Crypto et DeFi : types de risques et d’arnaques

Guides pratiques

29 oct.

Une offre d’emploi, une invitation à une rencontre ou un message d’une personne que vous côtoyez en ligne depuis des mois peuvent mener aux mêmes demandes : installez cette application, signez ici ou envoyez un peu plus d’argent. L’histoire change, mais le geste demandé aide souvent à repérer le danger.

Ce guide regroupe les arnaques par mécanisme : manipulation, placement frauduleux, vol d’accès, signature dangereuse et détournement de transfert. Il distingue ensuite les pertes sans fraude et les gestes à poser en cas d’incident. Le premier guide explique les portefeuilles, les signatures et la DeFi; le deuxième décrit les précautions à prendre et la réponse à un incident.

Aucun article ne peut couvrir tous les scénarios, et l’absence de signal d’alerte ne prouve pas la sécurité. Aucun produit, fournisseur ou protocole discuté dans nos articles n’est endossé par Token Expert.

1. Comment les fraudeurs vous approchent

Relations personnelles et contacts professionnels

Dans les fraudes amoureuses et amicales, une personne développe une relation avant de proposer un placement en cryptoactifs. Les échanges peuvent durer des semaines ou des mois. La personne, son expérience en placement et la plateforme recommandée peuvent être inventées. Ne confiez pas d’argent à une personne rencontrée en ligne sur la seule base de cette relation; vérifiez le placement et la plateforme séparément et discutez-en avec un proche avant de payer. (1)

Un prétendu recruteur ou client peut aussi emprunter le nom d’une entreprise. Son but peut être de vous faire exécuter un projet GitHub piégé pour voler des fichiers de portefeuille ou des identifiants, d’obtenir une signature dangereuse, ou de vous faire envoyer des fonds à une adresse qu’il contrôle. Vérifiez le mandat auprès de l’entreprise avec des coordonnées trouvées par vos propres moyens avant de télécharger, d’exécuter ou de payer quoi que ce soit. (2)

Un message reçu d’un contact connu sur Telegram, Signal, WhatsApp, Discord ou une autre messagerie mérite la même vérification : son compte peut avoir été compromis ou imité. Le chiffrement des échanges ne garantit pas que la personne qui contrôle le compte est toujours votre contact. Pour une demande inhabituelle, appelez-la au numéro que vous aviez déjà ou utilisez un autre moyen de communication connu. (2)

Des outils d’intelligence artificielle peuvent imiter une voix ou un visage dans un enregistrement ou une vidéo, ce qu’on appelle un deepfake. Redoublez de prudence face à ce que vous voyez en ligne, surtout lorsqu’il est question de cryptomonnaies ou de promesses de richesse rapide. Des images, des vidéos et des témoignages convaincants peuvent être fabriqués pour vous tromper. (2, 43)

Usurpation, peur et sécurité personnelle

Les faux agents de soutien misent sur la peur. Ils affirment que votre compte a été compromis et proposent de déplacer les fonds vers un « portefeuille sûr », de prendre le contrôle à distance ou de vérifier votre phrase de récupération. Un prétendu dirigeant, agent public ou proche peut ajouter de l’urgence et exiger le secret. Leur but est de vous faire leur remettre les fonds ou l’accès nécessaire pour les prendre. Ne donnez ni phrase de récupération ni accès à distance; quittez la conversation et contactez vous-même le service officiel. (2)

Des soldes publics, des pièces d’identité divulguées et des détails sur vos placements peuvent aider un fraudeur à choisir une cible et à construire une menace crédible. Il peut chercher à vous extorquer un transfert ou à vous forcer à déverrouiller un appareil. Limitez ces renseignements publics et évitez de détailler où se trouvent vos appareils et les copies physiques de vos phrases de récupération. En cas de menace ou de coercition, mettez-vous en sécurité et contactez les services d’urgence locaux dès que vous pouvez le faire sans vous exposer davantage.

Vérifier l’identité par un autre moyen

Vérifiez les demandes inhabituelles à l’aide de coordonnées déjà connues ou trouvées par vos propres moyens. Le numéro fourni dans le message suspect n’est pas une vérification indépendante. Si quelqu’un vous met de la pression, parlez-en à une personne de confiance. Les utilisateurs expérimentés peuvent eux aussi se faire piéger.

2. Placements frauduleux et promesses d’argent facile

Médias sociaux et promesses d’argent rapide

Méfiez-vous des offres qui semblent trop belles pour être vraies. Sur les médias sociaux, publications, vidéos, publicités, commentaires, messages privés et groupes de discussion peuvent vanter une « méthode secrète » pour faire de l’argent rapidement. (43) Des gains élevés présentés comme garantis et sans risque sont un signal d’alarme. (42)

Imaginez une vidéo qui promet de doubler votre dépôt en une semaine grâce à un robot de trading. La personne montre des profits impressionnants, vous invite dans un groupe privé et affirme que vous devez déposer aujourd’hui pour réserver votre place. Dans cet exemple fictif, les commentaires enthousiastes et l’échéance cherchent à remplacer votre vérification. N’envoyez pas de fonds sur cette base; prenez le temps de vérifier l’offre et les personnes qui la présentent. (42, 43)

Les faux mentors et groupes d’investissement utilisent les témoignages, les captures d’écran de profits et les commentaires enthousiastes pour rendre l’offre crédible. Ces éléments et le nombre d’abonnés ne prouvent pas sa fiabilité. Vérifiez l’identité du promoteur et le placement auprès de sources indépendantes. Privilégiez des plateformes et des placements établis et réputés, sans considérer leur notoriété comme une garantie. (43)

