Accueil › Guides › Anti-arnaque
À lire avant de récupérer : comment éviter les signatures malveillantes et les arnaques à l'autorisation
Beaucoup pensent : « Je n'ai donné ma phrase de récupération ni ma clé privée à personne, donc mon portefeuille est sûr. » Cette idée a un angle mort, et c'est précisément là que le plus de gens tombent. Dans le monde décentralisé, vous n'avez pas à remettre vos clés : il suffit d'appuyer une fois sur « confirmer » dans une fenêtre conçue par un site malveillant pour qu'on puisse légalement déplacer vos cryptos. Ce n'est pas de la haute technique de pirate, c'est vous qui avez « autorisé de votre main ». L'académie officielle de Binance place d'ailleurs cela parmi les points clés de la sécurité d'un portefeuille dans son explication des autorisations de jetons et de leur révocation.
Récupérer un airdrop, faire de la DeFi, interagir avec n'importe quel contrat intelligent — tout cela passe presque toujours par les deux gestes que sont la signature et l'autorisation. Comprenez-les, sachez lequel exige une vigilance particulière, et vous pourrez crier stop avant d'appuyer sur confirmer. Cet article met tout cela au clair depuis le début.
Sans avoir donné de clé privée, comment se fait-on quand même vider
Posons d'abord une notion clé : sur une blockchain, « disposer de vos actifs » emprunte deux voies. L'une, c'est vous qui lancez un transfert ; l'autre, c'est que vous autorisez un contrat intelligent à « pouvoir ensuite disposer d'un type de jeton à votre place ». Cette seconde voie est précisément le socle du fonctionnement de la DeFi : vous autorisez le contrat d'une plateforme d'échange à disposer de vos USDT pour qu'il puisse échanger vos cryptos ; mais les malfaiteurs empruntent la même voie : il leur suffit de vous arracher une seule autorisation pour déplacer vos cryptos à votre insu.
Le point essentiel, donc : se faire voler ne vient pas forcément d'une clé divulguée, mais souvent d'un « mauvais quelque chose signé ». Vos clés sont toujours entre vos mains, mais le permis d'autorisation que vous avez émis a donné à l'autre partie le droit de disposer de vos actifs.
Une comparaison rend ça plus clair. La clé privée, c'est comme la clé de votre maison : la donner, c'est perdre la maison entière. Une autorisation ressemble plutôt à une procuration signée, autorisant quelqu'un à « pouvoir ensuite entrer dans une de vos pièces pour y prendre des affaires ». Vous croyez signer « que le système m'aide à récupérer l'airdrop », alors que vous signez en réalité « j'autorise cet inconnu à venir prendre ce type de jeton chez moi quand il veut ». Vous gardez la clé en main, mais une procuration confiée à la mauvaise personne donne le même résultat désastreux. C'est pourquoi tant de victimes restent perplexes après coup : « Je n'ai pourtant donné mon mot de passe à personne ! » — le problème n'est pas le mot de passe, c'est cette procuration que vous avez signée de votre main.
Signature et autorisation : quelle différence exactement
La fenêtre qui surgit dans le portefeuille se range grossièrement en deux grandes catégories, au niveau de danger très différent :
| Type | Ce qu'il fait | Risque |
|---|---|---|
| Signature de message (signature / sign message) | Le plus souvent une connexion, la preuve que vous êtes le propriétaire de cette adresse ; ne touche pas directement aux actifs on-chain, et ne coûte en général pas de gas | Globalement plus faible, mais avec une exception, la « signature d'autorisation hors ligne », voir l'avertissement ci-dessous |
| Transaction d'autorisation (approve / transaction) | Approuve qu'un contrat « puisse disposer d'un de vos jetons », ou envoie directement une transaction ; coûte du gas | Élevé. L'approve malveillant est la technique de vol la plus courante |
Ce dont il faut le plus se méfier, c'est l'approve (autorisation). Quand la fenêtre affiche « autoriser tel contrat à utiliser vos USDT / USDC / tel jeton » avec un plafond « sans limite (unlimited) », vous venez de signer un chèque en blanc. Avec cette autorisation en main, l'autre partie peut transférer la totalité de ce jeton quand bon lui semble. Pour mieux comprendre le mécanisme et les risques de l'autorisation de jetons (token approval), la page sécurité officielle d'ethereum.org propose une synthèse accessible.
