En octobre 2023, l'entreprise d'analyse Chainalysis recensait plus de 3,2 milliards de dollars dérobés via des exploitations de smart contracts. Une partie significative de ces vols ne relève pas du piratage informatique sophistiqué, mais d'un malentendu fondamental : beaucoup d'utilisateurs pensent qu'en se déconnectant d'une application décentralisée, ils révoquent l'accès à leurs fonds. C'est faux.
Lorsque vous utilisez une plateforme d'échange décentralisée, un protocole de prêt ou même un simple service de vente de NFT, vous accordez une autorisation permanente — une approval — qui persiste tant que vous ne la révoquez pas explicitement. Cette autorisation permet au smart contract de déplacer vos tokens, même des mois après votre dernière interaction.
Le bouton « Disconnect » que vous pressez sur Uniswap, Aave ou OpenSea ne fait qu'interrompre l'interface visuelle entre votre navigateur et l'application. Sur la blockchain, l'autorisation reste active, intacte, prête à être utilisée. Comprendre ce mécanisme et savoir comment auditer puis révoquer ces smart contract approvals devient une compétence de sécurité fondamentale pour quiconque utilise la finance désintermédiée.
Le mécanisme des approvals : comment fonctionne réellement l'autorisation
Pour interagir avec un smart contract, votre portefeuille doit donner une permission explicite : l'approval. Prenons l'exemple d'un échange de tokens sur une plateforme décentralisée. Vous souhaitez échanger de l'USDC contre de l'ETH. Le smart contract de la plateforme a besoin de votre accord pour retirer les USDC de votre adresse et exécuter l'échange.
Lors de votre première transaction, votre portefeuille (MetaMask, Ledger Live, Rabby ou autre) affiche une demande d'approval. Le message indique généralement un montant : soit la somme exacte de tokens que vous échangez, soit un montant illimité. Beaucoup d'applications demandent par défaut une unlimited approval pour éviter que vous ayez à valider cette autorisation à chaque opération future. C'est pratique. C'est aussi risqué.
Une fois cette autorisation signée, elle est inscrite sur la blockchain. Elle ne dépend plus de votre connexion à l'application, de votre session active ou de votre navigateur. Elle est un contrat exécutable à volonté par le smart contract autorisé, jusqu'à révocation explicite de votre part.
Voici ce que cela signifie concrètement : si vous avez autorisé un protocole à déplacer 10 000 USDC il y a six mois, que vous ne vous êtes jamais reconnecté depuis, cette autorisation demeure. Si le smart contract de ce protocole contient une vulnérabilité non détectée, si l'équipe de développement est compromise, ou si l'application était en réalité une plateforme frauduleuse déguisée, vos avoirs restent accessibles. C'est précisément ce type de faille que les cyberattaques sophistiquées exploitent, même sur des plateformes établies.
Les situations à risque que l'on sous-estime
Certaines pratiques augmentent considérablement votre exposition sans que vous en ayez conscience.
Tester une nouvelle plateforme avec de petits montants, puis oublier. Vous avez essayé un nouveau protocole de yield farming avec 50 euros d'USDC pour « voir comment ça marche ». Vous avez accordé une unlimited approval par défaut. Vous n'avez jamais révoqué cette autorisation. Six mois plus tard, vous stockez 20 000 euros d'USDC sur la même adresse pour une autre utilisation. Le smart contract du protocole test conserve son accès illimité à l'intégralité de votre solde.
Interagir avec des applications non vérifiées ou récentes. Les protocoles établis (Uniswap, Aave, Curve) bénéficient d'audits de sécurité multiples et d'une surveillance communautaire. Les applications lancées il y a trois semaines, non. Certaines sont des projets légitimes en phase de lancement. D'autres sont des pièges délibérés. Une fois l'approval accordée, le contrat peut être modifié ou exploité par ses créateurs.
Utiliser des agrégateurs ou des interfaces tierces. Des services comme 1inch ou Matcha agrègent plusieurs sources de liquidité pour optimiser vos échanges. Pour fonctionner, ils demandent des approvals sur leurs propres smart contracts, distincts des protocoles sous-jacents. Vous accumulez ainsi plusieurs couches d'autorisations pour une même opération.
Les airdrops et NFT gratuits suspects. Certaines arnaques fonctionnent par incitation : vous recevez un token ou un NFT non sollicité. Pour le « récupérer » ou le « vendre », on vous redirige vers un site qui demande une série d'approvals. Une fois signées, ces autorisations donnent accès à vos véritables actifs.
Le point commun de ces situations : la déconnexion ne résout rien. Vous pouvez fermer votre navigateur, désinstaller l'extension de votre portefeuille, la vulnérabilité persiste tant que l'approval est active.
Comment auditer et révoquer vos autorisations existantes
La bonne nouvelle : il existe des outils fiables pour visualiser et révoquer toutes les autorisations actives sur votre adresse. La mauvaise : cette vérification n'est pas automatique, elle exige une démarche volontaire et régulière.