Les promesses de rendements fondés sur l’IA, l’arbitrage ou le minage peuvent servir de prétexte pour vous faire déposer sur une fausse plateforme, installer un logiciel ou accorder un accès au portefeuille. De faux appuis de célébrités et de fausses diffusions en direct proposent aussi de multiplier les actifs envoyés. N’envoyez pas d’argent pour recevoir davantage d’argent en retour et n’exécutez aucun outil simplement parce qu’une vidéo le recommande. Vérifiez l’offre auprès de sources indépendantes. (42, 43)

Les statistiques de Chainalysis dans le premier guide donnent une idée de l’ampleur des arnaques. Elles distinguent les recettes repérées des projections. (46)

Fausses plateformes de négociation et systèmes de Ponzi

Sur une fausse plateforme de négociation, le tableau de bord peut montrer des opérations et des profits inventés. Un petit retrait peut être permis pour vous rassurer. Ensuite, on exige un nouveau dépôt, une « taxe », une assurance ou des frais de déblocage avant tout retrait. Le premier retrait ne prouve pas que le placement est réel. Arrêtez les paiements supplémentaires et vérifiez l’exploitant et ses conditions indépendamment; une inscription d’entreprise ne valide pas un placement. (1)

Une demande de retirer de l’argent comptant et de le déposer à un guichet Bitcoin peut faire partie du même scénario, ou d’une fausse urgence bancaire. Le code QR fourni peut envoyer les actifs directement au fraudeur. N’effectuez pas ce transfert; vérifiez la demande avec votre institution par un moyen connu. Aux États-Unis, l’IC3 a reçu en 2025 plus de 13 400 plaintes impliquant ces guichets, avec plus de 388 millions $ US de pertes déclarées. Les plaintes peuvent inclure d’autres moyens de paiement : ce chiffre ne représente pas exclusivement les sommes passées par les guichets, ni une statistique canadienne. (47)

Dans un système de Ponzi, les versements aux participants viennent des nouveaux dépôts plutôt que de l’activité annoncée. La pression pour recruter et une stratégie impossible à vérifier sont des signaux d’alarme. Demandez des informations vérifiables sur l’activité et les retraits; renoncez si l’on vous demande de faire confiance aux seuls témoignages ou de recruter pour récupérer votre argent. (42)

Manipulation du marché et actifs impossibles à revendre

Dans un pump and dump, les organisateurs accumulent un actif peu liquide, c’est-à-dire difficile à acheter ou à vendre en quantité sans faire fortement varier son prix. Ils le font ensuite connaître dans un groupe ou sur les médias sociaux pour attirer des acheteurs. Imaginez qu’un groupe annonce un achat collectif à 20 h : les organisateurs ont déjà acheté moins cher, puis vendent pendant que les nouveaux participants font monter le prix. Le mouvement s’essouffle et les derniers acheteurs subissent la chute. Évitez les groupes qui coordonnent une hausse, promettent un prix cible ou imposent une heure d’achat. Un graphique qui monte ne démontre pas une demande durable. (7)

Imaginez acheter un nouvel actif avec 200 USDC. Le solde apparaît dans votre portefeuille et le graphique monte, mais la revente échoue : le contrat peut bloquer votre adresse ou imposer des frais qui absorbent presque toute la vente. C’est un honeypot. Avant d’acheter, vérifiez le contrat exact, les restrictions de vente et les pouvoirs de son administrateur; si vous ne pouvez pas les évaluer, abstenez-vous. Une simulation ou un petit achat-revente peut révéler un problème, mais une vente réussie ne garantit pas les suivantes : les règles peuvent changer ou cibler certaines adresses. Augmenter les frais de réseau ne contourne pas ces restrictions. (35, 36)

Dans un rug pull de liquidité, des initiés retirent les fonds qui permettaient les échanges. Un pool de liquidité peut, par exemple, contenir le nouvel actif et de l’ETH. Cette réserve permet d’échanger l’un contre l’autre : lorsque vous vendez le nouvel actif, vous recevez de l’ETH provenant de la réserve, selon les règles du contrat. Si ceux qui contrôlent la liquidité retirent presque tout l’ETH, votre solde peut rester visible alors que sa revente rapporte très peu. Vérifiez qui peut retirer la liquidité, quelle part est réellement disponible et les conditions d’un éventuel verrouillage. Un verrouillage ne neutralise pas des fonctions permettant de créer des actifs ou de bloquer les ventes. (35)

Éviter les actifs moins établis ou dont la réputation est douteuse peut réduire ces risques. Des services comme GeckoTerminal et DEX Screener affichent des indicateurs de sécurité sur les pages des pools de liquidité. Selon l’actif et le réseau, il peut s’agir d’un score ou de résultats d’analyses automatisées. GeckoTerminal propose notamment le GT Security Score, qui combine des signaux de sécurité et d’activité du marché. (56, 57)

Un échec de vente ne prouve pas à lui seul une fraude : un manque de liquidité ou une panne peut aussi bloquer l’échange. Vérifiez la cause avant de multiplier les transactions. Un nom connu, un graphique en hausse ou la présence sur une plateforme décentralisée ne prouve pas que l’actif a été vérifié par la plateforme. Les alertes et les outils de vérification ont leurs limites. (36)

