Les risques cachés des token approvals — ce que tout utilisateur DeFi doit savoir en 2026

1. L’anatomie de l’autorisation : comment fonctionnent réellement les token approvals

L’économie décentralisée repose sur l’interaction des smart contracts avec les actifs détenus par les utilisateurs. Mais la Machine Virtuelle Ethereum (EVM) impose une séparation stricte entre les comptes utilisateurs (Externally Owned Accounts, ou EOA) et les comptes de contrats. Pour qu’un protocole — un échange décentralisé, une plateforme de prêt, un agrégateur de rendement — puisse déplacer vos tokens, il doit d’abord obtenir une permission explicite via la fonction approve.

Cette conception est une fonctionnalité, pas un bug. Elle garantit qu’aucun contrat ne peut accéder unilatéralement à vos fonds. Le problème réside dans ce qui se passe après que vous avez accordé cette permission — et dans l’étendue de celle-ci.

ERC-20 : le problème de l’approbation « illimitée »

Dans le monde des tokens fongibles (ERC-20), la fonction approve(spender, amount) vous permet de spécifier une limite de dépense numérique. En théorie, vous pourriez approuver un DEX pour dépenser exactement 100 USDC pour un seul swap. En pratique, la plupart des applications décentralisées demandent par défaut des approbations « illimitées » — fixant le montant à 2²⁵⁶−1, l’entier maximum possible. Cela est fait pour minimiser les coûts de gas et les frictions : au lieu de nécessiter une nouvelle transaction d’approbation pour chaque swap, une seule approbation illimitée accorde au contrat des droits permanents pour drainer l’intégralité de votre solde actuel et futur de ce token spécifique.

La commodité est réelle. Le risque est que cette approbation n’expire jamais. Si ce contrat est ultérieurement compromis — que ce soit par un bug, un exploit de mise à jour ou une action de gouvernance malveillante — chaque utilisateur ayant accordé une approbation illimitée est exposé.

ERC-721 et ERC-1155 : un accès binaire à des collections entières

Dans le secteur des NFT, le profil de risque est encore plus sévère. La fonction setApprovalForAll(operator, bool) des standards ERC-721 et ERC-1155 n’est pas quantitative — elle est binaire. Une fois accordée, un « operator » (généralement un contrat de marketplace) peut transférer chaque token au sein de cette adresse de contrat spécifique actuellement dans votre portefeuille, ainsi que tout token acquis ultérieurement. Il n’y a pas de granularité par token. C’est tout ou rien.

ERC-2612 : l’approbation « furtive »

L’introduction de l’EIP-2612 et de la fonction permit a ajouté une couche d’abstraction dangereuse. Ce standard permet aux utilisateurs de signer un message off-chain qui inclut les paramètres d’approbation et une date limite. Un tiers peut ensuite soumettre cette signature à la blockchain, payant le gas au nom de l’utilisateur. Bien que cela permette un onboarding « sans gas » et une meilleure UX, cela crée un vecteur d’approbation furtive : l’approbation n’apparaît pas dans vos transactions on-chain en attente jusqu’au moment de l’exploitation. Vous signez ce qui ressemble à un message inoffensif, et un acteur malveillant le soumet plus tard pour drainer votre portefeuille.

L’évolution de ces standards a été motivée par le désir de réduire les « frictions UX ». La conséquence involontaire a été une sur-autorisation systémique. En 2026, la valeur cumulée des « approbations latentes » — le montant total de capital qui pourrait être déplacé par des contrats tiers à travers l’écosystème EVM — est estimée à des ordres de grandeur supérieurs à la TVL liquide réelle de la DeFi.

2. Le paysage des menaces 2025–2026 : l’abus d’autorisation en chiffres

L’année 2025 et les premiers mois de 2026 ont été témoins d’un changement décisif dans les tactiques cybercriminelles. Plutôt que de chercher des bugs complexes de réentrance ou des vulnérabilités de flash loan, les attaquants se sont tournés vers la « couche d’autorisation » — les approbations dormantes dans des millions de portefeuilles. Les arnaques par usurpation d’identité ont connu une croissance de 1 400 % en glissement annuel. La fraude assistée par l’IA a augmenté de 89 %. L’échelle totale des pertes était considérable.

En janvier 2026, la tendance s’est intensifiée. CertiK a rapporté que sur les 370,3 millions de dollars perdus en janvier 2026, environ 311,3 millions de dollars (84 %) étaient liés au phishing — incluant un seul incident d’ingénierie sociale totalisant 284 millions de dollars.

