Accueil › Guides › Anti-arnaque
Les 5 arnaques au portefeuille auto-conservé les plus courantes, à fermer dès que vous les voyez
Les gens qui se font avoir par une arnaque au portefeuille auto-conservé ne sont, dans neuf cas sur dix, pas bêtes : ils étaient « pressés » sur le moment — pressés de récupérer cet airdrop qui semblait expirer, pressés de régler cet avertissement surgi à l'écran, pressés de répondre à ce message d'un soi-disant service client. L'arnaque est conçue pour vous forcer à décider en trois secondes, sans vous laisser le temps de vous arrêter et de réfléchir. Cet article étale devant vous les cinq schémas les plus courants ; l'idée n'est pas de vous faire mémoriser des techniques, mais de vous faire acquérir un réflexe : dès que l'écran vous dit « signez / récupérez / fournissez maintenant », fermez, ne touchez à rien. Vous verrez en lisant que ces cinq-là se ressemblent beaucoup ; reconnaissez la charpente, et les nouvelles variantes ne vous auront pas non plus.
Retenez d'abord une règle d'or
Avant d'entrer dans les cinq schémas, gravez une phrase dans votre tête : elle bloque à elle seule toute la catégorie où l'on perd le plus.
Il n'existe aucune raison légitime que vous ayez à saisir votre phrase de récupération sur un site, à la transmettre à quiconque, ou à la communiquer à un quelconque « service client ». Dès que quelqu'un réclame votre phrase de récupération, sans réfléchir, c'est une arnaque.
L'essence d'un portefeuille auto-conservé, c'est que « les clés ne sont qu'entre vos mains » — un point que nous détaillons dans l'introduction complète aux portefeuilles auto-conservés. Justement parce que les clés ne sont qu'entre vos mains, ni l'officiel, ni le service client, ni la plateforme ne connaissent ou n'ont besoin de connaître votre phrase de récupération. Tout scénario qui vous fait remettre votre phrase de récupération, aussi officiel que soit l'emballage, en a après cette clé. Là-dessus, les officiels le disent mieux que moi : les consignes de sécurité Web3 officielles de MetaMask et la page sécurité d'ethereum.org placent toutes deux « ne pas divulguer la phrase de récupération » comme premier principe, à lire en parallèle.
1. Faux service client, faux site officiel
Comment ça opère : vous êtes bloqué dans votre portefeuille, vous cherchez de l'aide en ligne, ou vous posez une question dans une communauté, et peu après quelqu'un vous écrit en privé, avec un avatar et un nom qui ressemblent à un service client officiel, vous demandant gentiment « pouvez-vous me communiquer votre phrase de récupération, que je vérifie pour vous ». Autre variante, le faux site officiel : vous cliquez depuis les résultats de recherche, l'URL ne diffère de l'authentique que d'une ou deux lettres, la page est presque identique, et on vous demande de « vérifier le portefeuille » en saisissant la phrase de récupération.
Les signaux qui doivent vous faire fermer : un « service client » qui vous écrit en privé de lui-même, qui vous demande de fournir votre phrase de récupération ou votre clé privée, qui vous dirige vers une page web vous faisant saisir la phrase de récupération. Un portefeuille auto-conservé n'a tout simplement pas de service client qui vienne à vous de lui-même.
Comment s'en prémunir : le support officiel se trouve toujours par vous-même, depuis le site officiel ou le point d'aide intégré à l'application, ne vous laissez pas mener. Lisez l'URL caractère par caractère, ne vous fiez pas à « ça ressemble » — les domaines frauduleux usent souvent de lettres voisines, d'un tiret en trop, ou d'une terminaison changée pour tromper votre premier regard. Pour consulter la documentation officielle des fonctions, fiez-vous à une vraie source officielle comme la documentation officielle de MetaMask, et non à un lien collé par quelqu'un qui vous a écrit en privé.