Comment un approve malveillant déplace vos cryptos
Décortiquons le scénario complet, et vous comprendrez pourquoi tant de prudence :
- Un faux airdrop ou un faux site vous attire, vous connectez le portefeuille (cette étape ne pose pas encore problème).
- Le site fait apparaître une fenêtre dont l'interface affiche « récupérer l'airdrop » ou « vérifier l'éligibilité », mais dont le contenu réel est un approve d'un contrat qu'il contrôle, pour disposer d'un de vos jetons, sans plafond.
- Vous validez sans regarder en détail et payez le gas. En apparence, « il ne s'est rien passé », et vous croyez peut-être que l'airdrop n'a pas abouti.
- Mais l'autre partie détient désormais l'autorisation. Elle peut, tout de suite ou quelques jours plus tard quand vous aurez oublié, appeler ce contrat pour transférer vos cryptos d'un coup.
Le perfide est à la troisième étape : sur le moment, votre solde n'a pas baissé, aucune sensation de vol, presque personne ne s'en aperçoit, et quand les cryptos disparaissent vraiment, c'est en général déjà après coup. C'est aussi pourquoi « vérifier et reprendre régulièrement les autorisations » est si important — on y revient plus loin.
Il y a encore plus retors : certaines attaques n'agissent pas tout de suite, mais « élèvent » d'abord votre autorisation, attendant que votre portefeuille atteigne un certain montant ou que vous ayez complètement oublié l'affaire, pour tout vider en une fois. À l'instant où vous autorisez, c'est comme installer sur vous un interrupteur que l'autre peut actionner à tout moment. Voilà pourquoi « ne pas autoriser n'importe quoi sans raison, et nettoyer régulièrement les autorisations » est un fondamental de la sécurité d'un portefeuille.
Décryptage des deux scénarios d'arnaque les plus courants
Le principe posé, voici les deux scénarios les plus fréquents en pratique, pour que vous les reconnaissiez ensuite.
Scénario 1 : l'« approve sans plafond » de la page de récupération d'un faux airdrop. Vous voyez sur les réseaux qu'un projet distribue un airdrop, cliquez sur un site qui paraît très officiel, connectez le portefeuille, appuyez sur « Claim (récupérer) ». Le portefeuille fait surgir une fenêtre — vous croyez récupérer des jetons, mais le contenu réel est un approve, autorisant le contrat derrière le site à « disposer d'un de vos jetons, sans plafond ». Vous validez sans regarder en détail, payez un peu de gas, l'écran affiche « réussi », mais vous « n'avez reçu aucun airdrop », et vous pensez que le projet ne l'a pas encore distribué. En réalité, vous venez de céder le droit de retrait de ce jeton ; quelques jours plus tard, alors que vous avez oublié, une seule commande de l'autre partie vide vos cryptos. La clé pour démasquer : récupérer un airdrop n'exige normalement que de signer un message pour vérifier l'adresse, pas un approve pour disposer de jetons ; dès que vous voyez un approve, dès que vous voyez « disposer de vos USDT/USDC », arrêtez-vous.
Scénario 2 : le piège de la « signature hors ligne » Permit / Permit2. Plus sournois encore, et même sans gas à payer. Le site d'hameçonnage vous demande de « signer pour vérifier », la fenêtre affiche une signature (signature) et non une transaction, et vous vous dites « signer ne coûte rien » et vous signez. Mais il existe une norme appelée Permit, Permit2, qui permet, par une signature hors ligne, d'autoriser l'autre partie à disposer de vos jetons — ce bout de papier d'apparence inoffensive est, par nature, une procuration. Il ne va pas on-chain, ne coûte pas de gas, et ne laisse même aucune trace consultable sur un explorateur de blocs sur le moment ; ce n'est que lorsque l'autre partie exécute votre signature on-chain que les cryptos disparaissent. La clé pour démasquer : que la fenêtre s'intitule « signature » ou « autorisation », dès qu'il est question d'autoriser une adresse à disposer d'un de vos jetons, ou que paraissent les mots Permit, plafond, etc., traitez ça comme à haut risque ; ne pas comprendre et être pressé de signer est, en soi, un signal.
