Autorisations de tokens : les vérifier et révoquer celles qui ne servent plus

Les priorités : quelles autorisations comptent le plus

Si vous n’avez que cinq minutes, cherchez dans cet ordre, établi selon notre jugement éditorial sur les dégâts possibles.

1. Les autorisations d’opérateur NFT vers des adresses inconnues : elles couvrent toute une collection, sans plafond.
2. Les autorisations ERC-20 illimitées vers des bénéficiaires inconnus, surtout sur des stablecoins ou des avoirs importants.
3. L’autorisation Permit2 sur des tokens que vous n’échangez plus, car elle sert de socle à de nombreuses sous-autorisations.
4. Les vieilles autorisations vers de petites applications abandonnées. Un contrat sûr à l’époque peut être modifié ou compromis.

Ce qu’est réellement une autorisation

Sur les blockchains EVM, un contrat ne peut prélever des tokens sur votre adresse que si vous avez auparavant dit au contrat du token qu’il le pouvait. Cette permission, inscrite on-chain sous forme de montant ou d’indicateur, c’est l’autorisation (« approval »).

Deux choses peuvent donc coexister pour un même token : une autorisation directe à l’application, et une autorisation à Permit2 assortie de sous-autorisations. Une bonne revue examine les deux. Revoke.cash recommande de révoquer l’autorisation au contrat Permit2 lui-même si vous ne l’utilisez plus, compte tenu du risque d’hameçonnage.

Pourquoi les autorisations persistent

Selon ethereum.org, les permissions accordées restent utilisables indéfiniment, et déconnecter votre wallet d’un projet ne les supprime pas. La raison est technique : la connexion du wallet est une session de navigateur, l’autorisation est une donnée dans le contrat du token. Fermer l’onglet change la première, pas la seconde.

D’où le scénario classique : une autorisation illimitée donnée il y a deux ans à une application légitime, dont le contrat est ensuite exploité. Ethereum.org ajoute qu’une fois l’allocation illimitée accordée, la plateforme peut dépenser ces tokens même après que vous les avez rapatriés dans votre wallet.

Les sept étapes

Ces étapes suivent le guide de Revoke.cash, le vérificateur d’Etherscan et la procédure d’ethereum.org, avec nos ajouts de sécurité.

1. 1

   Partir d’un appareil sain et de la bonne adresse

   Ouvrez l’outil dans un profil de navigateur sans extension inconnue. Saisissez ou connectez l’adresse qui a signé les autorisations. La recherche par adresse est en lecture seule ; la connexion n’est nécessaire que pour révoquer.

2. 2

   Choisir le réseau

   Les autorisations sont stockées par blockchain : un même wallet doit être examiné sur chaque réseau utilisé. Revoke.cash couvre plus de 80 réseaux ; ailleurs, passez par l’explorateur de blocs de la chaîne.

3. 3

   Trier de la plus récente à la plus ancienne

   Revoke.cash conseille cet ordre pour repérer une autorisation suspecte. Les bénéficiaires inconnus signés récemment passent en premier.

4. 4

   Examiner chaque ligne

   Pour chaque autorisation, notez le token, le bénéficiaire (spender), le montant autorisé et la date de mise à jour. Les autorisations illimitées vers des bénéficiaires que vous ne savez pas nommer sont prioritaires.

5. 5

   Révoquer, ou réduire le montant

   Cliquez sur Revoke, ou utilisez l’option de modification pour fixer un plafond plus bas si vous utilisez encore l’application. Les deux exigent une transaction et des frais de réseau.

6. 6

   Confirmer dans le wallet et patienter

   Vérifiez que la fenêtre du wallet affiche bien un appel d’autorisation remettant le montant à zéro, puis attendez la fin de la transaction. Le délai varie selon le réseau.

7. 7

   Actualiser et vérifier

   Rechargez l’outil après quelques minutes : l’autorisation doit avoir disparu ou afficher zéro. Recommencez pour chaque réseau et chaque standard de token.

