Révoquer tes approvals Ethereum : pourquoi c’est urgent
Si tu utilises ton wallet Ethereum depuis plus de six mois sur Uniswap, OpenSea ou des DEX de L2, tu as signé des dizaines d’approvals — parfois illimitées. Chaque approval donne à un smart contract la permission de dépenser un token à ta place. Si ce contrat est compromis, ton token peut être vidé sans confirmation. Révoquer ces permissions prend 5 minutes et te protège d’un des vecteurs d’attaque les plus fréquents en 2026.
Points clés
- Une approval illimitée = permission permanente pour un contrat de dépenser ton token jusqu’à ce que tu la révoques.
- Revoke.cash est l’outil gratuit de référence, utilisé par 4,2 M wallets cumulés (source Revoke.cash).
- Le coût moyen d’une révocation : 2 à 8 $ de gas Ethereum L1, quelques centimes sur Arbitrum / Base.
- À faire tous les 3 mois minimum, ou après chaque usage d’un protocole que tu n’utiliseras plus.
Ce que tu sauras faire à la fin de ce guide
Identifier tous les approvals actifs sur ton wallet Ethereum (et tes wallets L2), repérer les approvals illimitées à risque, et les révoquer en 5 minutes avec Revoke.cash. Tu sauras aussi le faire manuellement via Etherscan si tu préfères ne pas utiliser d’outil tiers.
Prérequis
- Un wallet Ethereum (MetaMask, Rabby, Frame, Ledger Live).
- 3 à 10 $ de ETH sur Ethereum L1 pour payer le gas (ou quelques cents sur Arbitrum/Base/Optimism).
- 5 minutes sans distraction (éteins Discord et Twitter, sérieux).
Étape 1 : Scanner tes approvals actuels
Ouvre revoke.cash dans ton navigateur. Clique Connect Wallet en haut à droite. Sélectionne MetaMask ou l’option hardware wallet si tu utilises un Ledger via MetaMask ou Rabby.
Une fois connecté, sélectionne la chaîne à scanner dans le menu déroulant (Ethereum par défaut). Revoke.cash liste alors tous tes approvals actifs, avec trois colonnes importantes : Contract, Approved amount, Last used.
Tu verras probablement une liste plus longue que prévu. C’est normal : chaque swap Uniswap, chaque mint NFT, chaque dépôt Aave a laissé une trace.
Étape 2 : Identifier les approvals à risque
Trois catégories à révoquer en priorité :
- Les approvals illimitées (colonne Approved amount = « Unlimited » ou 2^256-1). Ce sont les plus dangereuses.
- Les approvals sur des contrats que tu n’utilises plus (Last used > 90 jours). Un protocole inactif a plus de chances d’être abandonné et donc vulnérable.
- Les approvals sur des tokens de valeur (USDC, USDT, WETH, WBTC). Plus le token est liquide, plus l’incitation à l’exploit est forte.
Ignore les approvals < 10 $ sur des tokens obscurs si le gas coûte plus cher que le risque. Priorise les gros montants sur des contrats anciens.
Étape 3 : Révoquer une approval unique
Clique le bouton Revoke à droite de la ligne concernée. MetaMask ouvre une fenêtre de confirmation. Vérifie trois choses avant de signer :
- L’adresse du contrat appelé est
0x000000000022D473030F116dDEE9F6B43aC78BA3(contrat Permit2 de Uniswap) ou celle du token directement pour les révocations standard. - La fonction appelée est
approve(spender, 0): tu remets la permission à zéro. - Le gas estimé est raisonnable (moins de 10 $ sur L1, quelques cents sur L2).
Clique Confirm. La transaction est incluse sous 1 à 3 blocs (15 à 45 secondes). Revoke.cash rafraîchit la liste automatiquement.
Étape 4 : Révoquer en batch pour économiser du gas
Si tu as 10 approvals à révoquer, faire 10 transactions coûterait 20 à 80 $ sur Ethereum L1. Revoke.cash propose un mode Batch Revoke pour Ethereum, Arbitrum, Optimism, Base et Polygon.
Sélectionne les approvals à révoquer avec les checkboxes. Clique Revoke Selected. Une transaction multicall est générée, regroupant toutes les révocations en un seul appel. Économie typique : 40 à 60 % du gas versus les transactions individuelles.
Attention : le batch revoke utilise le contrat MulticallV3 de Uniswap. Si tu préfères la vérification manuelle, reste sur le mode transaction-par-transaction.
Étape 5 : Répéter sur chaque chaîne active
Change la chaîne dans le menu déroulant de Revoke.cash et répète les étapes 1 à 4 pour :
- Arbitrum One
- Optimism
- Base
- Polygon PoS
- BNB Smart Chain (si tu as utilisé PancakeSwap)
- Linea, Scroll, Blast (L2 plus récentes où tu as potentiellement testé)
Les approvals sur L2 coûtent des centimes à révoquer. Profites-en pour nettoyer large.
