Autorisations crypto : Elles restent actives

Les autorisations crypto accordées à un contrat restent actives tant que vous ne les retirez pas. À partir du 5 mai 2026, des attaquants ont exploité cette règle. Ils ont prélevé environ 1,42 million de dollars sur 31 adresses, grâce aux autorisations données à un routeur du protocole Ekubo. La principale victime avait accordé la sienne 158 jours plus tôt, selon le fondateur de SlowMist.

Une autorisation crypto ne s’arrête pas avec la transaction

Pour échanger un token sur une application décentralisée, vous signez d’abord une autorisation. Ce message permet ainsi à un contrat de prélever vos jetons à votre place. Le standard ERC-20 prévoit qu’il peut le faire « plusieurs fois, jusqu’au montant » fixé. Or votre wallet n’affiche pas toujours ce que vous signez, comme le montrait notre article sur le clear signing.

Surtout, cette autorisation n’a pas de date de fin. Le guide officiel d’ethereum.org sur la révocation le dit sans détour : « Il n’y a pas de date d’expiration sur les permissions de contrat. » Elles peuvent donc servir des années plus tard.

Se déconnecter du site ne change rien non plus. L’autorisation figure dans le contrat du token, sur la blockchain, et non dans votre navigateur. Selon le même guide, le projet garde donc l’accès à vos tokens après la déconnexion. Votre portefeuille numérique conserve en effet vos clés, pas vos autorisations. Il faut alors retirer l’autorisation pour couper cet accès.

Le montant pose ensuite un second problème. Beaucoup d’applications demandent un accès illimité, pour ne pas le redemander à chaque échange. Une étude universitaire publiée en 2022 l’a mesuré sur les transactions réalisées jusqu’au 31 juillet 2021. À l’époque, 60 % des autorisations sur Ethereum portaient sur un montant illimité.

Autorisations crypto : ce que vous pensez accepter

Quand vous validez un échange, vous pensez autoriser cette seule opération. En réalité, l’autorisation va plus loin. Elle permet au contrat de prendre un montant de token, à tout moment, jusqu’à son retrait.

Tant que le contrat fonctionne bien, il ne prélève que pour vos propres opérations. En revanche, une faille dans son code peut permettre à un tiers de déclencher le prélèvement. L’autorisation ne vérifie pas qui appelle le contrat. Elle vérifie seulement que le contrat a le droit de prendre vos jetons.

Ekubo a d’ailleurs révisé sa propre explication. Le 8 mai, son rapport attribuait probablement les grosses autorisations à des utilisateurs qui auraient relevé eux-mêmes le plafond. Le 16 mai, le texte a changé. L’équipe indique que son interface a pu créer certaines de ces autorisations, et ne cherche plus à en attribuer l’origine.

Ekubo : comment un routeur oublié a vidé des wallets

Ekubo est un protocole d’échange présent sur Starknet et sur plusieurs blockchains compatibles avec Ethereum. L’attaque visait le HuffRouter, un routeur optimisé pour réduire les frais, déployé sur Ethereum et Arbitrum. Ses utilisateurs lui avaient en effet donné le droit de prélever leurs jetons pour exécuter leurs échanges.

Un bug d’analyse des données d’appel dans HuffRouter […] permettait à un appelant d’ajouter des octets arbitraires après un trajet d’échange par ailleurs valide, et de les faire interpréter comme des données fixées par le routeur lors du règlement.

Ekubo, rapport d’incident

Concrètement, l’attaquant pouvait désigner n’importe quel utilisateur comme payeur d’un échange. Toute personne qui avait autorisé ce routeur devenait ainsi une cible. Le premier prélèvement date du 5 mai 2026, à 17 h 50 UTC.

Ekubo évalue les pertes à environ 1,42 million de dollars, sur 31 adresses. Une seule adresse a cependant perdu environ 17 WBTC, soit près de 1,37 million de dollars, ainsi que 0,34 cbBTC. Elle concentre donc 98 % du total. L’attaque n’a touché ni les fournisseurs de liquidité ni la version Starknet du protocole.

