Protégez vos actifs cryptographiques : guide de sécurité contre le phishing et les escroqueries

L'univers décentralisé des cryptomonnaies offre d'immenses opportunités, mais celles-ci s'accompagnent de nouveaux risques. Le phishing, les escroqueries, les contrats intelligents malveillants et d'autres types de fraudes menacent en permanence vos actifs numériques. Pour assurer votre sécurité, il est essentiel de vous tenir informé et de prendre des mesures de sécurité proactives.

Principales menaces pesant sur les crypto-actifs

1. Hameçonnage et faux sites web

Les escrocs créent des répliques exactes de plateformes populaires de crypto-monnaies, de portefeuilles ou de plateformes DeFi afin de vous inciter à leur révéler vos clés privées, vos phrases de récupération ou vos identifiants de connexion. Vérifiez toujours l'URL du site web et utilisez vos favoris plutôt que les liens contenus dans les e-mails ou les messages.

2. Ceux qui vous vident le portefeuille

Il s'agit de scripts malveillants qui, dès qu'ils se connectent à votre portefeuille ou que vous signez une transaction, peuvent le vider en transférant tous vos actifs vers le portefeuille de l'attaquant. Ils se font souvent passer pour des dApps légitimes, des projets NFT ou des airdrops.

3. Escroqueries et ingénierie sociale

Cela inclut les promesses d'argent facile, les faux concours, les stratagèmes de « pump-and-dump » et les escroqueries au prétexte d'une assistance technique, dans lesquelles on vous demande l'accès à votre portefeuille ou des informations personnelles.

Mesures concrètes pour protéger vos actifs cryptographiques

1. Révoquer régulièrement les autorisations (Revoke.cash)

Chaque fois que vous interagissez avec un contrat intelligent (par exemple, en autorisant l'utilisation de jetons sur une bourse décentralisée ou une place de marché de NFT), vous lui accordez l'autorisation d'accéder à une certaine quantité de vos jetons. Si le contrat s'avère malveillant ou est piraté, ces autorisations peuvent être exploitées pour vider votre portefeuille.

• Que faire : Utilisez des services tels que Revoke.cash. Cet outil vous permet de consulter et de révoquer toutes les autorisations que vous avez accordées aux contrats intelligents. Vérifiez régulièrement ces autorisations et révoquez celles qui sont inutiles ou suspectes. C'est d'une importance capitale pour minimiser les risques.

2. Mises à jour régulières des systèmes et des applications

Les logiciels obsolètes constituent une porte ouverte pour les pirates. Les mises à jour comprennent souvent des correctifs de sécurité qui comblent les failles connues.

• Que faire :
  • Système d'exploitation : Assurez-vous que votre système d'exploitation (Windows, macOS, Linux) est toujours à jour et qu'il utilise la dernière version.
  • Navigateurs : Utilisez les dernières versions des navigateurs (Chrome, Firefox, Brave, etc.), car elles intègrent souvent des fonctionnalités de sécurité contre le hameçonnage.
  • Portefeuilles cryptos et extensions : Mettez régulièrement à jour vos portefeuilles logiciels (par exemple, MetaMask) ainsi que toutes les extensions associées.

3. Diversification du portefeuille : ne mettez pas tous vos œufs dans le même panier

Le fait de conserver tous vos actifs cryptographiques dans un seul portefeuille augmente le risque de tout perdre en cas de piratage ou d'attaque par hameçonnage.

• Que faire :
  • Portefeuilles « chauds » : Utilisez-les uniquement pour de petits montants destinés à des transactions quotidiennes ou à des interactions avec des dApps.
  • Portefeuilles « à froid » / Portefeuilles matériels : Pour le stockage à long terme de montants importants, utilisez des portefeuilles matériels (Ledger, Trezor). Ceux-ci offrent une sécurité maximale en conservant vos clés privées hors ligne.
  • Séparation des actifs : Répartissez vos actifs entre plusieurs portefeuilles et plateformes d'échange afin de minimiser les dommages potentiels en cas d'attaque réussie visant un seul d'entre eux.

4. Vérifiez toujours les adresses et les transactions signées

Les escrocs peuvent utiliser des logiciels malveillants pour modifier l'adresse du destinataire enregistrée dans le presse-papiers ou falsifier les détails d'une transaction.