Address poisoning : la hausse de 15 000 %

L’address poisoning s’est imposé comme une forme particulièrement insidieuse de risque lié aux approbations. Les attaquants utilisent des bots pour surveiller les portefeuilles à fort volume, puis envoient une transaction « dust » — un montant négligeable de tokens — depuis une adresse générée par programme pour ressembler presque à l’adresse de la victime ou à celle d’un contact fréquent.

L’exploit psychologique repose sur le fait que de nombreuses interfaces de portefeuilles tronquent les adresses, n’affichant que les quatre premiers et derniers caractères. Lorsqu’un utilisateur copie une adresse depuis son historique de transactions pour un nouveau transfert, il copie par inadvertance l’adresse similaire de l’attaquant. Le 31 janvier 2026, une seule victime a perdu 4 556 ETH (environ 12,25 millions de dollars) par exactement cette méthode. L’historique de transactions — quelque chose en quoi les utilisateurs ont implicitement confiance — est devenu le vecteur d’attaque lui-même.

3. Étude de cas : le vol de 282 millions de dollars sur un hardware wallet

L’exemple le plus illustratif des limites des pratiques de sécurité modernes s’est produit le 10 janvier 2026. Un utilisateur de hardware wallet a perdu environ 282 millions de dollars en BTC et LTC. Bien que les fonds aient été détenus en cold storage — la référence absolue de l’auto-custody — l’attaquant a réussi à manipuler l’utilisateur pour qu’il signe une série d’autorisations.

Cet incident a brisé un mythe répandu : que les hardware wallets sont une défense absolue contre le vol basé sur les approbations. Comme l’ont noté les chercheurs en sécurité, le cold storage protège les clés privées « au repos », mais il n’offre aucune protection aux utilisateurs « sous pression » qui sont trompés pour fournir des signatures légitimes à des fins malveillantes. L’appareil a fidèlement exécuté les instructions qui lui ont été données. La vulnérabilité était l’humain qui le tenait.

4. Phishing-as-a-Service : l’industrialisation du vol d’approbations

L’efficacité du vol basé sur les approbations en 2026 n’est pas l’œuvre de hackers solitaires. Elle est alimentée par une chaîne d’approvisionnement mature de logiciels malveillants. Des groupes comme le « Smishing Triad » exploitent des plateformes telles que « Lighthouse », un fournisseur sinophone qui propose du « phishing pour les nuls » — complet avec des centaines de modèles de faux sites web, l’enregistrement automatisé de domaines et des outils d’évasion capables de contourner les filtres avancés des navigateurs.

La surface d’attaque mobile

Les attaquants se sont tournés vers les appareils mobiles comme point unique de défaillance. Les suites de logiciels malveillants modernes incluent désormais des outils conçus spécifiquement pour récolter les approbations et les clés :

• Memory scrapers : Programmes qui analysent la RAM d’un appareil à la recherche de clés privées non chiffrées ou de phrases de récupération lors de l’initialisation du portefeuille.
• Clipboard hijackers : Logiciels malveillants qui surveillent le presse-papiers du système et remplacent une adresse de destination copiée par une adresse similaire contrôlée par l’attaquant — souvent utilisés en conjonction avec l’address poisoning.
• Keyloggers : Logiciels de surveillance traditionnels adaptés aux claviers mobiles, ciblant les codes PIN et mots de passe utilisés pour déverrouiller les hot wallets.

Une fois une approbation obtenue, le réseau de « shoppers » facilite le blanchiment d’argent en achetant des biens de luxe ou des NFT à haute liquidité qui sont ensuite revendus pour masquer l’empreinte numérique. L’ensemble du pipeline — du phishing au blanchiment — est professionnalisé, compartimenté et disponible à la location.

5. Quand les protocoles échouent : comment les approbations existantes sont transformées en armes

Le risque le plus contre-intuitif des token approvals est peut-être celui-ci : même si vous faites tout correctement, le protocole auquel vous avez fait confiance pourrait ne pas le faire. Plusieurs incidents de grande envergure en 2025–2026 ont démontré que les approbations existantes peuvent être « transformées en armes » par le biais de vulnérabilités au niveau protocole — transformant votre confiance passée en responsabilité présente.