3. Faux sites, comptes volés et téléchargements piégés

Faux sites et prise de contrôle d’un compte

Une copie de site peut ressembler presque parfaitement au service recherché. Un nom de domaine voisin ou une publicité de recherche peut mener à un faux portefeuille, à une fausse plateforme ou à un téléchargement piégé. Le cadenas HTTPS indique que la connexion est chiffrée, pas que l’exploitant est honnête. Utilisez un favori vérifié ou ouvrez vous-même l’application officielle, puis examinez toute demande de signature; un domaine correct ne suffit pas à garantir la sécurité. (3, 25)

Des messages d’hameçonnage arrivent par courriel, texto, code QR, invitation de calendrier ou document partagé. Une alerte de retrait ou un prétendu document fiscal peut mener à une fausse connexion ou à une signature dangereuse. Un compte social, groupe ou site légitime peut aussi être compromis. Pour vérifier une alerte, ouvrez le service par vos propres moyens; pour un message inhabituel d’un contact, confirmez la demande par un autre moyen connu. (2)

La prise de contrôle d’un compte peut aussi passer par un mot de passe réutilisé, une demande d’authentification trompeuse ou un détournement de carte SIM, qui permet de recevoir les codes envoyés à votre numéro. Utilisez des mots de passe uniques et une passkey ou une clé de sécurité lorsque le service les prend en charge. Refusez une demande d’authentification que vous n’avez pas déclenchée et faites vérifier rapidement toute perte inexpliquée de service mobile. (2, 22)

Une vidéoconférence qui exige un « correctif » inattendu

Imaginez qu’on vous invite à discuter d’un partenariat. L’invitation semble professionnelle, mais au moment de rejoindre la rencontre, une page annonce que votre caméra ou votre microphone ne fonctionne pas. La personne qui vous attend propose une solution : installer une mise à jour, ajouter une extension ou coller une commande dans le terminal de votre ordinateur. Le terminal est un outil qui permet d’exécuter des commandes sur le système, notamment pour installer un programme ou modifier des fichiers.

Le problème peut être inventé. Dans une technique appelée ClickFix, une fausse erreur vous pousse à exécuter vous-même des instructions. Vous pensez réparer l’appel; les instructions peuvent télécharger et lancer un logiciel malveillant. Autoriser un site à utiliser votre caméra et exécuter un programme sur votre ordinateur sont deux gestes très différents. (17, 23)

Une autre variante consiste à fournir une fausse application de vidéoconférence. Elle peut ouvrir une fenêtre de rencontre ou de connexion crédible tout en volant des renseignements en arrière-plan. Les chercheurs de Unit 42 ont documenté des logiciels malveillants déguisés en applications MiroTalk et FreeConference pour Windows et macOS. Ces noms servaient de couverture; cela ne signifie pas que les services légitimes étaient responsables. (18)

La situation vous pousse à agir rapidement : votre interlocuteur attend, la rencontre semble importante et vous voulez régler le problème pour poursuivre la discussion. Si le « correctif » exige un logiciel inconnu, une commande système, le mot de passe de votre ordinateur ou l’affaiblissement de ses protections, quittez l’appel. Ouvrez vous-même l’application que vous utilisez déjà. Si une mise à jour est nécessaire, obtenez-la auprès de sa source officielle et vérifiez l’identité de votre contact par un autre moyen avant de reprendre la rencontre. Proposez une rencontre sur votre service de vidéoconférence habituel et envoyez vous-même le nouveau lien. Si votre interlocuteur refuse et insiste à tout prix pour utiliser son lien, redoublez de vigilance. (2, 17)

Une application qu’on vous demande de tester ou de réviser

Imaginez maintenant qu’un client potentiel vous demande votre avis sur un jeu, un outil de négociation ou une application DeFi. Vous recevez une archive ou un lien vers un projet GitHub. Les instructions demandent d’installer les composants nécessaires au projet, appelés dépendances, puis de lancer l’application sur votre ordinateur avant de donner vos commentaires. Une rémunération ou une offre d’emploi rend la proposition intéressante.

L’étape critique est celle où vous permettez au projet de s’exécuter sur votre ordinateur. La commande npm install, couramment utilisée pour installer les dépendances d’un projet, peut aussi lancer des scripts d’installation. Le programme malveillant peut donc démarrer avant même que vous lanciez l’application ou examiniez ses fonctions principales. Le code dangereux peut se trouver dans une dépendance ou un script de préparation, plutôt que dans le fichier qu’on vous demande de réviser. (4, 19)

L’outil de développement compte aussi. Dans Visual Studio Code, accorder sa confiance à un projet inconnu peut activer des tâches et d’autres fonctions capables d’exécuter du code. Microsoft a documenté des attaques de recrutement qui exploitent les tâches d’un dépôt. Lire un projet n’exige pas de lui donner le droit de s’exécuter : conservez les dossiers inconnus en mode restreint et ne leur accordez pas votre confiance simplement parce que l’expéditeur le demande. Ce mode limite certaines possibilités d’exécution; il ne certifie pas le projet et ne rend pas une extension inconnue fiable. (19, 20)

Ce prétexte de recrutement a été observé dans des cas réels. Fireblocks a décrit une campagne qui usurpait son processus d’embauche et demandait aux candidats de réviser le code d’une prétendue application de poker. Les étapes de préparation, dont l’installation des dépendances, déclenchaient du code malveillant. Le sérieux apparent de l’entrevue ne rendait pas le projet fiable. (21)

