Qu’est-ce que le blind signing et quel est son impact sur la sécurité de vos cryptos ?
Avec la montée en complexité des smart contracts, ou contrats intelligents, les portefeuilles crypto peinent de plus en plus à déchiffrer leur contenu, obligeant les utilisateurs à signer des transactions sans en connaître les détails. Cette pratique, appelée blind signing, ou signature à l’aveugle, devient peu à peu la norme du secteur des cryptomonnaies au détriment de la sécurité des investisseurs. Découvrez ce qu’est le blind signing et son impact sur la sécurité de vos cryptomonnaies.
Modifié le 26 mars 2025.
5 minutes de lecture
C’est quoi le blind signing ?
Dans le monde des cryptomonnaies, le blind signing, ou signature à l’aveugle, est le fait de signer une transaction depuis son portefeuille sans en connaître la totalité de son contenu.
Cette pratique est particulièrement fréquente dans le cadre de transactions impliquant des smart contracts, des programmes informatiques autonomes dont l’exécution ne nécessite pas l’intervention d’un tiers de confiance.
Les smarts contracts régissent aujourd’hui la majorité des blockchains et sont omniprésents dans les interactions des utilisateurs.
Cependant, l’évolution constante des applications décentralisées (DApp) complexifie sans cesse leur code, les rendant de plus en plus difficiles à être interprété par les wallets.
Les portefeuilles crypto, ou wallets (les entités chargées d’accompagner les utilisateurs dans leur activité on-chain), ont pour rôle de déchiffrer ces smart contracts lors de leur utilisation afin de protéger les utilisateurs. Ainsi, lorsque vous souhaitez interagir avec l’un d’eux, votre wallet vous informe du contenu de celui-ci et de ce que vous vous apprêtez à approuver.
En revanche, avec la complexité grandissante des smart contracts, les portefeuilles crypto peinent à déchiffrer ce qu’ils contiennent, vous obligeant à approuver une opération dont vous ne connaissez pas les termes. Voici un exemple mettant en valeur les différences entre une signature à l’aveugle et une signature en clair.
Exemple de signature à l’aveugle (gauche) et de signature en clair (droite) sur le wallet Rabby
À gauche, voici l’exemple d’une signature à l’aveugle. Le type de signature demandé est affiché en tant que « Unknown » et très peu d’informations sont indiquées sur les actions du smart contract excepté le type d’opération, « deposit », qui correspond simplement au nom de la fonction appelée (son contenu peut être tout autre). À l’inverse, dans l’exemple de la signature en clair à droite, les termes du smart contract sont explicites et détaillés.
Le blind signing, bien que présentant des risques pour les utilisateurs, n’est pas nécessairement synonyme d’arnaque, mais est simplement la conséquence d’une incapacité de votre portefeuille crypto à déceler les informations des smart contracts. En effet, le recours aux signatures à l’aveugle est fréquent lors d'interactions avec des DApp.
Si vous êtes adepte de la finance décentralisée (DeFi), vous avez probablement déjà signé un contrat à l’aveugle, sans pour autant subir une arnaque.
Ledger : la meilleure solution pour protéger vos cryptomonnaies 🔒Quel est le danger du blind signing ?
La pratique de la signature à l’aveugle présente une source de danger non négligeable pour les utilisateurs d’un portefeuille crypto. En effet, dans le monde réel, un contrat est un document explicitant les termes selon lesquels deux parties s'engagent. Signer un contrat vous oblige à respecter ses termes.
Le même principe s’applique dans le monde des cryptomonnaies. Lorsque vous signez une transaction depuis votre wallet crypto pour interagir avec un smart contract, vous vous engagez à respecter ce que le smart contract stipule. Et si vous ne pouvez pas lire ce que le smart contract stipule, comment être totalement sûr que celui-ci n’est pas malicieux ? La réponse est simple, vous ne pouvez pas.
Par conséquent, lorsque que vous signez à l’aveugle une interaction avec un smart contract, la sécurité de vos cryptomonnaies repose en quelque sorte sur la confiance que vous avez en l’entité qui vous le propose.
Les hackers considèrent les signatures à l’aveugle comme une faille exploitable. En effet, ceux-ci créent des smart contracts malicieux avec lesquels ils tentent de vous faire interagir sans que vous ne puissiez vérifier leur contenu, pouvant résulter en une perte totale de vos cryptos. Il est donc important d’adopter de bonnes pratiques pour se prémunir contre ce type d’arnaque.
L'exemple du hack de 1,5 milliard de dollars ByBit
Le 21 février 2024, la plateforme crypto ByBit a subi un hack de près de 1,5 milliard de dollars par une attaque impliquant une signature à l’aveugle. Grâce à des techniques d'ingénierie sociale, les attaquants ont réussi à modifier le front-end du wallet multisignature Safe{Wallet} utilisé par ByBit.
