Hameçonnage NFT : le contrat bait-and-switch expliqué

Un simple clic sur ce qui ressemble à une invite de transfert NFT de routine peut donner à un attaquant le contrôle total du portefeuille d'une victime, y compris chaque jeton qu'il contient. La société d'intelligence blockchain TRM Labs a publié une autopsie technique de ce type exact d'attaque, et la chaîne de blanchiment qui suit a des implications directes pour tout cabinet comptable, auditeur ou directeur financier dont les clients touchent au marché des NFT. Comprendre comment fonctionne cette arnaque n'est plus optionnel pour les fonctions de conformité : cela façonne la conception de la surveillance AML, la déclaration d'activités suspectes et l'intégrité des soldes d'actifs numériques dans les états financiers.

Ce qui rend le contrat bait-and-switch différent

La fraude NFT a plusieurs visages : les rug pulls, les collections contrefaites, les faux sites de minting, la manipulation des enchères et l'usurpation du support client sont tous bien documentés. Le contrat bait-and-switch est plus dangereux que la plupart car la victime ne fait rien d'évidemment répréhensible. Elle signe ce qui semble être une transaction standard, du genre que le marché NFT exige des dizaines de fois par jour.

Le mécanisme central : des fonctions d'approbation weaponisées

Le contrat malveillant intègre des fonctions telles que atomicMatch_ et setApprovalForAll. Dans les protocoles NFT légitimes, ces fonctions autorisent une place de marché à déplacer un actif spécifique pour le compte d'un vendeur. Dans la version de l'attaquant, elles accordent une approbation globale pour transférer l'intégralité du portefeuille de la victime. La victime voit généralement une invite MetaMask identique à une confirmation de transaction normale. La vitesse est l'alliée de l'attaquant : les enchères NFT et les drops en édition limitée créent une véritable pression temporelle, et les utilisateurs qui s'arrêtent pour lire le code du contrat perdent leurs enchères.

Comment le portefeuille d'attaque est préparé

Avant qu'aucune victime ne soit approchée, l'attaquant alimente le portefeuille d'attaque, souvent via un mixer tel que Tornado Cash. Les enquêteurs de TRM ont observé un autodépôt initial vers le portefeuille d'attaque, qui sert de test à la fois pour le portefeuille et pour le contrat. Sur le réseau TRON, cette étape est structurellement nécessaire : un portefeuille TRON a besoin d'un solde TRX positif avant de pouvoir exécuter des transactions, de sorte que même le Tether envoyé à l'adresse ne peut pas être dépensé tant que ce minimum n'est pas atteint. L'attaquant appelle ensuite son propre contrat depuis le portefeuille d'attaque pour vérifier qu'il se comporte comme prévu, laissant une empreinte on-chain distinctive.

Le vecteur d'hameçonnage et le moment de la compromission

Les canaux de diffusion varient : messages directs sur Discord ou Telegram, e-mails, publicités dans le portefeuille via des extensions de navigateur, pop-ups sur les forums de places de marché NFT et usurpation de personnel de support légitime. Le canal importe moins que la destination. Chaque variante se termine par la même demande : signer une transaction ou remettre les clés privées.

L'échange peer-to-peer comme couverture

Dans le cas spécifique analysé par TRM, l'attaquant a approché la victime avec une offre d'échange NFT peer-to-peer. La victime a été invitée à initier l'échange en signant un contrat, qui était, bien sûr, le bait-and-switch. Du point de vue de la victime, cela ressemblait à une interaction normale sur le marché. Le contrat, une fois signé, autorisait l'attaquant à prendre le NFT et, dans certaines variantes, tous les autres actifs du portefeuille, pour zéro ETH en retour.

Pourquoi la blockchain rend cela évident après coup

On-chain, le vol est sans ambiguïté. Le NFT passe du portefeuille de la victime à celui de l'attaquant sans paiement correspondant. Ce transfert à zéro ETH est un signal de transaction que toute requête d'analyse blockchain compétente peut faire ressortir. Le problème est que la plupart des victimes, et de nombreuses équipes de conformité, ne le voient qu'après que l'attaquant a déjà passé à autre chose.

La chaîne de blanchiment : du NFT volé au fiat propre

Les jetons fongibles tels que l'ETH peuvent être passés par des mixers et des plateformes à haut risque relativement rapidement. Les NFT, non : ils sont non fongibles et leur provenance est visible en permanence sur le registre. L'attaquant doit donc convertir le NFT volé en quelque chose de dépensable.

La revente sur le marché secondaire

L'attaquant inscrit le NFT volé sur une place de marché ouverte à un prix de marché. Un acheteur, ignorant la provenance, l'achète en ETH. L'attaquant reçoit des produits ETH d'apparence propre. Du point de vue de l'analyse blockchain, le mouvement du NFT, du portefeuille de la victime à celui de l'attaquant à coût nul, puis immédiatement vers une inscription en marché ouvert, est un schéma reconnaissable. L'écart temporel entre le transfert du vol et l'inscription sur le marché est souvent court.

