comme légitime, puis amenée à signer une autorisation qu’elle ne comprend pas complètement.
Une fois cette permission accordée, l’attaquant peut dans certains cas déplacer les tokens concernés sans demander une nouvelle validation.
Chainalysis décrit précisément les drainers comme des outils de phishing Web3 conçus pour pousser les utilisateurs à connecter leur wallet puis à approuver des transactions donnant à l’opérateur le contrôle sur certains fonds.
Ce qui change aujourd’hui, c’est l’offre criminelle autour de cette technique.
Les annonces évoquées proposent plusieurs versions selon la blockchain visée, avec des prix allant de quelques centaines à plusieurs milliers de dollars. Le même vendeur afficherait également des bots MEV et d’autres outils Web3.
Les montants exacts de 700 à 7 000 dollars restent difficiles à confirmer indépendamment dans les sources ouvertes. Le modèle économique, lui, ne fait plus vraiment débat. SOS Intelligence affirme suivre sur des communautés criminelles des tutoriels vendus dès 50 dollars et des kits Solana pleinement opérationnels autour de 1 000 dollars.
Le logiciel malveillant devient un produit.
Un attaquant n’a plus besoin de tout coder
C’est probablement la partie la plus inquiétante.
Un cybercriminel devait auparavant posséder les compétences nécessaires pour construire le site de phishing, comprendre les interactions avec les smart contracts, analyser les tokens du wallet et automatiser la récupération des actifs.
Les kits réduisent cette barrière.
Certaines offres criminelles fonctionnent déjà sur un modèle de Drainer-as-a-Service : les développeurs fournissent l’infrastructure et les affiliés s’occupent surtout d’attirer les victimes. Dans d’autres cas, le logiciel est vendu directement.
Blockaid suit par exemple AngelFerno, une opération qui cible plusieurs écosystèmes dont les chaînes EVM, TRON et XRP. Ses opérateurs utilisent notamment des comptes sociaux préparés à l’avance et de fausses applications crypto pour diffuser leurs liens malveillants.
Cela rejoint une évolution plus large de la cybercriminalité. BrefCrypto relevait déjà 12,7 milliards de dollars d’activité suspecte liés aux grandes usines à arnaques crypto. Une organisation n’a plus besoin de posséder chaque compétence en interne. Elle peut acheter l’accès, louer le malware, récupérer une base de victimes ou payer un autre groupe pour blanchir les fonds.
Même les escroqueries utilisent désormais davantage l’intelligence artificielle. Chainalysis estime que les adresses associées aux scams ont reçu au moins 14 milliards de dollars en 2025, avec un total qui pourrait dépasser 17 milliards à mesure que de nouvelles adresses sont identifiées. Les arnaques utilisant l’IA étaient, dans ses données, 4,5 fois plus rentables que celles qui ne l’utilisaient pas.
Les drainers s’insèrent parfaitement dans cette chaîne industrielle.
Le vrai risque est désormais la signature
Cette industrialisation change aussi les réflexes de sécurité.
Posséder un hardware wallet ne protège pas automatiquement contre une transaction que son propriétaire autorise lui-même. Si l’écran affiche une permission mal comprise et que l’utilisateur la signe, la protection physique du wallet n’a pas été techniquement cassée.
Sur les réseaux compatibles EVM, certaines attaques exploitent notamment les mécanismes d’approbation permettant à une application d’utiliser des tokens. TRON connaît un mécanisme comparable avec les autorisations TRC-20. Une permission peut parfois rester active bien après la fermeture du site qui l’a demandée.
Voilà pourquoi « déconnecter » son wallet d’une dApp n’est pas toujours suffisant. Une autorisation déjà accordée peut devoir être révoquée directement on-chain.
Le meilleur réflexe reste donc assez peu spectaculaire : lire ce que l’on signe, éviter les liens reçus par messages privés, séparer le wallet utilisé pour interagir avec les dApps du wallet qui conserve l’épargne principale, et limiter les autorisations permanentes.
BrefCrypto avait déjà observé comment Coinbase, Meta et d’autres entreprises attaquent désormais les réseaux d’arnaques au niveau de leur infrastructure. Le problème continue néanmoins de se déplacer : lorsqu’un service criminel disparaît, un autre kit peut être vendu à de nouveaux opérateurs.
C’est là que le catalogue à plusieurs milliers de dollars prend tout son sens.
Le danger n’est plus seulement qu’un pirate très compétent sache vider un wallet. Le danger est qu’une personne beaucoup moins compétente puisse acheter l’outil permettant d’essayer.
L’économie criminelle Web3 commence ainsi à reproduire ce que le ransomware avait déjà fait avant elle : transformer une compétence technique complexe en service commercial accessible à des affiliés.
Lydie Musekwa
Lydie Musekwa, enseignante chercheuse passionnée par les nouvelles technologies, plonge dans l'univers des cryptomonnaies avec un regard analytique et innovant. Depuis sa découverte du bitcoin, son parcours s'est orienté vers une exploration exhaustive de la blockchain et de ses applications. Armée d'un esprit critique et d'une soif d'apprendre, elle s'attache à démystifier les concepts technologiques complexes pour ses lecteurs, tout en scrutant les dernières tendances et avancées. En tant que rédactrice, Lydie s'engage à partager des connaissances précises et à jour, faisant le pont entre le monde académique et la sphère digitale en constante évolution.