Ainsi, l’affichage de la transaction à l’origine du hack paraissait légitime sur l’interface Web du portefeuille, tandis que le véritable contenu de la transaction était envoyé sur les portefeuilles matériels des signataires de ByBit.
Pensant qu’il s’agissait d’une transaction légitime, ceux-ci ont signé la transaction sur leur portefeuille matériel sans en connaître le contenu réel, ce qui a mené à la perte de 1,5 milliard de dollars en ETH.
Ledger : la meilleure solution pour protéger vos cryptomonnaies 🔒Comment se prémunir contre les arnaques au blind signing ?
Selon les spécialistes de la sécurité on-chain de PeckShield, près de 3 milliards de dollars en cryptos ont été dérobés par des hackers en 2024. Il est donc essentiel de se prémunir contre toute faille potentielle, y compris le blind signing.
Afin de vous prémunir des arnaques au blind signing, il est recommandé de suivre les points suivants :
- Lisez les termes du smart contract. Avant de signer une transaction, lisez systématiquement ses détails pour connaître les actions que le smart contract va effectuer, et vérifiez qu’elles correspondent avec ce que vous souhaitez faire (swap, staking, etc). Par exemple, dans le cas d’une transaction sur un bridge de cryptomonnaies, vérifiez que l’adresse de destination de vos cryptos est bien celle que vous avez demandé et qu’elle n’a pas été modifiée par le smart contract (ce qui peut arriver en cas d’un hack du bridge) ;
- Détectez si vous faites face à une signature à l’aveugle. Les wallets tentent par défaut de vous fournir les détails du smart contract avec lequel vous interagissez. Si votre wallet n’explicite pas les détails de l’interaction avec le smart contract, alors vous vous apprêtez à effectuer une signature à l’aveugle ! ;
- Interagissez uniquement avec des protocoles reconnus. Si vous êtes amené à devoir signer à l’aveugle, vérifiez que vous êtes sur un protocole populaire et suffisamment utilisé pour que vous puissiez avoir confiance en ses smart contracts ;
- Utilisez des portefeuilles crypto qui vous protègent. Les portefeuilles matériels Ledger désactivent par défaut le blind signing. En complément, certains wallets pour navigateur comme Rabby vous alertent automatiquement sur la popularité des smart contracts avec lesquels vous tentez d'interagir.
Évidemment, cette liste est non-exhaustive et ne concerne que les arnaques liées aux signatures à l’aveugle. Pour approfondir le sujet de la sécurité dans l’écosystème des cryptomonnaies, n'hésitez pas à consulter notre guide des 7 bonnes pratiques à suivre pour protéger son portefeuille crypto.
Faut-il s’inquiéter de la banalisation du blind signing ?
La pratique du blind signing est de plus en plus répandue dans l’écosystème crypto, mettant à risque la sécurité des fonds des utilisateurs. Pour autant, sa banalisation ne fait pas l’objet de controverses.
En effet, aujourd’hui, la plupart des portefeuilles crypto n’indiquent pas explicitement lorsqu'une transaction implique une signature à l’aveugle, et la majorité des investisseurs ne vérifient pas en détail leurs transactions avant de les signer. Ceci explique que la pratique du blind signing passe la plupart du temps inaperçue aux yeux de l'utilisateur.
Malgré tout, les signatures à l’aveugle imposent à l’utilisateur de faire confiance en l’émetteur du smart contract, ce qui va à l’encontre des valeurs proposées par la blockchain. En effet, un célèbre dicton au sein de l’écosystème crypto l’exprime parfaitement : « Don’t trust, verify », ou « ne faites pas confiance, vérifiez ». Autrement dit, l’utilisateur devrait toujours avoir la possibilité de vérifier, y compris lorsqu’il s’agit du contenu des transactions qu’il s’apprête à signer.
Recevez un récapitulatif de l'actualité crypto chaque jour par mail 👌
Certains liens présents dans cet article peuvent être affiliés. Cela signifie que si vous achetez un produit ou que vous vous inscrivez sur un site depuis cet article, notre partenaire nous reverse une commission.
Les investissements dans les crypto-monnaies sont risqués. Il n’existe pas de rendement élevé garanti, un produit présentant un potentiel de rendement élevé implique un risque élevé. Cette prise de risque doit être en adéquation avec votre projet, votre horizon de placement et votre capacité à perdre une partie de cette épargne. N’investissez pas si vous n’êtes pas prêt à perdre tout ou partie de votre capital
Issu d'études en informatique et passionné par l'univers du Web 3 depuis 2020, je mets en commun mes compétences pour vulgariser des concepts techniques et aider les lecteurs à mieux comprendre la blockchain et son écosystème.
Tom Picaud
20 articles