• Que faire :
  • Vérifiez bien : Vérifiez toujours attentivement l'adresse du destinataire avant d'effectuer un virement, en particulier les premiers et derniers caractères.
  • Lire les demandes de signature : Lisez attentivement toutes les demandes de signature de transaction qui s'affichent dans votre portefeuille. Assurez-vous de bien comprendre ce que vous approuvez. Les demandes suspectes (par exemple, une demande de « Set Approval For All » (Autorisation générale) vers un contrat inconnu) pourraient être des attaques de type « drainer ».

5. Utilisez l'authentification à deux facteurs (2FA)

L'authentification à deux facteurs (2FA) ajoute un niveau de sécurité supplémentaire à vos comptes sur les plateformes d'échange et les services.

• Que faire : Activez l'authentification à deux facteurs (2FA) dès que possible, en utilisant des applications d'authentification (Google Authenticator, Authy) plutôt que les SMS, car l'authentification à deux facteurs par SMS est plus vulnérable à l'interception.

6. Méfiez-vous des offres et des messages inattendus

Si une offre semble trop belle pour être vraie, c'est probablement le cas.

• Que faire : Ignorez les messages provenant d'inconnus qui vous promettent des cryptomonnaies « gratuites » ou des gains faciles. Vérifiez les informations via les canaux officiels du projet.

7. Portefeuilles matériels et signature « air-gapped »

Les portefeuilles « chauds » (navigateur/mobile) constituent la principale surface d'attaque dans le domaine des cryptomonnaies. Transférez vos avoirs à long terme vers un portefeuille matériel — Ledger, Trezor, Keystone ou BitBox — où les clés privées ne quittent jamais l'appareil. Pour les transactions portant sur des montants importants, envisagez isolé physiquement signature via un code QR (Keystone, Coldcard, AirGap Vault) afin que même un ordinateur compromis ne puisse pas exfiltrer les clés.

• Acheter des portefeuilles matériels uniquement en vente directe par le fabricant canaux — la manipulation de la chaîne d'approvisionnement constitue une véritable attaque.
• Installez l'appareil dans un environnement propre ; vérifiez les signatures du micrologiciel avant la première utilisation.
• Notez la phrase de récupération sur acier sauvegardes (Cryptotag, Billfodl) — le papier brûle et se décolore.
• Ne saisissez jamais votre mot de passe, ne le photographiez jamais et ne le stockez jamais sous forme numérique — que ce soit sur iCloud, Google Drive, dans des gestionnaires de mots de passe ou dans des applications de prise de notes.

8. Approuver les indemnités avec prudence

Les escrocs n'ont pas besoin de votre clé privée : il leur suffit d'une seule autorisation signée pour pouvoir transférer vos tokens. Chaque fois que vous signez une transaction, lisez attentivement :

• Vérifiez la fonction : approve, setApprovalForAll, permit, increaseAllowance, et signOrder accorder des droits de déplacement de jetons — et non des transferts.
• Vérifiez le distributeur : L'adresse que vous approuvez doit correspondre à un contrat de protocole connu — en aucun cas à un compte détenu par un tiers (EOA) ou à un contrat non vérifié.
• Vérifiez le montant : si on vous demande une quantité illimitée (2^256-1), préfèrent fixer un plafond précis.
• Vérifiez la chaîne : Un site de hameçonnage peut basculer votre portefeuille vers une chaîne inattendue afin de contourner vos filtres.
• Utilisation Blockaid, ScamSniffer, ou Protection pour portefeuille extensions permettant de signaler les validations malveillantes avant la signature.

9. Gestion des noms de domaine et des signets

Les attaques de hameçonnage les plus efficaces se produisent au moment où vous saisissez une URL ou cliquez sur un lien. Mesures de protection :

• Ajouter aux favoris Quel que soit le portefeuille, la plateforme d'échange ou le pont que vous utilisez, ne saisissez jamais manuellement les noms de domaine des sites sensibles.
• Évitez les résultats sponsorisés ou publicitaires sur Google : les mots-clés sponsorisés liés aux portefeuilles cryptos, aux plateformes d'échange et aux ponts sont le principal vecteur d'hameçonnage. Nous documentons ce phénomène dans Les bureaux d'enregistrement, complices d'escroqueries à l'échelle mondiale.
• Méfiez-vous de toute URL contenant des caractères inhabituels : uniswap-app.org, metamask-extension.com, app-pancakeswap.io — Les domaines officiels sont simples.
• Vérifier les noms de domaine via Certificate Transparency (crt.sh) — un certificat récemment délivré pour une marque ressemblant à une autre constitue un signal d'alerte majeur.