Un angle mort de l'état d'esprit à signaler : ce type d'arnaque frappe souvent quand vous êtes « en train de bloquer, en train de chercher de l'aide », car c'est l'instant où vous êtes le plus anxieux, le plus pressé qu'on vous dépanne, la garde la plus basse. Retenez donc : plus vous appelez à l'aide dans l'urgence, plus vous devez vous méfier du « bon samaritain » surgi de nulle part. Le vrai officiel ne vous écrit pas en privé quelques minutes après votre question publique pour réclamer la phrase de récupération ; seul quelqu'un qui guette votre portefeuille le fait.
2. Fausse autorisation : une signature incompréhensible
Comment ça opère : c'est aujourd'hui la plus toxique, celle qui fait le plus de victimes. Vous vous connectez à un site d'hameçonnage — fausse page d'événement, fausse page de récompense, fausse DApp — qui fait surgir une demande de signature, vous disant « signez juste pour récupérer », « il faut autoriser pour utiliser la fonction ». Vous ne comprenez pas le contenu, vous vous dites que signer ne porte sans doute pas à conséquence, vous signez — et vous venez d'autoriser l'autre partie à disposer d'un certain jeton de votre portefeuille, après quoi l'argent est discrètement transféré. Le point clé : durant tout le processus, vous « n'avez fait aucun transfert », vous avez juste « signé un nom », et beaucoup baissent ainsi la garde.
Les signaux qui doivent vous faire fermer : une demande de signature ou d'autorisation que vous ne comprenez pas, une page qui vous presse de « signer maintenant pour récupérer », une source dont vous n'êtes pas sûr. Une autorisation donne « le droit de disposer de vos actifs », ce n'est pas une signature de présence anodine.
Comment s'en prémunir : une signature que vous ne comprenez pas ne se signe jamais, sans exception. Avant d'utiliser une DApp, confirmez que le site est bien celui où vous vouliez aller, n'y accédez pas depuis un lien collé par quelqu'un ni depuis une publicité de recherche. Une habitude plus sûre : à chaque demande de signature qui surgit, regardez d'abord quel jeton on vous demande d'autoriser, qui est le destinataire, et pour quel montant ; si le champ est une suite que vous ne comprenez pas du tout et qu'aucun destinataire n'est clairement affiché, annulez tout de suite. Le principe de l'autorisation, et comment vérifier puis révoquer périodiquement les autorisations déjà accordées, nous y avons consacré un article à part : à lire avant de récupérer : comment éviter les signatures malveillantes et arnaques à l'autorisation, fortement recommandé avant toute activité on-chain.
Un point souvent négligé, au passage : les autorisations « s'accumulent ». Vous en signez une aujourd'hui sur le site A, une autre demain sur le site B, et ces droits ne disparaissent pas d'eux-mêmes : ils restent attachés à votre portefeuille. Donc, au-delà de « ne pas signer n'importe quoi sur le moment », prenez aussi l'habitude de revenir vérifier de temps en temps et de révoquer les autorisations dont vous ne vous servez plus, pour nettoyer cette faille exposée sur la durée. Pour comprendre ce qu'est au juste une « autorisation de jetons (token approval) » et pourquoi elle peut être détournée, vous pouvez vous appuyer sur l'explication des contrats intelligents par Investopedia.
3. Le cheval de Troie qui échange l'adresse dans le presse-papiers
Comment ça opère : celle-ci est plus sournoise. Votre appareil a attrapé un programme malveillant qui, d'habitude tapi sans bouger, surveille spécialement votre presse-papiers. Quand vous copiez une adresse de portefeuille pour la coller dans le champ de transfert, il la remplace en douce, à l'instant précis où vous collez, par celle de l'escroc. Une adresse de portefeuille est longue et désordonnée, personne ne la retient caractère par caractère, donc après l'avoir collée vous ne remarquez en général rien d'anormal, vous appuyez sur envoyer, et l'argent file droit dans la poche de l'autre.
Les signaux qui doivent vous faire fermer : celle-ci n'a pas de fenêtre visible à « voir », elle exploite justement votre habitude de ne pas vérifier. S'en prémunir passe donc par un geste actif, pas par l'attente qu'elle se montre.