Consolidation et encaissement

Une fois que l'attaquant détient de l'ETH, les enquêteurs de TRM ont constaté que les produits étaient transférés vers des portefeuilles présentant plusieurs dépôts ETH entrants provenant de marchés NFT et une ou deux sorties de consolidation importantes. La voie d'encaissement combine généralement des mixers, des plateformes à haut risque ou non réglementées, des plateformes peer-to-peer, du chain-hopping entre réseaux et une conversion en stablecoins, autant de tactiques conçues pour rompre la piste entre l'actif volé et la sortie en fiat. Cette séquence de superposition est structurellement identique à d'autres typologies de blanchiment de crypto-monnaies et relève pleinement des obligations de surveillance des transactions qui s'appliquent aux prestataires de services sur actifs virtuels et aux institutions financières réglementées.

Obligations AML pour les entreprises et les plateformes

Pour les cabinets comptables conseillant des plateformes d'échange de crypto, des places de marché NFT ou des dépositaires, et pour les directeurs financiers d'institutions détenant des portefeuilles d'actifs numériques, l'analyse de TRM se traduit directement par un travail de conformité à réaliser dès maintenant.

Surveillance des transactions et déclencheurs d'activités suspectes

Le schéma de blanchiment décrit par TRM, un transfert NFT entrant à valeur nulle suivi rapidement d'une vente en marché ouvert puis d'une consolidation rapide en ETH, devrait être intégré à la logique de détection d'activités suspectes de tout logiciel de comptabilité crypto ou pile d'analyse blockchain utilisé par les équipes de conformité. Les portefeuilles qui acquièrent de façon répétée des NFT pour une contrepartie nulle et les revendent contre de l'ETH constituent une typologie documentée, non théorique. Les entreprises doivent s'assurer que leurs règles de surveillance des transactions couvrent explicitement les flux des places de marché NFT et pas seulement les transferts de jetons fongibles, qui restent la cible par défaut de nombreux ensembles de règles hérités.

Filtrage des portefeuilles et diligence raisonnable sur les contreparties

TRM note que les portefeuilles d'attaque portent souvent des étiquettes attribuées à l'attaquant dans les plateformes d'intelligence blockchain une fois l'enquête terminée. Les plateformes d'échange de crypto, les fournisseurs de dépositaire et les places de marché NFT utilisant des outils de filtrage de portefeuilles doivent configurer des alertes d'exposition automatiques afin que toute interaction avec une adresse d'attaquant étiquetée, même indirecte via un acheteur ultérieur, soit signalée pour examen. L'acheteur d'un NFT volé est un participant involontaire mais peut tout de même avoir des obligations de déclaration selon la juridiction.

Exposition aux mixers et contexte réglementaire

L'utilisation de Tornado Cash pour alimenter le portefeuille d'attaque est significative pour les entités réglementées. L'OFAC a précédemment désigné Tornado Cash, et toute institution dont les portefeuilles clients montrent une interaction avec des adresses de mixers sanctionnées fait face à des obligations de déclaration et de remédiation. Les équipes de conformité devraient lire cela en parallèle de le retrait par le FinCEN de la règle sur le mélange de CVC et ce qu'il signifie pour les programmes AML, qui définit le contexte réglementaire américain actuel pour l'exposition liée aux mixers.

Implications comptables et d'audit

Le vol de NFT et les produits frauduleux qui en découlent créent des écritures comptables que les auditeurs et les directeurs financiers doivent traiter avec soin.

Comptabilisation des actifs numériques volés

Lorsqu'un NFT est retiré du portefeuille d'un client ou d'une entité via un contrat d'hameçonnage, l'actif est décomptabilisé. La perte doit être comptabilisée immédiatement une fois le vol confirmé, et non lorsque l'enquête sur l'hameçonnage se conclut. Selon la plupart des cadres actuels, les actifs numériques détenus comme actifs incorporels ou, lorsque la comptabilité à la juste valeur s'applique, comme instruments évalués, doivent être passés en perte pour leur valeur comptable à la date du vol. Toute récupération d'assurance serait comptabilisée séparément. Les auditeurs examinant des portefeuilles NFT doivent tester spécifiquement les transferts sortants à contrepartie nulle dans le cadre des procédures d'exhaustivité.

Produits reçus par un acheteur involontaire

Une entité qui a acheté de bonne foi un NFT volé sur une place de marché ouverte fait face à un problème différent. Si le NFT est ensuite récupéré par voie judiciaire ou si l'achat est annulé, le traitement comptable dépend de si le paiement a déjà été comptabilisé comme une acquisition d'actif. Les cabinets conseillant des acheteurs dans cette situation doivent documenter soigneusement la chaîne de propriété et déterminer si une information sur les passifs éventuels est requise dans les états financiers.