L’équipe reconnaît aussi ne pas avoir fait auditer ce contrat. Elle jugeait son risque faible. Selon elle, les autorisations pouvaient être limitées, et les échanges via l’interface devaient rester petits et rares. Ces routeurs ne peuvent plus être modifiés : ils « restent vulnérables », précise le rapport. Ekubo a ensuite déployé le 23 juin un fonds de remboursement, plafonné par adresse et versé à titre volontaire par sa DAO.

Socket, LI.FI, SwapNet : le même schéma depuis des années

Ekubo n’est pas un cas isolé. Le site Revoke.cash recense ces attaques dans son bilan annuel. Il compte 9 exploitations d’autorisations en 2025, pour un peu plus de 6 millions de dollars. En 2024, elles avaient coûté 80 millions.

En juillet 2024, la plateforme LI.FI a ainsi perdu environ 11,6 millions de dollars, pris dans 153 wallets. Selon le compte rendu publié par LI.FI, la faille touchait seulement les autorisations illimitées. En janvier 2024, une faille proche chez Socket a visé environ 200 utilisateurs, tous avec un accès illimité.

En janvier 2026, 18 utilisateurs ont perdu 13,43 millions de dollars par les contrats de SwapNet. Selon le post-mortem de la plateforme Matcha Meta, les victimes avaient désactivé l’autorisation à usage unique proposée par défaut. Matcha précise toutefois qu’un montant précis jamais utilisé laissait aussi les fonds exposés.

Ces attaques diffèrent toutefois des arnaques par signature. Dans ce cas, un faux site vous fait signer une autorisation au profit de l’escroc. Ce type de vol a coûté 83,85 millions de dollars en 2025, selon le bilan 2025 de la société de sécurité ScamSniffer.

Réduire le risque des autorisations crypto

Le premier réflexe consiste à limiter le montant. MetaMask permet de fixer un plafond de dépense au moment de signer. Son aide officielle est claire : « N’accordez jamais d’autorisations illimitées (astronomiquement élevées). »

Ensuite, faites le ménage régulièrement. L’outil Revoke.cash affiche vos autorisations crypto sur plus de 80 réseaux. Le vérificateur de l’explorateur Etherscan fait de même sur Ethereum. Retirer une autorisation à la fois est gratuit, hors frais de réseau. Revoke.cash facture en revanche 1,50 dollar par retrait groupé. Dans un avis de janvier 2024, la police et l’agence de cybersécurité de Singapour recommandent aussi de réviser et de retirer les autorisations élevées.

Enfin, certaines applications limitent déjà la durée. L’application Uniswap passe par Permit2 et accorde des autorisations de 30 jours, selon son centre d’aide. Vous donnez toutefois une première autorisation au contrat Permit2 lui-même, et celle-ci n’expire pas. Sur Starknet, les tokens suivent par ailleurs le même modèle qu’Ethereum, sans expiration.

ERC-8255 veut faire expirer les autorisations par défaut

Le 6 mai 2026, Moody Salem, fondateur d’Ekubo, a déposé le projet ERC-8255 sur le site des EIP. Son principe est simple : une autorisation classique expirerait après une durée maximale, fixée par chaque token. Une nouvelle fonction permettrait aussi d’accorder une autorisation plus courte, jusqu’à un seul bloc.

Le texte ajoute d’abord de nouvelles fonctions, compatibles avec les applications existantes. Il change néanmoins le comportement des autorisations ordinaires, ce qui divise les développeurs. Sur le forum Ethereum Magicians, certains préfèrent laisser l’autorisation classique intacte. Le chercheur pcaversaccio juge au contraire que « les autorisations ont toujours été un bug et non une fonctionnalité » (traduction de la rédaction).

D’autres pistes existent également. La proposition ERC-7674 prévoit des autorisations effacées à la fin de la transaction. Depuis la mise à jour Pectra de mai 2025, un wallet compatible peut aussi regrouper autorisation et échange en une seule opération.

Au 18 octobre 2026, ERC-8255 restait un projet, et son texte ne référençait aucune implémentation. Les routeurs d’Ekubo visés le 5 mai ne peuvent pas être modifiés. Leurs autorisations illimitées ne disparaissent donc que si chaque utilisateur les retire. Notre comparatif des wallets crypto les plus sécurisés présente les autres protections disponibles.