Comment s'en prémunir : prenez l'habitude, « après avoir collé une adresse, de toujours revérifier les premiers et les derniers caractères », idéalement en comparant segment par segment l'adresse fournie et celle que vous avez collée. Regarder seulement les deux-trois premiers caractères ne suffit pas, car certains chevaux de Troie génèrent une adresse au début ressemblant pour vous tromper : la fin aussi doit correspondre. Vous pouvez aussi coller d'abord l'adresse dans le vérificateur d'adresse pour vérifier le format, puis la revérifier vous-même, faisant de la « vérification » une étape fixe et incontournable du transfert. Comment lire une adresse et pourquoi vérifier caractère par caractère, voyez en complément Qu'est-ce qu'une adresse de portefeuille ? Les choses à vérifier avant d'en coller une.
Une autre petite habitude plus robuste : pour une adresse vers laquelle vous transférez souvent (par exemple votre propre adresse de dépôt sur une plateforme d'échange), une fois confirmée la première fois, enregistrez-la dans le carnet d'adresses du portefeuille, puis sélectionnez-la directement ensuite — vous n'aurez plus à recopier-coller à chaque fois, et vous ne donnerez plus prise au cheval de Troie du presse-papiers. Avant un gros transfert, il est aussi conseillé d'envoyer d'abord un petit montant test, de confirmer la bonne réception et que l'adresse n'a pas été échangée, puis d'envoyer le reste. Pour vérifier qu'une transaction on-chain est bien arrivée, vous pouvez consulter vous-même un explorateur de blocs, par exemple Etherscan ou BscScan : collez l'adresse ou le numéro de transaction et vous verrez.
4. L'hameçonnage par faux airdrop
Comment ça opère : vous ouvrez votre portefeuille et découvrez qu'un jeton inconnu y est apparu sans raison, avec peut-être le nom d'un site écrit dessus. Curieux, vous allez vous renseigner, ou le jeton lui-même porte un message vous invitant à aller sur un site « récupérer », « échanger », « activer ». En cliquant, soit on vous fait saisir la phrase de récupération, soit on vous fait signer une autorisation malveillante — retour au schéma numéro 2. Ce jeton apparu en trop est lui-même l'appât.
Les signaux qui doivent vous faire fermer : un jeton que vous n'avez ni acheté ni récupéré qui surgit dans le portefeuille ; un jeton inconnu assorti d'une consigne « va sur tel site » ; une récupération à durée limitée qui vous presse.
Comment s'en prémunir : face à un jeton inconnu, le plus sûr est de ne pas y toucher, ne pas cliquer, ne pas interagir, et de le laisser là où il est. N'allez pas cliquer dessus, n'essayez pas de l'échanger contre une autre crypto, et surtout ne suivez pas la consigne qu'il porte vers un quelconque site. Un vrai airdrop s'obtient en général parce que vous « avez participé activement à un projet, ou rempli certaines conditions », et non parce qu'il surgit de nulle part de lui-même ; un jeton apparu de rien est à 90% un appât. Comment distinguer, à partir des signaux, un vrai d'un faux airdrop, nous l'avons compilé : Comment distinguer un vrai airdrop d'un faux ? 5 signaux qui trahissent l'arnaque, à suivre pour qui veut récupérer en sécurité. Pour parcourir tout le déroulé de récupération d'airdrop en sécurité, vous pouvez aussi consulter le guide complet des airdrops.
5. Les fausses applications de portefeuille
Comment ça opère : l'escroc fabrique une application de portefeuille presque identique à l'authentique, la place sur des canaux de téléchargement non officiels, ou vous attire au téléchargement par une publicité ou un lien en message privé. Vous l'installez, suivez le déroulé pour « créer un portefeuille » ou « importer un portefeuille », et la phrase de récupération que vous saisissez ou générez est, à cet instant, synchronisée vers l'autre partie. Le jour où vous y déposez vraiment des cryptos, elle vide tout d'un coup.