Aperture Finance et Swapnet : 16,67 millions de dollars

Le 26 janvier 2026, Aperture Finance et Swapnet ont subi des pertes combinées d’environ 16,67 millions de dollars. Il ne s’agissait pas d’attaques de phishing traditionnelles. Les attaquants ont exploité une vulnérabilité dans les smart contracts qui permettait des « appels externes arbitraires ». En manipulant la logique du contrat, ils ont déclenché des opérations transferFrom() en utilisant les approbations légitimes que les utilisateurs avaient précédemment accordées à ces protocoles.

Cet incident cristallise un risque caché critique : une approbation n’est pas simplement une permission pour qu’un contrat effectue une tâche spécifique — c’est un pont permanent. Si la logique de ce contrat est ultérieurement compromise ou s’avère contenir une « faille de sortie », chaque utilisateur qui a interagi avec celui-ci est en danger, quel que soit le temps écoulé depuis sa transaction.

TrueBit : 26,6 millions de dollars depuis un contrat legacy

Le 8 janvier 2026, une vulnérabilité mathématique dans la logique de tarification du contrat de minting legacy de TrueBit a permis à un attaquant de créer de grandes quantités de tokens TRU à un coût quasi nul. L’attaquant a ensuite utilisé ces tokens pour extraire de l’ETH des réserves du protocole. La perte a totalisé environ 26,6 millions de dollars.

MakinaFi : 4,1 millions de dollars via manipulation de prix

Le 20 janvier 2026, des attaquants ont manipulé les prix des pools pour gonfler la valeur des tokens LP, permettant un arbitrage profitable qui a drainé 4,1 millions de dollars du protocole.

6. Restaking et sécurité partagée : une nouvelle couche de risque d’approbation

Le paysage DeFi de 2026 est dominé par la « Révolution du Restaking ». Des protocoles comme EigenLayer, Symbiotic et Karak ont introduit un modèle où la sécurité du staking Ethereum est « louée » pour sécuriser d’autres services (Actively Validated Services, ou AVS). Bien que cela augmente le rendement pour les stakers, cela crée une couche entièrement nouvelle de risque d’autorisation et de slashing.

EigenLayer : la délégation comme approbation « tout ou rien »

La participation à EigenLayer implique soit le « Native Restaking » (réorientation des identifiants de retrait du validateur) soit le « Liquid Restaking » (dépôt de LST dans des smart contracts). La préoccupation principale est la nature binaire de la délégation :

• Délégation à un Operator : Les restakers délèguent leur solde à un Operator qui exécute le logiciel pour les AVS. C’est une opération tout ou rien — vous ne pouvez pas déléguer partiellement ou diviser le solde d’un seul EigenPod entre plusieurs Operators.
• Amplification du slashing : Un restaker hérite des conditions de slashing de chaque AVS auquel son Operator souscrit. Si un Operator se comporte mal ou est compromis, les fonds du restaker peuvent être slashés (brûlés ou redistribués).

En 2025, la TVL d’EigenLayer était d’environ 14,2 milliards de dollars, représentant 63 % du marché du restaking. Une telle concentration crée un risque systémique : si les clés d’un Operator majeur sont compromises, l’événement de slashing qui en résulterait pourrait déclencher un choc de liquidité massif à travers l’ensemble de l’écosystème Ethereum.

Même dans le « Native ETH Restaking » — où l’ETH reste sur les contrats Beacon Chain plutôt que d’être transféré dans des smart contracts spécifiques à EigenLayer — le « propriétaire de l’EigenPod » détient des permissions à haut risque qui peuvent être détournées si le portefeuille du propriétaire et ses approbations associées sont compromis.

7. Solutions architecturales : la feuille de route Ethereum 2026

La Fondation Ethereum a répondu à la crise des approbations en institutionnalisant une feuille de route qui priorise l’expérience utilisateur et la sécurité native. Les priorités du protocole pour 2026 sont organisées en trois piliers : Mise à l’échelle, Amélioration de l’UX et Renforcement du L1.

EIP-7702 : le pont temporaire vers le smart contract

Introduit par Vitalik Buterin en 2024 et déployé dans la mise à jour Pectra, EIP-7702 permet à un EOA standard d’agir temporairement comme un smart contract pour la durée d’une seule transaction. Le mécanisme central est le type de transaction SetCode : un EOA crée une « liste d’autorisations » qui délègue son pouvoir d’exécution à un smart contract spécifique.