10. Méfiez-vous des arnaques liées à la « publicité » et aux « visionneuses » sur le lieu de travail

Les équipes du secteur des cryptomonnaies sont de plus en plus souvent victimes d’attaques d’ingénierie sociale de type professionnel, déguisées en publicités ou en propositions de partenariat. L’attaquant vous demande d’installer un « visualiseur de kit média », un « gestionnaire de publicités », un « client Zoom » ou un « outil sécurisé de signature d’accord de confidentialité » — cet « outil » est en réalité un logiciel de vol de données. Nous avons recensé un cas où cette approche a vidé les fonds d’un projet : $100K Returned — Adverting Scam Foiled.

• N'installez jamais de clients, de visionneuses ou de « programmes de mise à jour » fournis par des tiers non vérifiés.
• N'utilisez que les versions officielles proposées par les éditeurs pour Zoom, Telegram et Discord — jamais les résultats de recherche sponsorisés.
• Si un workflow nécessite un client personnalisé, considérez-le comme hostile par défaut.

11. Hygiène opérationnelle pour les équipes du secteur des cryptomonnaies

• Machine dédiée pour les opérations de trésorerie : système d'exploitation réinstallé, portefeuille matériel, nombre minimal d'extensions, pas de messagerie électronique ni de réseaux sociaux.
• Signature multiple pour tout solde de trésorerie supérieur au montant brûlé chaque mois (Safe, Squads, etc.).
• Ajouter des adresses de retrait à la liste blanche sur les plateformes d'échange ; prévoir des verrouillages temporels dans la mesure du possible.
• Sauvegarde des semences opérationnelles dans le cadre d'un stockage de données en acier réparti géographiquement avec un partage de type « M sur N » (partage de secrets de Shamir).
• Guide de gestion des incidents: déterminez à l'avance qui doit contacter qui, quels portefeuilles doivent être révoqués et où se trouvent les journaux d'audit. La première heure suivant une intrusion est décisive.

12. Si vous avez déjà été piraté

• Transférer des fonds immédiatement provenant de n'importe quel portefeuille ayant consulté un site malveillant ou signé une transaction suspecte. La rapidité prime sur la perfection du processus.
• Révoquer toutes les autorisations de jetons à l'adresse revoke.cash à partir d'un appareil propre.
• Déconnectez l'appareil compromis de tous les réseaux ; modifiez tous les identifiants utilisés sur cette machine ; réinstallez le système d'exploitation à partir d'un support vierge.
• Conservez les preuves : image disque, historique du navigateur, hachages des transactions… Vous en aurez besoin pour établir un rapport d'incident et, le cas échéant, pour procéder à une restauration.
• À l'attention de @PhishDestroy_bot et nous contacter SEAL 911 pour obtenir l'aide d'un professionnel de la sécurité en cas d'urgence.
• Consultez notre guide complet sur la gestion des incidents : Mesures d'urgence — que faire après un piratage ?.

Ressources supplémentaires pour renforcer la sécurité

Se tenir informé, c'est déjà la moitié du chemin. Sources recommandées :

• Security Alliance — Logiciels malveillants — une analyse approfondie des familles de logiciels malveillants ciblant les utilisateurs de cryptomonnaies.
• PhishDestroy : liste des sites à supprimer — Plus de 130 000 domaines actifs liés au hameçonnage et à l'escroquerie : intégrez-les à votre DNS, à votre pare-feu ou à votre navigateur.
• @PhishDestroyAlerts — des alertes en temps réel concernant les nouvelles infrastructures utilisées à des fins frauduleuses.
• Anatomie d'un retrait — Comment PhishDestroy perturbe les infrastructures de hameçonnage.
• Outils open source pour lutter contre la cybercriminalité — une suite complète d'outils OSINT.
• Enquête sur plus de 150 fausses extensions Mozilla — comment les extensions malveillantes collectent des « seeds ».

« Chez PhishDestroy, nous nous efforçons de vous fournir les outils et les connaissances nécessaires pour assurer votre sécurité dans l'univers numérique. N'oubliez pas que votre vigilance est votre première et meilleure ligne de défense. »

La protection de vos actifs cryptographiques nécessite une vigilance constante et des mesures proactives. En suivant ces recommandations, vous réduirez considérablement les risques d'être victime d'escrocs et pourrez évoluer dans l'univers de la finance décentralisée avec davantage d'assurance.