Comprendre Permit2 : le nouveau standard Uniswap à surveiller
Depuis 2023, Uniswap utilise le contrat Permit2 pour batcher les approvals de multiples tokens en une seule signature. L’idée est élégante : tu approuves Permit2 une seule fois par token, puis Uniswap utilise Permit2 pour dépenser tes tokens.
Problème : si tu as signé une approval Permit2 illimitée et avec une deadline lointaine, et qu’une vulnérabilité est découverte dans Permit2 (ou dans un contrat Uniswap l’utilisant), ta position est exposée bien au-delà du swap initial. Revoke.cash affiche désormais un onglet Permit2 Allowances séparé pour auditer ces permissions spécifiquement.
Conseil pratique : quand Uniswap te propose de signer un Permit2 avec « Expires in 30 days », accepte. Jamais l’option « Never expires » sauf si tu es market maker. La différence pour l’utilisateur final est nulle, le gain de sécurité est significatif.
Les 5 contrats à prioriser dans ta révocation
D’après les rapports de Chainalysis et Scam Sniffer, voici les 5 catégories d’approvals les plus exploitées en 2025-2026 :
- Anciens DEX aggregators (1inch v3/v4 obsolètes, ParaSwap v4). Quand la version est deprecated, les audits s’arrêtent.
- Bridges cross-chain inactifs. Harmony, Multichain, Ronin : l’historique des hacks est massif. Si tu as un approval > 1 an sur un bridge, révoque.
- Airdrops farming sites obscurs qui demandaient un approval pour « vérifier l’éligibilité ». 90 % sont des phishers.
- Vieux NFT marketplaces : LooksRare v1, X2Y2 early contracts, SeaPort avant Conduit 2.0.
- Tokens memecoins douteux : parfois les contrats memecoin embarquent un approval sur tous les tokens du wallet via des hooks malicieux.
Timing : quand faire le ménage
Trois moments idéaux pour une révocation en masse. Un, après un hack médiatique (hack Multichain, hack Chainflip) : les attaquants scannent systématiquement les approvals des wallets actifs. Deux, avant un bull run : quand l’activité DeFi explose, les attaques augmentent proportionnellement. Trois, en début d’année fiscale : si tu fais le bilan de tes positions, autant en profiter pour révoquer.
Évite de révoquer pendant les pics de gas (FOMC days, airdrops massifs). Attends que le gas redescende sous 25 gwei.
Cas pratique : un wallet de 2 ans audité en direct
Pour illustrer, voici un audit réel d’un wallet MetaMask créé en 2023, 180 transactions cumulées, exposition principale : Arbitrum et Base. Le scan Revoke.cash a remonté 34 approvals actives :
- 12 approvals illimitées Uniswap Permit2 sur divers tokens (USDC, WETH, ARB, OP, pendants).
- 8 approvals illimitées sur des DEX aggregators (1inch v5, Paraswap Delta).
- 5 approvals sur bridges (Stargate, Across, Synapse). Deux des bridges inactifs depuis 9 mois.
- 6 approvals NFT sur OpenSea Seaport et Blur Aggregator.
- 3 approvals sur protocoles abandonnés (Pendle v1, vieux contrats Stargate).
Stratégie de révocation adoptée : les 12 Permit2 ont été réduites à montant fini via Uniswap interface directement, plutôt que révoquées (besoin fonctionnel). Les 8 DEX aggregators ont été batchés en 2 transactions multicall sur Arbitrum (coût total : 4 $). Les 3 protocoles abandonnés révoqués en priorité, coût 1,20 $ sur Base. Les 5 bridges révoqués un par un car Permit2 n’est pas supporté partout (coût total 3,50 $). Les 6 NFT approvals conservées (usage actif).
Résultat après 45 minutes de travail : 18 approvals révoquées, 14 maintenues intentionnellement, 2 réduites à montant fini. Gas total dépensé : 8,70 $. Exposition résiduelle réduite d’environ 65 % selon l’estimateur Rabby.
Outils alternatifs à Revoke.cash
Trois alternatives qui peuvent avoir un intérêt selon ton profil :
- DeBank Approvals Tool : interface plus visuelle, intègre des scores de risque par contrat. Pratique pour les utilisateurs multi-chain avec plus de 10 wallets.
- Rabby wallet intégré : affiche les approvals directement dans l’interface du wallet, révocation en 2 clics. Idéal pour ceux qui ont migré de MetaMask vers Rabby.
- Zapper Allowances : inclus dans le dashboard Zapper Premium. Révocation en batch avec gas optimization automatique.
Revoke.cash reste le plus simple pour un usage ponctuel. Les autres outils se justifient si tu gères des actifs importants ou fais beaucoup de DeFi.