Le point commun des deux scénarios : vous « croyez » faire une chose inoffensive, alors que vous cédez en réalité le droit de retrait de vos actifs. Le critère de jugement reste toujours le contenu réel de la fenêtre.
Comprendre la fenêtre qui surgit dans votre portefeuille
Ne validez plus par réflexe. Quand la fenêtre surgit, prenez dix secondes pour ces quelques vérifications :
- Est-ce une signature de message ou une transaction d'autorisation ? Récupérer un airdrop ne demande en général qu'une signature de message ; dès que vous voyez un approve, dès qu'on veut vous faire autoriser la disposition d'un de vos jetons, arrêtez-vous.
- Quel est le plafond de l'autorisation ? Sans limite (unlimited / une longue suite de chiffres très grande) est le plus dangereux. Même s'il faut vraiment autoriser, privilégiez « n'autoriser que le montant nécessaire cette fois-ci ».
- Quelle est l'adresse du contrat en face ? Collez cette adresse dans Etherscan ou BscScan pour vérifier si elle est déjà vérifiée, si elle n'a pas une foule d'enregistrements suspects.
- L'URL est-elle correcte ? Beaucoup d'autorisations malveillantes ont pour origine un site d'hameçonnage. Vérifiez le nom de domaine avant d'entrer, en suivant les habitudes de la vérification d'adresse de portefeuille.
- Vous ne comprenez pas ? Annulez. C'est le plus utile. Ne pas comprendre et être pressé de valider est en soi un signal de danger. MetaMask propose aussi une notice d'utilisation sûre qui vaut la lecture.
Les versions récentes des portefeuilles vous signalent en général « ceci est une transaction d'autorisation » ou avertissent sur un site suspect, mais l'outil n'est qu'une aide : c'est vous qui appuyez sur confirmer à la fin. Gardez le pouvoir de décision entre vos mains.
Révoquer régulièrement pour reprendre les vieilles autorisations
Même très prudent, dès que vous avez fait de la DeFi ou récupéré des airdrops, votre portefeuille a sans doute accumulé une foule de vieilles autorisations oubliées. N'importe laquelle, si son bénéficiaire d'origine pose problème, est une faille potentielle. La bonne nouvelle : une autorisation peut se reprendre (revoke).
La pratique courante consiste à utiliser un outil de gestion des autorisations, pour lister tout ce qu'une de vos adresses « a autorisé : quels contrats, quels jetons, quel plafond », puis reprendre une à une les autorisations dont vous n'avez plus besoin ou d'origine douteuse. La révocation elle-même coûte un peu de gas, mais comparé à un éventuel vidage, ce coût en vaut largement la peine.
En pratique, vous pouvez utiliser un outil comme Revoke.cash pour examiner et révoquer des autorisations : connectez votre portefeuille (pensez à vérifier l'URL d'abord) et vous verrez la liste. Prenez l'habitude : de temps en temps, ou après chaque nouveau projet essayé, revenez vérifier et nettoyez les autorisations inutiles.
Comment s'auto-contrôler ? Deux voies. Un, avec un outil de gestion des autorisations : collez-y votre adresse pour consulter (pour la simple consultation, pas besoin de connecter le portefeuille ; on ne le connecte que pour révoquer), il listera les contrats autorisés par cette adresse, le jeton concerné et le plafond ; regardez surtout s'il y a du « sans limite (unlimited) », ou des contrats que vous ne reconnaissez pas du tout ou d'origine douteuse. Deux, avec un explorateur de blocs : collez l'adresse dans Etherscan (Ethereum) ou BscScan (BSC) ; ils ont en général une page « Token Approvals » qui donne la même liste, et permet au passage de voir si le contrat est déjà vérifié. Repérez ce qui cloche, et retournez dans l'outil de gestion pour le révoquer.
En cas de vol, que faire en priorité
Disons d'abord une vérité cruelle mais bonne à connaître : une transaction sur la blockchain est irréversible ; des cryptos déjà transférées sont, pour l'essentiel, irrécupérables. L'objet de ce passage est donc de « stopper l'hémorragie », de sauver ce qui n'a pas encore été déplacé.