L’avantage clé pour la sécurité des approbations est le transaction batching. Un utilisateur peut regrouper une approbation de token et un swap en une seule action atomique. Comme l’approbation est accordée et consommée dans le même bloc, la fenêtre de temps pour qu’un attaquant exploite cette approbation est effectivement nulle.

Cependant, EIP-7702 introduit ses propres risques. Les analystes en sécurité ont signalé des « vulnérabilités des contrats délégués » et des « collisions de stockage » comme de nouvelles surfaces d’attaque qui émergent lorsque les EOA commencent à « emprunter » du code à des contrats externes. Pour une analyse plus approfondie de ces risques, consultez notre Rapport de sécurité crypto 2025–2026.

EIP-8141 et la mise à jour Hegota : la fin de l’ère du « portefeuille simple »

La mise à jour Hegota, prévue pour le S2 2026, est centrée sur EIP-8141 — une proposition « omnibus » qui vise à unifier les EOA et les comptes de smart contracts en un seul framework. Si elle est menée à bien, cela marque le début de l’ère des « Smart Accounts ». EIP-8141 introduit plusieurs fonctionnalités qui atténuent directement les risques d’approbation :

• Frame transactions : Cette architecture sépare l’approbation de signature de l’exécution. Un utilisateur signe un « cadre » spécifiant exactement ce qui peut se passer au sein d’une transaction, empêchant un contrat d’effectuer des appels supplémentaires non autorisés.
• Flexibilité du gas et transactions sponsorisées : Les utilisateurs peuvent payer les frais de gas en tokens ERC-20 ou faire sponsoriser le gas par la dApp elle-même. Cela supprime la « barrière du gas » qui empêche les utilisateurs de révoquer d’anciennes approbations parce qu’ils n’ont pas d’ETH dans leur portefeuille.
• Rails de sécurité programmables : Les smart accounts prendront en charge des exigences de multi-signature intégrées, des limites de retrait (par ex. « pas plus de 5 ETH par 24 heures ») et des mécanismes de récupération sociale dans le cadre du protocole de base.

8. La pile de sécurité 2026 : outils de révocation et pare-feux on-chain

À mesure que la complexité des attaques croît, les outils de gestion des approbations ont évolué, passant de simples sites de « révocation » à des tableaux de bord de sécurité complets et des pare-feux on-chain. Revoke.cash reste une pierre angulaire de la boîte à outils défensive, mais il fait désormais partie d’un écosystème plus large de plus de 56 outils de sécurité blockchain.

L’avancement le plus significatif a été l’intégration de l’« Active ASPM » (Application Security Posture Management) dans les flux de travail institutionnels. Des plateformes comme OX Security relient les problèmes de conteneurs au code source, garantissant que les clés privilégiées utilisées par les administrateurs de bridges ne sont pas exposées dans les pipelines CI/CD.

9. Réponse réglementaire : MiCA, ENS et la fin des « approbations illimitées » par conception

Pour les utilisateurs européens, les « risques cachés des token approvals » sont traités par une combinaison de mandats européens (MiCA) et de cadres de sécurité nationaux.

Mise en œuvre de MiCA : l’échéance de juin 2026

Le règlement sur les marchés de crypto-actifs (MiCA) a fondamentalement modifié les exigences opérationnelles pour les prestataires de services. L’Espagne est le seul État membre de l’UE à avoir prolongé sa période de « clause de grand-père » à 18 mois, ce qui signifie que les VASP enregistrés auprès de la Banque d’Espagne peuvent opérer jusqu’au 30 juin 2026 sans licence MiCA complète.

À l’approche de cette échéance, la CNMV applique de plus en plus les protections de niveau MiCA qui traitent directement les risques d’approbation :

• Ségrégation des actifs : Les prestataires de services ont l’interdiction stricte d’utiliser les actifs des clients pour leur propre compte — une réponse directe au modèle d’« approbation illimitée » où les plateformes avaient auparavant la capacité technique de déplacer les fonds des utilisateurs à volonté.
• Responsabilité en cas de piratage : Sous MiCA, les CASP sont responsables de la perte de crypto-actifs résultant de cyberattaques ou de défaillances opérationnelles, à moins qu’ils ne puissent prouver que l’incident était hors de leur contrôle. Cela oblige les prestataires à mettre en place des outils rigoureux de surveillance des approbations.
• Traçabilité (TFR) : Le règlement sur les transferts de fonds exige que les CASP collectent et vérifient les informations sur les donneurs d’ordre et les bénéficiaires, y compris les transferts impliquant des portefeuilles non-custodial.

