📌 Fiche Synthèse / ELI5: imaginez un détective qui suit les traces sur une autoroute numérique où chaque transaction est une empreinte. Les « drainers » — ces contrats ou services qui vident les portefeuilles — laissent des indices dans les flux d’NFT et de tokens. Les outils de détection ambitionnent de distinguer ces traces du trafic légitime, mais leur fiabilité dépend de la qualité des données et de leur capacité à résister à des contournements techniques. Dans ce contexte, les solutions émergentes affirment des capacités de couverture cross-chain et d’alerte quasi instantanée, tout en affrontant des limites inhérentes à l’analyse on-chain et à l’évolution des tactiques des attaquants. (arxiv.org)
1. Contexte Macro & Métriques On-Chain
Les outils de détection de drainers s’inscrivent dans un paysage où des drainers ciblent des segments précis de l’écosystème Web3. Sur le seul registre NFT, les études montrent que des drainers ont été associés à des flux massifs d’actifs numériques et à des volumes importants nuls sur les marchés secondaires. Le cadre DRAINCLoG, qui analyse des données NFT et des comptes drainers identifiés, rapporte qu’en 2022 on a collecté 127,8 millions de transactions NFT réparties sur plus de 80 millions d’NFT, provenant de plus de 4,7 millions de comptes Ethereum, avec 1 135 drainers actifs identifiés via plusieurs canaux (Twitter, ScamSniffer, Etherscan, CryptoScamDB, Chainabuse). Ces chiffres, issus d’un travail publié dans NDSS (2024) sur les drainers NFT, illustrent l’ampleur du phénomène et la nécessité d’outils dédiés. (arxiv.org)Par ailleurs, une estimation historique citée par des analystes de la sécurité blockchain évoque plus de 100 millions de dollars d’NFT perdus dans le cadre de scénarios de phishing de drainers entre juillet 2021 et juillet 2022, soulignant l’urgence de mécanismes de détection précoces et fiables. Cette contextualisation historique permet de mesurer l’évolution des vecteurs et le rôle potentiel des détecteurs dans les flux de risques. (arxiv.org)
Des plateformes dédiées affichent aujourd’hui des capacités de détection « drainer » et autres menaces aux portefeuilles. Infinihash KYT, par exemple, déclare des capacités de screening en temps réel couvrant les drainer et d’autres signaux liés aux hack et à l’arnaque, avec un accès API rapide et une intégration dans les flux compliance. Cette approche démontre une tendance vers le routage des décisions de sécurité vers des couches opérationnelles et des workflows de sécurité, plutôt que vers des audits isolés. (kyt.infinihash.com)
Au niveau industriel, ChainAnalyzer met en avant une offre AML multi-chaînes avec une fonction « Drainer Detection » qui identifie des adresses drainers connues et exploite des bases de données internes (ScamDB) et des signalements communautaires. Cette approche montre que les outils de détection ne se limitent pas à un seul écosystème mais intègrent des contrôles transverses et des mécanismes d’alerte et d’investigation pour les équipes de conformité. (chain-analyzer.com)
2. Décodage & Nuance Technique
2.1 Approches techniques actuelles: Graph Neural Networks et labels
L’étude DRAINCLoG propose une approche robuste: elle exploite deux graphes complémentaires — NFT-User et User — et applique des Graph Neural Networks pour apprendre des représentations qui distinguent drainers des utilisateurs ordinaires. Le système s’appuie sur un jeu de données ambitieux: plus de 127 millions de transactions NFT et 1 135 drainers identifiés en 2022, collectés à partir de plusieurs canaux. Cette architecture permet de capturer à la fois les contextes transactionnels et les contextes sociaux autour des drainers, ce qui peut améliorer les taux de détection par rapport à des méthodes purement transactionnelles. Les résultats présentés indiquent que le modèle obtient des performances supérieures aux bases de référence, et les auteurs discutent des limites et des scénarios d’évasion possibles dans des analyses ultérieures. (arxiv.org)À côté, Infinihash KYT montre comment les signalisations drainer peuvent être intégrées dans une matrice plus large de risques, en associant des étiquettes « drainer » à des adresses et en croisant ces données avec une vingtaine d’autres sources (mixers, phishing, sanctions). Cette approche renforce l’idée que les détections efficaces reposent sur des pipelines multi-sources et multi-champs, et non sur une seule liste noire. Le service affiche notamment une catégorisation des risques et une API rapide pour alimenter les workflows internes. (kyt.infinihash.com)
2.2 Contraintes et limites: biais de données, évasion et coût
Les dispositifs de détection s’appuient fortement sur des bases de données publiques, des signaux historiques et des étiquetages communautaires, ce qui peut introduire des biais et limiter la généralisation vers les drainers émergents ou opérant sur des chaînes moins couvertes. ChainAnalyzer expose une architecture qui combine 76+ détecteurs et des capacités d’investigation, mais la fiabilité dépend de la qualité et de l’actualité des sources (ScamDB, signals de Travel Rule, honeypots, etc.). Le risque de faux positifs et de faux négatifs est discuté implicitement dans les architectures qui s’appuient sur des scores IA et des ensembles d’entraînement. En outre, les techniques d’évasion (par exemple, déplacements de hotspots, utilisation de nouvelles onion/peel chains) restent un défi connu pour les systèmes basés sur des graphes et des règles. (chain-analyzer.com)DRAINCLoG, pour sa part, insiste sur l’importance des tests de robustesse face à des attaques d’évasion et mentionne des analyses de vulnérabilités et des scénarios adverses dans le cadre de la généralisation des modèles. Cela souligne que la détection des drainers n’est pas une solution magique, mais une composante d’un écosystème de sécurité qui doit être régulièrement recalibrée et validée sur des jeux de données actualisés. (arxiv.org)