Logiciels de comptabilité des actifs numériques et pistes d'audit

Un logiciel de comptabilité des actifs numériques robuste doit enregistrer chaque transaction on-chain, y compris les transferts NFT entrants et les approbations sortantes de contrats intelligents, au moment où elles surviennent. Si les transactions d'approbation ne sont pas capturées et rapprochées, un vol par hameçonnage peut ne pas apparaître dans le grand livre avant qu'un examen manuel du portefeuille ne soit effectué. Les auditeurs doivent tester si le logiciel de comptabilité des actifs numériques utilisé par les clients journalise les données d'interaction des contrats intelligents, et pas seulement les variations de solde de jetons, et si le logiciel de tenue de comptabilité crypto de l'entreprise signale les transferts à valeur nulle comme nécessitant un examen. Les entreprises cherchant à renforcer leurs outils d'enquête devraient également examiner comment TRM Labs a lancé Ardence pour automatiser l'enquête sur la criminalité crypto, ce qui est directement pertinent pour le type de reconnaissance de schémas décrit ici.

Signaux d'alerte que les équipes de conformité devraient opérationnaliser

L'enquête de TRM fait surface un ensemble d'indicateurs qui se traduisent directement en contrôles de conformité. Ils ne sont pas théoriques : ils ont été observés dans une arnaque active et réelle que TRM poursuit avec les forces de l'ordre.

Indicateurs on-chain

Surveillez les portefeuilles qui reçoivent des NFT pour une contrepartie en ETH nulle ou quasi nulle puis inscrivent ces actifs en vente au prix du marché dans une fenêtre courte. Recherchez le financement du portefeuille d'attaque par des services de mélange avant toute interaction avec une victime. Les portefeuilles de consolidation avec plusieurs dépôts ETH entrants provenant de marchés NFT et une ou deux sorties importantes sont une signature de la phase d'encaissement. L'utilisation répétée d'appels setApprovalForAll depuis le même portefeuille vers plusieurs portefeuilles de victimes est un indicateur à haute confiance d'hameçonnage coordonné.

Indicateurs opérationnels et orientés client

Pour les cabinets conseillant des clients individuels ou opérant des services de dépositaire : tout signalement d'une invite de signature de contrat inattendue, en particulier arrivant par DM, e-mail ou pop-up pendant une enchère en direct, devrait déclencher un audit immédiat des permissions du portefeuille. Les clients doivent être instruits de révoquer les approbations inconnues via le panneau des sites connectés de leur portefeuille avant toute nouvelle transaction. Des portefeuilles séparés pour les détentions NFT de grande valeur et un portefeuille de test dédié aux contrats inconnus sont des mesures d'hygiène pratiques qui réduisent considérablement l'exposition.

Questions fréquentes

Qu'est-ce qu'un contrat NFT bait-and-switch ?

C'est un contrat intelligent malveillant déguisé en échange ou approbation NFT de routine. Il contient des fonctions, souvent setApprovalForAll ou atomicMatch_, qui accordent à l'attaquant la permission de transférer tout ou partie des actifs du portefeuille de la victime, pas seulement le NFT en question. La victime signe ce qui ressemble à une invite de transaction normale.

Comment l'attaquant convertit-il un NFT volé en fonds utilisables ?

Parce que les NFT portent une provenance on-chain visible, ils ne peuvent pas être blanchis directement. L'attaquant inscrit le NFT volé sur une place de marché ouverte, le vend à un acheteur non méfiant contre de l'ETH, puis achemine ces produits ETH via des mixers, des plateformes à haut risque, des plateformes peer-to-peer et des conversions en stablecoins pour obscurcir la piste avant l'encaissement.

Quelles obligations AML l'exposition à la fraude NFT crée-t-elle pour les entreprises réglementées ?

Les prestataires de services sur actifs virtuels et les institutions financières exposées aux crypto-monnaies sont généralement tenus de surveiller et de déclarer les transactions suspectes. Une typologie documentée, telle que des transferts NFT à valeur nulle suivis d'une revente immédiate en marché ouvert, devrait être intégrée aux ensembles de règles de surveillance des transactions. Les interactions de portefeuilles avec des adresses de mixers sanctionnées créent des obligations de déclaration supplémentaires au titre de l'OFAC ou équivalent selon la juridiction.

Comment un auditeur doit-il traiter un vol de NFT au bilan d'un client ?

L'actif volé doit être décomptabilisé pour sa valeur comptable à la date à laquelle le vol est confirmé. Toute récupération d'assurance ultérieure est comptabilisée séparément. Les auditeurs doivent tester spécifiquement les transferts sortants à contrepartie nulle et vérifier que le logiciel de comptabilité des actifs numériques du client capture les événements d'approbation de contrats intelligents, et pas seulement les variations de solde.

Que doit faire immédiatement une entreprise si un client signale avoir signé un contrat inattendu ?

La priorité est de révoquer immédiatement toutes les approbations de portefeuille inconnues via les paramètres des applications connectées du portefeuille, avant toute nouvelle transaction. L'incident doit être documenté, l'adresse du portefeuille affecté doit être filtrée par rapport aux bases de données d'intelligence blockchain, et un examen d'activité suspecte doit être ouvert si l'entreprise est une entité réglementée. Un signalement aux forces de l'ordre peut également être approprié selon la valeur des actifs perdus.

Source : TRM Labs