Les signaux qui doivent vous faire fermer : télécharger un portefeuille depuis une publicité, un message privé, un lien d'origine douteuse ; une page de téléchargement dont l'URL n'est pas le domaine officiel ; une application dont la source, les avis sont étranges ou qui vient d'être publiée.
Comment s'en prémunir : téléchargez uniquement depuis le lien authentique du site officiel ou de la boutique d'applications officielle, revérifiez le domaine avant de télécharger, et jetez au passage un œil au nom du développeur, à la date de publication, à la cohérence des avis. Tout juste publiée, très peu d'avis, ou nom de développeur bizarre ? N'installez pas. Pour un débutant, si vous comptez de toute façon utiliser une plateforme d'échange, débuter directement avec le portefeuille Web3 intégré à la plateforme, à la source claire, réduit beaucoup le risque de tomber sur une fausse app — le déroulé d'ouverture et de sauvegarde de ce portefeuille intégré, nous l'avons écrit dans le guide complet du portefeuille Web3 Binance.
Une variante à surveiller : vous utilisez déjà un portefeuille authentique, mais recevez un message ou une fenêtre « veuillez mettre à jour l'application », dont le lien vous dirige vers une page de téléchargement non officielle. Faites toujours les mises à jour depuis la boutique d'applications officielle, ne cliquez pas sur le lien de mise à jour d'un message — ce seul geste bloque la plupart des pièges de fausse mise à jour.
Presque chaque page d'hameçonnage vous sert, dès l'ouverture, un compte à rebours — c'est le même tour que nous avons rencontré à répétition en allant délibérément, avec un portefeuille test ne contenant qu'un montant minime, cliquer sur quelques pages manifestement suspectes. Compte à rebours, places limitées, « si vous ne récupérez pas, ça expire », tout sert à vous mettre la pression du temps pour vous empêcher de réfléchir, alors qu'une vraie fonction officielle ne presse jamais ainsi. Plus bas, les demandes de signature de ces pages affichaient souvent dans leurs champs une longue suite incompréhensible ; à l'inverse, une signature de transfert normale affiche clairement le destinataire et le montant. Mettez ces deux points côte à côte et c'est limpide : dès que ce qui surgit vous fait « ne pas comprendre tout en vous pressant de signer », c'est le moment de fermer. Au terme de cette virée, nous en sommes encore plus convaincus — la clé de l'anti-arnaque n'est pas de mémoriser chaque nouvelle astuce, mais d'acquérir le réflexe « pressé = je m'arrête ».
Trois lignes de défense universelles
Les cinq schémas exposés, vous constatez que leurs failles se recoupent. Posez bien ces trois lignes de défense, et l'immense majorité des variantes ne passeront pas :
- La phrase de récupération se note uniquement au stylo et ne se garde que hors ligne, jamais saisie sur un site, jamais transmise à personne. Cette ligne bloque le faux service client, le faux site officiel et la fausse app, ces trois-là. Comment la noter et où, voyez Qu'est-ce qu'une phrase de récupération ? Comment la noter, où la garder, et pourquoi ne jamais la prendre en capture.
- Une signature que vous ne comprenez pas ne se signe jamais, et confirmez l'URL avant d'entrer sur une DApp. Cette ligne bloque la fausse autorisation et le faux airdrop.
- Avant un transfert, vérifiez toujours l'adresse caractère par caractère, prenez l'habitude de la recontrôler après l'avoir collée. Cette ligne bloque le cheval de Troie du presse-papiers et le collage erroné par maladresse.
Au fond, le portefeuille auto-conservé vous donne la liberté, mais aussi la responsabilité. L'escroc parie que vous allez « sauter ces trois secondes de vérification par commodité ». Faites simplement de ces trois choses une mémoire musculaire, ralentissez automatiquement quand on vous presse, et leurs astuces les plus courantes deviennent sans effet sur vous. Pour ajouter un garde-fou avant un transfert, utilisez au passage le vérificateur d'adresse ; pour compléter toute la notion de sécurité de l'auto-conservation, revenez à l'introduction complète aux portefeuilles auto-conservés et relisez depuis le début : elle relie entre eux chacun des points de cet article.