Avant un essai, vérifiez le mandat auprès de l’entreprise à l’aide de coordonnées trouvées par vos propres moyens. Examinez ce que la préparation va exécuter. Si l’exécution est justifiée, utilisez un environnement prévu pour des logiciels non fiables, sans fichiers personnels, clés privées, phrases de récupération, sessions financières ni dossiers partagés sensibles. Pour un appareil d’entreprise, faites intervenir l’équipe informatique. Un profil de navigateur distinct n’isole pas un logiciel qui s’exécute sur l’ordinateur; une machine virtuelle demande elle aussi une configuration appropriée. (2, 19)

Une attaque par un fournisseur : l’exemple Ledger Connect Kit

Une attaque de la chaîne d’approvisionnement (supply chain attack) atteint un service par un composant qu’il utilise. Le 14 décembre 2023, un accès compromis a permis de publier sur npm, une plateforme de distribution de composants logiciels, des versions piégées de Ledger Connect Kit. Ce composant permet à des applications d’interagir avec des portefeuilles. Des applications légitimes les ont chargées et ont présenté des transactions destinées à prendre les actifs des utilisateurs. Ledger a indiqué que l’intégrité de ses appareils et de Ledger Live n’était pas affectée. Ce type d’incident peut se reproduire avec d’autres composants logiciels. (48, 49)

Même le bon site peut donc afficher une demande dangereuse. Lors d’un incident annoncé, suspendez les interactions avec les applications concernées, vérifiez les consignes officielles par vos propres moyens et attendez la confirmation du correctif. Si vous avez signé, examinez les autorisations accordées et les transactions; déconnecter le site ne suffit pas. Gardez les fonds que vous n’utilisez pas dans un portefeuille qui n’interagit pas avec ces applications et refusez toute demande que vous ne pouvez pas vérifier. (6, 50)

Ce qu’un logiciel malveillant peut exposer

Selon ses fonctions et ses accès, un logiciel malveillant peut voler des identifiants, sessions ouvertes, fichiers de portefeuille ou clés API. Une session volée peut permettre à l’attaquant d’utiliser un compte sans devoir se connecter de nouveau. Fermer le portefeuille ne suffit donc pas. Limitez les installations et, si vous avez exécuté un fichier suspect, isolez l’appareil puis sécurisez les comptes depuis un appareil fiable, comme expliqué à la section 7. (18, 19, 23)

Un hardware wallet garde les clés privées hors de l’ordinateur connecté : un logiciel malveillant sur l’ordinateur ne les vole pas automatiquement. Il peut toutefois vous présenter une transaction dangereuse. Vérifiez les détails sur l’écran de l’appareil et refusez de signer si le destinataire, le montant ou les permissions sont illisibles ou inattendus. (22, 41)

4. Signatures malveillantes et autorisations de dépense

Certaines arnaques exploitent une permission que vous accordez, sans voler votre clé privée. Les outils utilisés pour prendre les actifs sont souvent appelés wallet drainers. Pour comprendre le piège, distinguez trois gestes. Connecter le portefeuille permet au site de connaître votre adresse. Approuver une dépense donne à une autre adresse le droit de déplacer certains actifs. Signer un message peut servir à vous authentifier, mais aussi à autoriser une action qui aura lieu plus tard, selon son contenu. Le bouton du site peut appeler tout cela « vérification ». C’est la demande réelle dans votre portefeuille qui compte.

Les exemples suivants concernent Ethereum et les réseaux compatibles; d’autres types de comptes peuvent fonctionner autrement. ERC-20 désigne ici la norme qui définit notamment les transferts et autorisations de dépense de nombreux actifs interchangeables, comme les USDC. Un NFT, lui, représente un actif identifié individuellement, par exemple un objet d’une collection. (24, 27)

Un petit échange, une autorisation de dépense illimitée

Imaginez que vous voulez échanger 50 USDC. Une application peut avoir besoin de votre permission pour déplacer ces USDC et réaliser l’échange. Une autorisation ERC-20 désigne une adresse autorisée, souvent indiquée par le champ spender, et un plafond de dépense. Accorder cette permission et effectuer l’échange sont deux étapes distinctes : l’autorisation ne déplace pas nécessairement les actifs tout de suite. (24)

Un faux site demande plutôt un accès illimité à vos USDC. Vous en détenez 800 et croyez approuver seulement l’échange annoncé de 50 USDC. Si l’adresse autorisée peut exploiter cet accès, les 800 USDC peuvent être pris. Un dépôt ultérieur de 300 USDC peut aussi être exposé tant que la permission reste active. Une autorisation ERC-20 ordinaire n’expire pas automatiquement quand vous fermez la page. Limitez le plafond au besoin réel et retirez les autorisations devenues inutiles; un échange de 50 USDC ne justifie pas un accès illimité. (6, 24)

Cette permission concerne l’actif, le compte et le réseau visés; une autorisation sur vos USDC ne donne pas, à elle seule, accès à tous vos autres actifs ou réseaux. Vérifiez l’adresse autorisée et le plafond, pas seulement le nom du site. Un plafond plus bas limite les pertes possibles, mais un destinataire frauduleux peut quand même prendre le montant autorisé.