Revoke.cash ou vérificateur d’explorateur de blocs

Notre conseil : utilisez celui que vous atteignez par un favori créé vous-même. De faux sites de révocation existent, et un outil qui vous fait signer autre chose qu’une remise à zéro ou une désactivation d’opérateur doit vous alerter. Etherscan précise d’ailleurs fournir le service en l’état, sans responsabilité pour les pertes : lisez chaque fenêtre du wallet.

Ce que coûte une révocation

Révoquer est une transaction ordinaire : vous payez les frais de réseau. Selon ethereum.org, le traitement prend d’environ une minute à plusieurs minutes selon le réseau. Nous n’avançons pas de montant en euros, car les frais varient avec la congestion et la blockchain.

• Budgétez par réseau. Une revue sur cinq réseaux, c’est jusqu’à cinq séries de frais, et il faut un peu du token natif de chacun.
• Priorisez par risque. Si les frais sont élevés, révoquez d’abord les opérateurs NFT et les autorisations illimitées sur stablecoins.

D’après ethereum.org, révoquer ne met fin ni au staking, ni aux positions de liquidité ou de prêt : il faudra simplement autoriser à nouveau lors de la prochaine utilisation.

L’équivalent sur Solana

Solana n’a ni setApprovalForAll ni tableau d’allowances ERC-20. Chaque compte de token stocke un seul délégué et un montant délégué à la fois ; approuver un nouveau délégué remplace l’ancien. Le propriétaire signe via l’instruction Approve ou ApproveChecked (documentation Solana).

L’instruction Revoke supprime le délégué et remet le montant à zéro. Avec le Token Program, le propriétaire signe ; avec le Token Extension Program, le délégué actuel peut aussi révoquer (documentation Solana). Nous n’avons pas ouvert la documentation de la ligne de commande spl-token et ne donnons donc pas de syntaxe.

Le profil de risque diffère : l’exposition est plafonnée par compte de token. Mais une autre perte courante sur Solana vient d’une transaction signée qui transfère des actifs ou change la propriété d’un compte : ce n’est pas une autorisation, et rien ne peut être révoqué après coup. Voir notre page écosystème Solana.

Les limites de la révocation

Elle ne rend pas les fonds volés.

Les transferts sont irréversibles ; la révocation empêche seulement le vol suivant.

Elle est inutile si la clé privée a fuité.

Avec votre phrase de récupération, l’attaquant signe simplement de nouvelles transactions. Migrez vers un nouveau wallet.

Elle n’annule pas d’elle-même un permit signé mais pas encore utilisé.

Selon l’EIP-2612, n’importe qui peut soumettre un permit signé jusqu’à son échéance ; le propriétaire peut l’invalider en consommant le nonce. Un outil de révocation peut ne pas voir une telle signature hors chaîne : un permit suspect justifie de déplacer vos fonds.

Elle vaut par réseau et par standard.

Chaque blockchain garde ses propres autorisations : voir Ethereum, Base, Arbitrum.

Après un vol : les démarches en France

Révoquer protège la suite ; il reste à agir pour ce qui est parti. Cybermalveillance.gouv.fr conseille de conserver toutes les preuves et de déposer plainte au commissariat, à la gendarmerie ou par écrit au procureur de la République ; France Victimes accompagne gratuitement au 116 006. Notez les hash de transactions, l’adresse du bénéficiaire et l’URL du site.

Méfiez-vous ensuite des offres de « récupération ». L’AMF rappelle qu’elle ne contacte jamais d’épargnants de sa propre initiative pour récupérer des fonds et ne demande jamais d’argent. Lecteurs belges, suisses et canadiens : adressez-vous à votre police et à votre autorité financière (FSMA, FINMA, autorité provinciale). Les schémas d’attaque sont détaillés dans arnaques à l’airdrop crypto.

La routine mensuelle

Associez cette routine aux habitudes du guide burner wallet, passez chaque claim au crible de notre grille pour reconnaître un airdrop fiable et, si vous pratiquez le farming d’airdrop, révisez plus souvent : rien ne génère autant d’autorisations. Pour savoir qui détient réellement vos clés, voir wallet custodial ou non custodial.

Rédigé et vérifié par la Rédaction d’airdrop.promo. Méthode : notre méthode de vérification (EN). Une erreur ? contacts@airdrop.promo. Contenu informatif, pas un conseil financier ni fiscal.