ENS et NIS2 : la sécurité nationale rencontre l’autorisation numérique

L’Esquema Nacional de Seguridad (ENS), mis à jour par le décret royal 311/2022, s’applique désormais directement aux entreprises du secteur privé participant aux chaînes d’approvisionnement de l’administration publique. Les entreprises doivent traiter la sécurité comme un « processus intégral », incluant la gestion basée sur les risques de toutes les autorisations et identifiants numériques.

Le projet de transposition de NIS2 en droit espagnol rend les organes de direction (conseils d’administration) conjointement responsables des infractions en matière de cybersécurité. Les amendes pour les infractions « muy grave » (très graves) peuvent atteindre 2 000 000 €. Cette pression réglementaire entraîne un changement dans la manière dont les développeurs de dApps conçoivent leurs interfaces — l’ère des approbations illimitées par défaut touche à sa fin sur les marchés réglementés.

10. Bonnes pratiques institutionnelles pour la gestion de trésorerie

Pour les organisations gérant des trésoreries d’actifs numériques en 2026, la stratégie a dépassé le simple multisig. Les stratégies élites de gestion d’actifs numériques mesurent désormais le « Time-to-Isolate » — les minutes nécessaires pour geler les actifs à travers des bridges cross-chain complexes — plutôt que le simple volume total.

• Filtrer les transactions avant approbation : Déplacer la surveillance vers les étapes de « devis » et d’« approbation » plutôt que seulement après le règlement. Cela permet aux institutions de bloquer les flux frauduleux avant que la finalité ne soit atteinte on-chain.
• Taux de détection comportemental : Utiliser des heuristiques pilotées par l’IA pour signaler le routage rapide et complexe à travers les routeurs DEX et les bridges multiples — un indicateur à haut risque de blanchiment.
• L’endpoint comme infrastructure : Traiter les appareils des dirigeants ayant autorité de signature non pas comme de l’« informatique de bureau » mais comme une infrastructure critique de trésorerie. Les endpoints compromis de dirigeants ont été responsables de plusieurs drains massifs de trésorerie début 2026, dont l’incident Step Finance de 40 millions de dollars.

11. Votre checklist de sécurité des token approvals pour 2026

Que vous soyez un utilisateur DeFi individuel ou que vous gériez une trésorerie institutionnelle, voici les étapes concrètes pour réduire votre exposition aux approbations en 2026 :

12. L’avenir du consentement numérique

À mesure que nous avançons vers le second semestre 2026, les « risques cachés des token approvals » sont devenus un pilier central de la conversation mondiale sur la cybersécurité. L’ère des approbations illimitées, permanentes et invisibles est en train de prendre fin sous l’effet de trois forces convergentes :

1. Le virage architectural vers l’abstraction de compte native sur Ethereum (EIP-8141), qui remplace les permissions ouvertes par des frame transactions et des rails de sécurité programmables.
2. Le mandat réglementaire de MiCA, qui impose une responsabilité pour les pertes liées aux approbations et interdit le modèle d’« accès illimité » pour les prestataires de services.
3. La professionnalisation de l’industrie de la sécurité, avec les pare-feux on-chain, les simulateurs de transactions et les réseaux de surveillance devenant une infrastructure standard plutôt qu’un ajout optionnel.

Les données de 2025 et 2026 sont sans équivoque : les menaces les plus dangereuses ne sont plus dans le code, mais dans l’interface humaine. Bien qu’EIP-7702 et le transaction batching réduiront la fenêtre d’exposition, et que des outils comme Harpie fourniront un « pare-feu on-chain », la responsabilité ultime reste celle de l’utilisateur et de l’institution.

Selon les mots des chercheurs en sécurité, la phrase de récupération et la signature d’approbation restent des « points uniques de défaillance déguisés en auto-custody ».

Pour que l’écosystème prospère, la feuille de route 2026 doit être exécutée en se concentrant sur une conception de sécurité centrée sur l’humain — minimisant les frictions opérationnelles tout en maximisant l’adoption des contrôles. Que ce soit par des initiatives réglementaires régionales ou des mises à jour de protocole mondiales, l’objectif est le même : transformer les actifs numériques d’un outil de « dernier recours » en une infrastructure financière résiliente et fondamentale où l’autorisation est aussi sûre que la cryptographie qui la soutient.