« Il n’y a pas de frais : signez seulement pour vous connecter »

Un message peut réellement servir à vous connecter. Le mécanisme Sign-In with Ethereum, par exemple, indique le domaine qui demande la connexion, le compte concerné et des renseignements destinés à empêcher la réutilisation de la demande. Cette authentification est différente d’une autorisation de dépense. Une page qui annonce « prouvez que ce portefeuille vous appartient » ne vous dit pas quel message elle demande réellement de signer. (37)

Imaginez qu’une fausse page de récompenses vous demande une signature gratuite. Pour un actif compatible avec les autorisations de type permit, le message peut en réalité donner à une adresse le droit de dépenser 999 999 USDC. Un tiers peut soumettre la permission signée au réseau et payer les frais de transaction. L’adresse autorisée peut ensuite utiliser cette permission pour déplacer les actifs dans les limites accordées. Vous n’avez ni partagé votre phrase de récupération ni payé de frais de réseau, mais vous avez donné un accès. Ne signez pas au seul motif que le message est gratuit : vérifiez l’adresse autorisée et le montant. (5, 25)

Permit2 gère certaines autorisations de dépense au moyen d’un contrat intermédiaire. Il faut d’abord avoir donné à ce contrat une autorisation ERC-20 pour l’actif concerné, parfois lors d’une utilisation légitime antérieure. Une nouvelle signature peut ensuite permettre à une application précise de dépenser par son intermédiaire. Selon la demande, elle peut autoriser un transfert unique ou des dépenses répétées, avec un montant et une durée définis. Reconnaître le contrat Permit2 ne suffit pas : l’adresse qui reçoit le droit de dépenser et le montant demandé doivent aussi correspondre à votre intention. (26)

Cherchez l’actif concerné, l’adresse autorisée, le montant et les dates. Dans un permit ERC-2612, le champ deadline désigne la date limite pour soumettre la signature; ce n’est pas la date d’expiration de l’autorisation qui en découle. Signer maintenant sans voir de transfert immédiat ne prouve donc pas que la signature ne pourra pas servir plus tard. (5, 29)

Un NFT à vérifier, une collection entière autorisée

Imaginez qu’une page propose une mise à niveau gratuite de votre NFT. Vous pensez faire vérifier un seul actif, mais le portefeuille affiche setApprovalForAll. Selon la norme ERC-721, cette fonction permet à un opérateur de déplacer tous les NFT que vous détenez dans la collection visée, y compris ceux acquis plus tard tant que la permission reste active. Elle ne couvre pas toutes les collections du portefeuille, mais sa portée dépasse déjà largement la vérification d’un seul NFT. Refusez une telle autorisation si le geste annoncé consiste seulement à vérifier votre NFT. (27)

Un autre piège passe par un ordre de vente. Vous avez déjà autorisé un contrat de marché lors d’une vente légitime. Une fausse page présente alors une nouvelle signature comme une vérification d’identité, alors que l’ordre signé offre votre NFT de valeur pour 0,001 ETH. Si l’ordre est valide et que l’autorisation nécessaire est toujours en place, il peut être exécuté sans nouvelle confirmation de votre part. Le contrat de marché peut être authentique; ce sont le prix et les actifs inscrits dans l’ordre signé qui posent problème. Avant de signer, vérifiez le NFT vendu, le prix et l’adresse qui reçoit le paiement. (28)

Un cas récent : d’anciennes autorisations sur des Bored Apes

Dans son analyse arrêtée au 25 septembre 2026, Bitquery a relevé 11 adresses détenant des Bored Apes touchées par des transferts utilisant une faille d’un contrat de marché. Elles avaient accordé leur autorisation entre février et juin 2024 et ne l’avaient pas révoquée. Aucune nouvelle signature des propriétaires n’était nécessaire. Ce cas illustre une autorisation antérieure devenue exploitable, plutôt qu’une nouvelle signature obtenue par hameçonnage. (51)

Vérifiez et retirez les autorisations inutiles, même si vous avez cessé d’utiliser le marché. Sa fermeture n’efface pas les permissions inscrites sur la blockchain. Une révocation peut limiter les transferts futurs, sans annuler ceux déjà exécutés. (6, 51)

Des permissions pour des actions répétées

Certains portefeuilles permettent aussi d’autoriser des actions répétées. « 10 USDC par jour pendant 30 jours » peut donner accès à 300 USDC au total, sans nouvelle confirmation quotidienne. Vérifiez le bénéficiaire, la fréquence, le montant total, la date de fin et la façon de retirer cette permission. Ces permissions déléguées fonctionnent autrement qu’une autorisation ERC-20 de base. (38)

Une récompense inattendue qui vous envoie ailleurs

Imaginez recevoir sans l’avoir demandé un NFT qui promet une récompense de 2 000 USDC. Son image ou sa description mène à une page qui demande d’« activer » le cadeau. La demande suivante peut être une autorisation, une signature dangereuse ou la saisie de votre phrase de récupération. Le NFT sert de publicité pour le piège; il ne prouve pas qu’une récompense existe. Les fausses migrations utilisent une pression semblable : agir avant une échéance, sous peine de perdre l’accès à vos actifs. (30)

Recevoir un actif sans l’avoir demandé ne donne pas, en soi, à l’expéditeur le droit de dépenser vos autres actifs. Évitez de suivre ses instructions ou d’utiliser le site proposé pour le vendre, l’échanger ou le détruire. Vous pouvez masquer l’actif dans l’interface sans suivre les instructions de son expéditeur. (30)

Vérifier la portée avant d’accepter

Décrivez le résultat avec des mots simples : « cette adresse peut dépenser tel montant de cet actif » ou « ce NFT peut être vendu à ce prix ». Comparez ensuite ce résultat avec votre intention :

Le geste : connexion, transfert, autorisation de dépense ou ordre de vente?
La portée : quel compte, quel réseau, quel actif ou quelle collection de NFT?
Le destinataire et les limites : qui reçoit le pouvoir, pour quel montant et pour combien de temps?
Le résultat attendu : qu’est-ce qui sort, qu’est-ce qui revient et à quelle adresse?

