Wallets partagés : repérer les multi-comptes qui retirent leurs cryptos vers la même adresse
Une ferme peut falsifier ses appareils, ses IP et ses e-mails, mais l'argent doit bien atterrir quelque part sous son contrôle. Sur les sites de récompenses en crypto, cela se résume à une courte liste de wallets. Ce guide montre comment vous servir de l'adresse de paiement pour remonter jusqu'à la ferme cachée derrière une multitude de petits comptes.
Réponse courte
Comparez l'adresse de paiement de chaque retrait, une fois normalisée, avec les adresses de vos autres comptes : plusieurs comptes qui retirent vers une même adresse, ou vers un même e-mail FaucetPay, sont presque toujours une seule et même personne. Pour les adresses d'exchange avec un mémo ou un tag de destination, raisonnez sur le couple adresse + mémo, mettez les retraits partagés en attente d'examen et agissez sur l'ensemble du groupe.
- Signal le plus fort
- Deux comptes ou plus qui retirent vers le même wallet ou le même e-mail FaucetPay.
- Normaliser d'abord
- Supprimez les espaces, comparez sans tenir compte de la casse quand la blockchain le permet et normalisez les e-mails de paiement.
- Dépôts sur un exchange
- Une même adresse avec un mémo ou un tag différent appartient à des personnes différentes : comparez l'adresse et le mémo ensemble.
- Réaction équitable
- Mettez le retrait en attente, examinez le groupe et payez un seul compte s'il s'agit vraiment d'une famille.
Pourquoi le wallet trahit la ferme
Les faucets, les sites PTC et les applis de récompenses en crypto versent beaucoup de petites sommes à beaucoup de comptes. C'est exactement ce que cherche une ferme : des dizaines, voire des centaines de comptes, chacun réclamant de petites sommes, chacun ressemblant à un utilisateur normal. Les appareils peuvent être émulés, les IP louées et les e-mails générés par milliers.
Le paiement, c'est une autre histoire. Chaque compte doit envoyer son solde vers une adresse que contrôle l'exploitant de la ferme, et gérer des centaines de wallets demande du travail. La plupart des fermes retirent donc vers une poignée d'adresses, souvent une par moyen de paiement, et les réutilisent pendant des mois. Dès que vous comparez les adresses de paiement d'un compte à l'autre, la ferme se réduit à quelques groupes.
Ce qui compte comme une même adresse
Comparez les adresses après les avoir normalisées, sinon la moindre modification masquera la correspondance. Supprimez les espaces et les caractères invisibles, et adaptez la comparaison au moyen de paiement.
| Moyen de paiement | À comparer | Point de vigilance |
|---|---|---|
| Bitcoin, Litecoin et Dogecoin | L'adresse telle que saisie, sans espaces | Un même wallet peut générer de nouvelles adresses : les adresses partagées attrapent quand même les fermes paresseuses |
| Ethereum, BNB Chain, USDT sur les chaînes EVM | L'adresse hexadécimale en minuscules | Les majuscules du checksum changent l'apparence, pas l'adresse |
| USDT sur Tron (TRC20) | L'adresse telle que saisie | Les fermes font souvent retirer tous leurs comptes vers une seule adresse de dépôt d'exchange |
| TON, XRP, XLM, BNB avec mémo | L'adresse plus le mémo ou le tag de destination | Un exchange utilise une seule adresse pour des milliers de clients ; c'est le mémo qui les distingue |
| FaucetPay et autres microwallets | L'e-mail, normalisé | Les points et les alias « + » de Gmail (john.doe+2@gmail.com, c'est john.doe@gmail.com) |
| PayPal | L'e-mail, normalisé | Les mêmes alias que ci-dessus |
Si votre site accepte un mémo ou un tag, enregistrez l'adresse accompagnée de ce mémo ou tag, et comparez-les ensemble. Sinon, tous les clients d'un même exchange ressemblent à une seule personne : c'est le faux positif le plus courant quand on rapproche des wallets.
Les signaux qui accompagnent un wallet partagé
- Adresse de paiement partagée. Deux comptes ou plus de votre site retirent vers la même adresse normalisée. Plus il y a de comptes, plus le signal est fort.