- Transférez immédiatement les actifs encore présents vers un autre portefeuille, neuf et sûr. Faites vite, c'est une course de vitesse avec l'autre partie.
- Allez révoquer les autorisations suspectes. Avec un outil de gestion, révoquez tous les approve d'origine douteuse que vous trouvez, pour barrer la route à la suite.
- Ce portefeuille volé, ne le réutilisez plus jamais. Sa clé privée ou ses autorisations peuvent être exposées ; n'y remettez plus rien.
- Conservez les traces, portez plainte si besoin. Notez les hash de transaction, l'adresse de l'autre partie, l'heure. Même si les chances de récupération sont faibles, garder des preuves est toujours juste.
- Vérifiez vos autres portefeuilles. Si vous avez dérivé plusieurs adresses depuis la même phrase de récupération, assurez-vous que les autres adresses sont saines.
Le pire, en cas de vol, est de se figer de panique ou de signer n'importe quoi. Retenez l'ordre : d'abord déplacer ce qui reste, ensuite révoquer les autorisations, puis abandonner l'ancien portefeuille. L'analyse de ce qui a dérapé viendra après.
Test de la rédaction : un tour complet d'autorisation et de révocation
Ce qui nous a vraiment fait corriger une mauvaise habitude, c'est le jour où, sur un coup de tête, nous avons passé au crible le portefeuille principal avec lequel nous avions essayé plusieurs projets, via un outil de gestion des autorisations. L'instant où la liste s'est affichée nous a un peu sidérés : une longue rangée, plusieurs contrats dont nous ne reconnaissions même pas le nom, et derrière chacun, le plafond indiqué était « sans limite ». Autrement dit, ces contrats depuis longtemps oubliés pouvaient, en théorie, déplacer à tout moment le jeton correspondant — ils ne l'avaient simplement pas (encore) fait.
La première chose comprise ce jour-là : l'information donnée par la fenêtre du portefeuille au moment de l'autorisation suffit en réalité à juger, sauf que personne ne s'arrête à cet instant pour la lire ligne par ligne. La ligne « autoriser le contrat X à disposer de votre jeton Y, plafond sans limite » est écrite très clairement ; le problème n'a jamais été de ne pas la voir, c'est de ne pas la regarder. La seconde : révoquer une à une ces autorisations inutiles, voir la liste passer d'une longue rangée à quelque chose de propre, même au prix d'un peu de gas, procure une tranquillité bien réelle. Depuis, nous avons une règle : après chaque nouveau projet, on revient nettoyer les autorisations, pour ne pas laisser ces mots « sans limite » traîner dans un coin sans surveillance.
Ce qu'il faut vraiment emporter tient en trois choses : ne signez pas ce que vous ne comprenez pas, n'autorisez que le plafond minimal, et pensez à révoquer une fois terminé. Faites ces trois choses et vous éviterez, on-chain, la catégorie de catastrophe la plus courante et la plus coûteuse. Cela n'exige ni savoir coder, ni être plus malin, juste accepter de ralentir de quelques secondes avant de confirmer.
L'arnaque à l'autorisation est l'étape où l'on dérape le plus, et perd le plus, en récupérant un airdrop : elle mérite que vous y consacriez du temps. Pour voir à quoi ressemble un faux airdrop et le démasquer d'un coup d'œil, enchaînez avec les 5 signaux du vrai et faux airdrop ; pour connaître de façon systématique les diverses arnaques rencontrées avec un portefeuille, voyez les 5 arnaques au portefeuille les plus courantes ; et bien conserver la phrase de récupération est le socle de tout cela, ne sautez pas le guide de conservation de la phrase de récupération. Parcourez tout le déroulé de sécurité, puis revenez à le guide complet des airdrops pour passer à l'action : ce sera bien plus solide.
Si vous êtes encore en phase de préparation et que vous voulez un environnement avec un service client, où l'on peut poser des questions en cas de souci, débutez d'abord sur une plateforme d'échange. Inscrivez-vous sur Binance avec le code BNB3311 en prenant au passage la remise sur les frais (le taux réel est celui qu'affiche Binance sur sa page et peut évoluer selon sa politique), puis, une fois à l'aise, emportez cette vigilance sur les autorisations vers le monde on-chain.