Si la demande est illisible ou ne correspond pas au geste voulu, refusez plutôt que de deviner. Un outil d’intelligence artificielle peut aider à expliquer les informations publiques d’une demande, mais il peut se tromper et ne peut pas en garantir la sécurité. Utilisez le service officiel et ne lui transmettez jamais de clé privée ni de phrase de récupération. Les alertes du portefeuille et les simulations peuvent aider, mais leur silence ne valide pas la demande. Un hardware wallet protège ses clés; il faut quand même vérifier l’autorisation donnée. (22)

5. Pièges de transfert et clés compromises

Adresses ressemblantes et détournement du presse-papiers

Imaginez envoyer des fonds à votre propre adresse de dépôt sur une plateforme d’échange. Plus tard, vous copiez ce qui semble être la même adresse dans votre historique. Un fraudeur y a fait apparaître un transfert minuscule ou de valeur nulle associé à une adresse dont le début et la fin se ressemblent. Vous confirmez le nouveau transfert, mais les fonds vont chez lui. C’est l’empoisonnement d’adresses : une entrée dans l’historique prépare l’adresse que vous risquez de copier. Cette entrée n’autorise pas, à elle seule, un retrait. (16, 31)

Un logiciel qui détourne le presse-papiers change plutôt l’adresse après la copie. Vous copiez la bonne adresse de dépôt depuis la plateforme, la collez dans le formulaire de transfert et obtenez une autre destination sans vous en rendre compte. Cette méthode dépend d’un logiciel sur l’appareil; elle rejoint donc les pièges de téléchargement décrits plus haut. (32)

Retrouvez la destination par vos propres moyens, par exemple en vous connectant directement à votre compte sur la plateforme, puis vérifiez l’adresse complète après l’avoir collée et avant de confirmer. Vérifiez aussi la destination sur l’écran du hardware wallet lorsqu’il l’affiche. Comparer seulement le début et la fin est précisément le raccourci qu’une adresse ressemblante cherche à exploiter. (31, 32)

Le vol de votre phrase de récupération

Une phrase de récupération peut servir à recréer plusieurs clés privées; elle ne se confond pas avec une clé individuelle. Sa copie physique, par exemple les mots écrits sur papier, contient les mêmes renseignements et doit rester secrète. (55)

Ne communiquez jamais votre phrase de récupération à un tiers. Une fausse alerte ou un prétendu agent de soutien peut la demander pour « vérifier », « synchroniser » ou « restaurer » votre portefeuille. La saisir sur sa page peut exposer les clés privées concernées et permettre au fraudeur de déplacer les fonds qu’elles contrôlent sans avoir votre hardware wallet. Changer le mot de passe de l’application ou révoquer une autorisation de dépense ne lui enlève pas cet accès. Restaurer un portefeuille est une opération distincte, effectuée dans un logiciel ou un appareil dont vous avez vérifié l’origine, et non une étape pour réclamer une récompense. (34)

Une phrase de récupération offerte comme de l’argent gratuit

Une autre approche inverse la demande : quelqu’un vous donne une phrase de récupération. Imaginez y voir 1 000 USDT, sans assez d’ETH pour payer les frais. Vous ajoutez de l’ETH, mais un robot appelé sweeper bot le retire avant que vous puissiez l’utiliser. Le solde visible est l’appât. N’alimentez pas ce portefeuille pour le tester ou tenter de devancer le robot : d’autres personnes possèdent le même accès. (33)

6. Protocoles, marchés et perte d’accès

Un service réel peut comporter une faille, et un placement peut perdre de l’argent même si le logiciel fonctionne comme prévu. Comprendre la cause aide à choisir les précautions pertinentes.

Avant d’engager des fonds, identifiez de quoi dépend le placement, comment vous pourriez en sortir et quelle perte vous pourriez supporter. Protéger vos clés et vérifier la présence d’un audit ne couvre qu’une partie de ces risques. Votre prudence peut réduire les risques liés à la DeFi, sans les éliminer.