- Compte récent, retrait rapide. Les comptes d'une ferme atteignent le minimum et retirent dès leur premier jour, puis s'arrêtent.
- Fréquence des retraits. De nombreux retraits vers la même adresse en quelques heures, depuis des comptes qui ne réclament chacun que de petites sommes.
- Même appareil ou même réseau. Les wallets partagés vont généralement de pair avec des appareils partagés ou un même petit ensemble d'IP, ce qui confirme le groupe.
- Des adresses qui reviennent. Les mêmes adresses réapparaissent sur de nouveaux comptes semaine après semaine, après que vous avez banni les anciens.
Aucun des signaux d'appareil ou de réseau n'est nécessaire pour agir sur un wallet partagé, mais réunis, ils vous indiquent la taille du groupe et les comptes à examiner en premier.
Vérifiez votre propre historique en cinq minutes
Une seule requête sur votre table de retraits suffit pour mesurer l'ampleur du problème sur votre site aujourd'hui. Regroupez les retraits payés des 90 derniers jours par adresse normalisée et comptez les comptes distincts derrière chacune.
SELECT LOWER(TRIM(payout_address)) AS address,
COUNT(DISTINCT user_id) AS accounts,
COUNT(*) AS cashouts,
SUM(amount) AS paid
FROM withdrawals
WHERE status = 'paid' AND created_at > NOW() - INTERVAL 90 DAY
GROUP BY address
HAVING accounts > 1
ORDER BY paid DESC
LIMIT 50;Adaptez les noms de table et de colonnes à votre script. Chaque ligne correspond à une adresse partagée par plusieurs comptes ; la colonne paid indique ce que ces comptes ont retiré. Sur la plupart des sites faucet et PTC, les premières lignes sont une poignée d'adresses partagées par des dizaines de comptes, qui cumulent une large part de l'ensemble des paiements.
Relancez la même requête sur votre colonne d'e-mail de paiement pour FaucetPay et PayPal, après avoir supprimé dans votre code les points et les alias « + » de Gmail, puis une nouvelle fois sur les 7 derniers jours seulement pour savoir si la ferme est encore active aujourd'hui.
Agir sans pénaliser les vrais utilisateurs
- Mettez en attente, ne refusez pas. Suspendez le retrait et conservez le solde. Vous pourrez toujours payer plus tard ; une fois la crypto envoyée, impossible de la récupérer.
- Examinez tout le groupe. Ouvrez chaque compte qui partage l'adresse, avec ses appareils, ses IP et sa date d'inscription. Une ferme se reconnaît à de nombreux comptes créés à peu d'intervalle, qui ont chacun retiré une seule fois.
- Laissez passer les vraies familles. Deux membres d'un même foyer partagent parfois un wallet. Si les comptes se comportent normalement et ont été créés à des dates éloignées, payez-en un et demandez à l'autre d'utiliser sa propre adresse.
- Bloquez l'adresse, pas seulement les comptes. Ajoutez l'adresse à votre liste noire pour que le prochain compte que le fraudeur crée avec elle soit mis en attente dès son premier retrait.
- Expliquez pourquoi. Un court message indiquant que l'adresse est déjà utilisée par un autre compte pousse les utilisateurs honnêtes à la corriger et fait comprendre aux fraudeurs que la porte est fermée.
Comment CashoutGuard automatise tout cela
Envoyez payout_address et payout_method à /v1/evaluate avec chaque événement cashout. CashoutGuard normalise l'adresse (espaces supprimés, passage en minuscules, points et alias « + » de Gmail ramenés à l'adresse de base pour les e-mails) et n'en conserve qu'un hash, propre à votre site. Dès qu'un deuxième compte utilise la même adresse, le retrait reçoit payout_address_shared avec le nombre de comptes, et les comptes liés apparaissent dans la vue Réseaux de fraude.
Quand vos utilisateurs retirent vers un exchange, envoyez l'adresse et le mémo ensemble dans payout_address, pour que des clients différents d'un même exchange ne se confondent jamais. Les nouveaux sites démarrent en mode shadow, et en mode Enforce, vous pouvez choisir de ne mettre en attente que les retraits, sans jamais bannir l'utilisateur. Consultez la page intégrations pour le code et la checklist des retraits pour les autres contrôles.