Utiliser un outil de gestion des approvals. Plusieurs services permettent de scanner votre portefeuille et d'afficher toutes les autorisations en cours. Les plus utilisés sont Revoke.cash (Ethereum, BSC, Polygon, Arbitrum, Optimism), Etherscan Token Approvals (Ethereum) et Unrekt (multi-chaînes). Vous connectez votre portefeuille en lecture seule, ces outils interrogent la blockchain et listent chaque smart contract ayant un accès actif à vos tokens.
Pour chaque approval, vous verrez : le nom du protocole, le type de token autorisé, le montant (limité ou illimité), la date de la dernière mise à jour. Vous pouvez alors révoquer les autorisations une par une. Chaque révocation smart contract nécessite une transaction on-chain, donc des frais de réseau (gas fees). Sur Ethereum, selon la congestion, révoquer une autorisation peut coûter entre 2 et 20 euros. Sur des réseaux comme Polygon ou Arbitrum, les frais sont négligeables.
Prioriser les révocations. Si vous avez des dizaines d'approvals actives et que révoquer chacune représente un coût, commencez par celles qui présentent le risque le plus élevé : les autorisations illimitées (unlimited), les protocoles que vous ne reconnaissez pas ou n'utilisez plus, les applications non auditées, les tokens de forte valeur. Conservez les autorisations pour les protocoles établis que vous utilisez régulièrement, en veillant à ce qu'elles soient limitées en montant.
Adopter une discipline préventive. Avant de signer une approval, vérifiez le montant demandé. Beaucoup de portefeuilles (Rabby, Frame) affichent désormais un avertissement clair lorsqu'une application demande un accès illimité. Vous pouvez modifier manuellement ce montant et n'autoriser que la somme nécessaire à votre opération immédiate. Cela impose de revalider une approval à chaque transaction, avec des frais supplémentaires, mais réduit drastiquement votre surface d'attaque.
Planifiez un audit mensuel ou trimestriel de votre portefeuille. Comme vous vérifiez vos relevés bancaires ou vos accès à des services en ligne, passez en revue vos approvals actives. Révoquez ce qui n'est plus pertinent. Cette routine simple élimine 90 % des risques d'exploitation différée.
Le point de vigilance
La finance désintermédiée repose sur un principe de responsabilité individuelle : aucune institution ne révoquera ces autorisations pour vous, aucun service client ne vous alertera. L'approval que vous avez signée il y a un an sur un protocole disparu reste techniquement exploitable tant que vous ne l'annulez pas. Se déconnecter d'une application n'est qu'une action cosmétique. Révoquer l'autorisation est l'acte de sécurité réel.
Construire une hygiène de sécurité durable
Au-delà de la révocation ponctuelle, quelques pratiques de gestion des permissions réduisent structurellement votre exposition.
Séparer vos portefeuilles selon l'usage. Conservez un portefeuille pour le stockage à long terme, sans aucune interaction avec des smart contracts. Utilisez un second portefeuille, avec des montants limités, pour explorer de nouveaux protocoles ou tester des applications. Si ce portefeuille est compromis, vos avoirs principaux restent protégés. Cette segmentation est particulièrement pertinente pour les détenteurs de montants significatifs.
Privilégier les protocoles audités et établis. Cela ne garantit pas une sécurité absolue — des protocoles majeurs ont été exploités — mais cela réduit considérablement la probabilité d'une compromission volontaire ou d'une négligence grave. Avant d'interagir avec une application, vérifiez l'existence d'audits publics (CertiK, Trail of Bits, OpenZeppelin), la transparence de l'équipe de développement, l'ancienneté du projet. L'importance de ces audits est comparable à la vérification de la solvabilité des plateformes centralisées.
Se méfier des urgences artificielles. Les arnaques par approval reposent souvent sur la création d'un sentiment d'urgence : « Réclamez votre airdrop avant minuit », « Vendez ce NFT rare maintenant ». Aucun projet légitime n'impose une fenêtre de quelques heures pour interagir. Prenez le temps de vérifier l'origine d'une demande, de consulter les canaux officiels du projet, de rechercher des retours d'autres utilisateurs.
Enfin, formez-vous en continu. Les vecteurs d'attaque évoluent. Les protocoles ajustent leurs standards de sécurité. Les outils de révocation s'améliorent. Suivre quelques comptes spécialisés en sécurité blockchain (comme @officer_cia, @tayvano_ ou les alertes de Chainalysis) vous tient informé des nouvelles menaces et des bonnes pratiques émergentes.
La finance désintermédiée transfère le contrôle — et donc la responsabilité — de la sécurité aux utilisateurs. Ce transfert est puissant, il élimine les intermédiaires et leurs défaillances, mais il exige une vigilance active. Révoquer vos approvals inutilisées n'est pas une tâche technique complexe. C'est une discipline. Une discipline qui, appliquée régulièrement, rend vos avoirs significativement plus sûrs.