Contrats, opérateurs et dépendances communes

Failles de contrat. Des erreurs de code, de comptabilisation ou d’intégration peuvent libérer, bloquer ou mal attribuer des fonds. Un audit porte sur une version et une portée précises; des failles peuvent subsister. Vérifiez la version auditée, les réserves du rapport et les changements effectués depuis; limitez la somme exposée, car un audit ne couvre pas tout. (9)
Pouvoirs administratifs. Certaines clés permettent de remplacer le code du contrat; des contrôles d’urgence peuvent suspendre des fonctions comme les retraits. Si quelques personnes détiennent assez de votes ou de signatures pour décider seules, leur erreur ou la compromission de leurs accès peut toucher tous les utilisateurs. (9) Examinez qui peut modifier les règles, les délais d’application et votre possibilité de retirer les fonds avant un changement; réduisez votre exposition si ces pouvoirs sont mal expliqués.
Oracles et services connectés. Un oracle fournit au contrat des renseignements, par exemple le prix des actifs déposés en garantie. Une donnée erronée ou manipulée peut faire paraître cette garantie insuffisante et déclencher sa liquidation, c’est-à-dire sa vente forcée pour rembourser la dette. Une panne du service peut aussi perturber le contrat qui en dépend. Vérifiez l’origine des prix et les mécanismes prévus en cas de panne; évitez un emprunt si vous ne pouvez pas évaluer les conséquences d’une mauvaise donnée. (11, 52)
Ponts et actifs wrapped. Un actif wrapped représente un autre actif conservé dans un contrat, sur un autre réseau ou chez un dépositaire. Une défaillance de garde, de validation ou de couverture peut compromettre cette représentation. (10) Identifiez ce qui garantit la représentation et comment obtenir l’actif d’origine; limitez la durée et le montant des dépôts lorsque la sortie dépend d’un pont.
Perturbations du réseau. La congestion, des frais élevés, une panne ou la censure peuvent retarder les retraits. Certains réseaux utilisent aussi un séquenceur, un service qui détermine l’ordre de traitement des transactions. S’il tombe en panne ou retarde une demande, votre retrait ou votre remboursement d’emprunt peut lui aussi être retardé. Prévoyez une marge pour les frais et évitez une position qui exige une transaction urgente pour rester viable. Un autre site ne contourne pas une panne du réseau.
Dépositaires et dépendances communes. Une entreprise qui conserve des actifs peut bloquer les retraits ou faire faillite. Plusieurs placements peuvent aussi dépendre du même émetteur, oracle, pont ou opérateur et subir la même défaillance. Repérez les dépendances communes avant de croire vos placements diversifiés. Gardez les historiques hors de la plateforme et limitez ce qui dépend d’un seul opérateur.

Prix, emprunts et exécution des échanges

Volatilité et liquidation. La garantie peut perdre de la valeur pendant que la dette demeure. Une position peut être vendue de force avant que vous réussissiez à faire traiter une transaction sur le réseau. (11) Utilisez moins d’effet de levier, gardez une marge de garantie et des alertes; ne comptez pas sur un dépôt de dernière minute pendant une congestion.
Stablecoins. Ces actifs visent une valeur de référence, par exemple un dollar américain par unité. Leur prix peut toutefois s’en écarter. La qualité des réserves, les droits de remboursement et les restrictions de l’émetteur comptent; une référence au dollar ne garantit pas votre capital. (12) Vérifiez les réserves publiées, les conditions de remboursement et votre droit réel d’y accéder; évitez de traiter tous les stablecoins comme une seule catégorie de risque.
Liquidité et slippage. La liquidité correspond aux fonds disponibles pour effectuer les échanges. Un ordre important par rapport à ces fonds peut déplacer le prix à votre désavantage : c’est l’effet de l’ordre sur le prix. Le slippage désigne plutôt l’écart entre le prix attendu et celui obtenu à l’exécution, notamment si d’autres opérations passent avant la vôtre. Consultez le montant minimal que vous accepterez de recevoir et réglez la tolérance en conséquence. L’augmenter sans examiner le résultat pour faire passer l’ordre peut aggraver la perte. (13, 53)
Ordre des transactions. La valeur extractible maximale, ou MEV, comprend les profits tirés de l’ordre ou de l’inclusion des transactions. Dans une attaque sandwich, un acteur peut acheter un actif juste avant votre achat, puis le revendre après. Ses opérations encadrent la vôtre pour profiter du mouvement de prix et peuvent vous faire payer plus cher. (15) Limitez le slippage et examinez les protections contre la MEV offertes par le service. Elles peuvent réduire certaines attaques, sans garantir le prix.

Les risques des stratégies de rendement

Pools de liquidité. Ces réserves regroupent les fonds d’utilisateurs pour permettre les échanges. Dans certains pools de deux actifs, les échanges modifient les quantités qui composent votre dépôt. Si leurs prix évoluent, la valeur de votre part peut devenir inférieure à celle que vous auriez obtenue en conservant simplement les actifs de départ : cet écart est appelé impermanent loss. Les frais reçus ne le compensent pas nécessairement, et le mot impermanent ne promet pas sa disparition. (13, 54) Comparez ces deux possibilités et vérifiez les conditions de retrait avant de déposer.
Staking et restaking. Le staking consiste à engager des actifs pour participer à la sécurité d’un réseau. Selon le système utilisé, il expose à des pénalités, à des réductions des actifs engagés appelées slashing, à la défaillance d’un opérateur, à des délais de retrait ou à des failles de contrat. Le restaking réutilise des actifs déjà engagés pour sécuriser d’autres services, avec des conditions et des pertes possibles supplémentaires. (14) Vérifiez l’opérateur, les règles de pénalité, les services supplémentaires sécurisés et les délais de sortie; gardez hors de ces stratégies les fonds dont vous pourriez avoir besoin rapidement.

Erreurs et pertes d’accès

Une clé perdue, une passphrase oubliée, un signataire indisponible ou une succession mal préparée peuvent rendre les fonds inaccessibles. Testez la récupération avant de conserver des sommes importantes, conservez les copies physiques des phrases de récupération dans des lieux distincts et prévoyez un remplaçant ou une procédure adaptée au multisig. Pour un transfert, vérifiez le réseau, l’adresse complète et tout mémo requis; un petit essai peut limiter le montant exposé à une erreur, sans garantir le suivant. Les possibilités de récupération dépendent du système et du destinataire concernés.