Alternative : révocation manuelle via Etherscan
Si tu préfères ne pas connecter ton wallet à un outil tiers, voici la méthode manuelle. Va sur Etherscan, ouvre ton adresse, onglet Token Approvals. La liste s’affiche avec un bouton Revoke à droite de chaque ligne. Clique, connecte ton wallet à Etherscan uniquement pour la transaction de révocation, confirme. Même résultat, interface plus sèche.
Étherscan a ajouté cette fonction native en août 2024, avant c’était réservé aux outils tiers comme Revoke.cash ou DeBank.
Astuces pro
- Mets une alerte calendrier tous les 3 mois pour re-scanner tes approvals. 5 minutes trimestrielles, c’est peu.
- Utilise Rabby wallet : il affiche le risque d’une approval avant signature (montant illimité, contrat peu utilisé, etc.). Meilleure UX que MetaMask pour les power users.
- Pour les NFT, pense à révoquer aussi les approvals OpenSea (SeaPort Conduit) si tu ne vends plus.
- Wallet compromis : si tu suspectes une fuite de seed phrase, NE révoque RIEN. Transfère immédiatement tes actifs vers un nouveau wallet frais, puis révoque depuis l’ancien si le gas est couvert.
Erreurs courantes à éviter
- Accepter une approval illimitée « pour gagner du temps » : toujours cliquer Edit spending cap dans MetaMask et fixer le montant exact.
- Révoquer via un site suspect : tape toujours
revoke.cashdirectement dans l’URL, jamais via un lien Telegram ou Discord. Les phishers copient l’interface pour voler tes approvals. - Ignorer les wallets hot anciens : si tu as un wallet MetaMask de 2020 que tu n’utilises plus, scanne-le quand même, les fonds résiduels peuvent disparaître si tu laisses des approvals ouvertes.
- Oublier les permits EIP-2612 : certains tokens (USDC, DAI) supportent des permits off-chain qui expirent. Revoke.cash affiche aussi ces permits dans un onglet dédié.
Récap actionable
- Va sur revoke.cash et connecte ton wallet.
- Scan chaque chaîne où tu as été actif.
- Priorise les approvals illimitées sur tokens de valeur.
- Révoque en batch si > 5 approvals.
- Programme un rappel trimestriel.
5 minutes de maintenance = des milliers de dollars potentiels préservés. C’est le meilleur ROI sécurité que tu peux faire aujourd’hui.
Bonus : automatiser la revue trimestrielle
Pour les utilisateurs power users, trois approches pour automatiser partiellement le suivi. Un, un script Dune Analytics qui liste toutes tes approvals par chaîne avec alerte Telegram si une nouvelle approval illimitée apparaît. Deux, l’extension Wallet Guard (gratuite, open source), qui affiche un warning rouge dès qu’un contrat demande une approval illimitée. Trois, pour les trésoreries DAO, un hook Safe Transaction Builder qui révoque automatiquement les approvals inactives depuis 90 jours.
Ces automatisations ne remplacent pas la révision manuelle trimestrielle, mais elles réduisent la charge mentale et limitent les oublis. Le coût est nul pour les deux premières, quelques heures de setup initial pour la troisième.
FAQ
Est-ce que je peux récupérer des tokens déjà volés via une approval ?
Non, malheureusement. Une fois que le contrat malveillant a dépensé tes tokens, la transaction est finale. Révoquer ne sert qu’à empêcher les futures pertes, pas à récupérer les pertes passées.
Pourquoi le gas coûte parfois très cher pour révoquer ?
Parce que révoquer est une transaction on-chain standard qui consomme environ 45 000 unités de gas. En période de congestion (gas à 80 gwei+), cela peut monter à 5-10 $ sur L1. Attends une fenêtre basse (nuit européenne, week-end) pour révoquer en masse.
Mon hardware wallet Ledger est-il compatible avec Revoke.cash ?
Oui, via MetaMask ou Rabby en mode hardware wallet. Tu signeras chaque révocation sur ton Ledger comme une transaction classique.
Y a-t-il un risque à connecter mon wallet à Revoke.cash ?
Minime. Revoke.cash ne peut rien faire sans que tu signes une transaction. La signature ne transfère jamais de tokens. Vérifie toujours que tu es bien sur revoke.cash (pas revoke-cash.com ou une variante).
Dois-je révoquer avant de transférer mon wallet sur un hardware wallet ?
Oui, c’est le moment idéal pour faire le ménage. Profite du changement d’infrastructure pour ne transférer que les tokens dont tu as besoin et révoquer toutes les approvals avant migration. Tu arrives sur ton nouveau wallet hardware avec une surface d’attaque minimale.
Pour continuer ton hygiène sécurité, lire Repérer un scam crypto en 2026 : 10 signaux d’alerte et Seed phrase : 5 méthodes de sauvegarde ultimes en 2026.