7. Que faire si vous soupçonnez un incident

Si vous soupçonnez un incident, cessez les paiements et signatures supplémentaires et préservez les preuves. Décrivez ce que vous avez partagé, installé, signé ou payé, plutôt que de parler seulement de « piratage ». Suivez la section sur la réponse aux incidents du guide de sécurité pour évaluer ce qui a été exposé et les prochaines étapes. N’acceptez pas une nouvelle « vérification » de la même personne qui propose de régler l’incident.

Si vous avez exécuté un logiciel inconnu

Cessez d’utiliser l’appareil touché pour vos opérations financières et déconnectez-le du réseau. Conservez l’invitation, les messages, les noms de fichiers et l’heure d’exécution, puis coordonnez la réponse depuis un autre appareil fiable. Supprimer l’application ou obtenir une analyse antivirus favorable ne suffit pas à prouver que l’incident est réglé. (2, 19)

Si vous avez accordé une autorisation de dépense

Déconnecter le site ne révoque pas les autorisations de dépense. Pour les actifs ERC-20 et les NFT, vous pouvez consulter et révoquer les autorisations actives avec un service comme Revoke.cash ou les fonctions de gestion de certains portefeuilles, dont Rabby Wallet. Retrouvez vous-même le site officiel de l’outil ou ouvrez l’extension déjà installée. Sélectionnez le compte et le réseau touchés, puis assurez-vous que la transaction de révocation est confirmée. La transaction de révocation entraîne des frais de réseau; elle ne récupère pas les actifs déjà transférés. (6, 39, 40)

Si vous avez signé un message ou un ordre de vente

Une signature encore inutilisée demande une vérification distincte. Puisqu’elle a été donnée hors de la blockchain, elle peut ne pas encore apparaître dans la liste des autorisations. Selon le mécanisme, il peut falloir l’invalider ou annuler l’ordre concerné; ramener une autorisation actuelle à zéro n’annule pas systématiquement un permit signé encore valide. La réponse dépend de ce que vous avez signé. Conservez les détails du message et les références des transactions, sans divulguer de clé privée ni de phrase de récupération. (5, 28, 29)

Une liste d’autorisations vide ne prouve donc pas que tous les risques sont écartés.

Si vos clés ou votre phrase de récupération ont été exposées

Cessez les nouveaux dépôts aux adresses touchées et évaluez tous les comptes contrôlés par les clés exposées. N’ajoutez pas de fonds simplement pour payer les frais de réseau sans évaluer le risque : un robot de transfert peut emporter ces nouveaux dépôts aussi. Protéger les actifs restants exige de traiter les clés compromises, pas seulement de révoquer des autorisations. (33, 34)

Le GasAccount de Rabby Wallet offre une autre façon de payer ces frais : vous alimentez en USDC un compte du service, distinct du solde de l’adresse compromise, puis choisissez ce moyen de paiement dans Rabby. Vous pouvez ainsi demander un transfert sans envoyer vous-même de crypto destinée aux frais à cette adresse. Cela peut aider à déplacer les actifs restants vers un nouveau portefeuille créé avec d’autres clés, lorsque le réseau, le compte et l’opération sont pris en charge. (44)

GasAccount ne garantit toutefois pas de déjouer un robot de transfert. Le service peut envoyer à l’adresse la crypto nécessaire aux frais, comme de l’ETH, avant l’exécution de votre transaction : ce financement peut alors être emporté lui aussi. Un échec de ce type a été documenté sur une adresse contenant du code malveillant. Évaluez donc la situation avant d’y consacrer d’autres fonds. (44, 45)

Dans cet essai, le code malveillant autorisait des transferts sans nouvelle signature du propriétaire. Ce mécanisme ne suppose pas nécessairement un vol de clé : une autorisation antérieure avait permis d’associer ce code au compte. Il s’agit d’un cas précis, qui ne démontre pas que toute tentative de récupération avec GasAccount échouera. (45)

Demander de l’aide et conserver les preuves

Après une perte, les arnaques à la récupération peuvent suivre. Un prétendu enquêteur, avocat ou pirate promet de retrouver les fonds contre une avance ou un accès au portefeuille. Le fraudeur initial peut revenir sous une autre identité. Vérifiez les qualifications et le mandat indépendamment, refusez toute promesse de récupération garantie et ne donnez jamais de phrase de récupération. Conservez les preuves et adressez-vous aux autorités et aux prestataires concernés par des moyens vérifiés. (8)

Gardez les messages, URL, références des transactions, adresses et horodatages, sans joindre de clé privée ni de phrase de récupération à un signalement public. Des registres complets facilitent aussi la comptabilité, le respect des obligations fiscales et l’examen de la perte.

Communiquez avec nous

Sources

Sources initiales consultées le 28 octobre 2026. Les scénarios d’arnaques techniques ont été approfondis à partir de sources vérifiées le 29 octobre 2026. Les exemples introduits par « imaginez », y compris les montants et les prix de vente, sont fictifs; les cas documentés par les chercheurs sont identifiés séparément. Les références servent à expliquer les mécanismes et ne constituent pas un endossement. Références ci-dessous en anglais.

ArnaquesHameçonnageIngénierie socialeRisques DeFi

Dominic Nadeau