Dans les coulisses : comment opèrent les escrocs du monde des cryptomonnaies
Détourner Bing et DuckDuckGo

Les deux vecteurs d'attaque

Notre enquête a révélé que deux opérations parallèles et totalement différentes menées simultanément pour faire apparaître des sites de hameçonnage en tête des résultats de Bing et de DuckDuckGo.

Vecteur A : L'attaque par injection dans les pages de résultats de recherche (SERP) de Yahoo

On peut sans doute dire que c'est le la plus élégante sur le plan technique Attaque de référencement « black hat » que nous avons recensée en 2026. Elle exploite une faille fondamentale dans la manière dont Bing évalue l'autorité des liens — plus précisément, son incapacité à faire la distinction entre les liens éditoriaux authentiques et les pages de résultats de recherche générées dynamiquement à partir de domaines de confiance.

Le « Authority Score » (AS 24) hérité de Yahoo est transmis via les pages de recherche mobile vers des domaines de hameçonnage — Bing considère ce signal comme légitime

Le mécanisme — Étape par étape

Étape 1 — Génération de l'URL de l'opérateur de confiance. Les pirates créent des URL sur les points de terminaison de recherche mobile de Yahoo, répartis sur plusieurs sous-domaines internationaux : no.search.yahoo.com (Norvège), fr.search.yahoo.com (France), mx.search.yahoo.com (Mexique), pl.search.yahoo.com (Pologne), gr.search.yahoo.com (Grèce), qc.search.yahoo.com (Québec), chfr.search.yahoo.com (suisse-français), co.search.yahoo.com (Colombie). Ces pages affichent le « Authority Score » hérité de Yahoo : 23–24.

Étape 2 — Intégration du lien de hameçonnage. Chaque URL contient une requête de recherche totalement aléatoire et anodine — « pele+fifa », « Jean-Paul+Sartre », « Radio+Stars », « jucheck.exe » — mais le texte d'ancrage indique : curvefi.co Curve Finance. Les requêtes aléatoires permettent d'éviter toute détection par les filtres anti-spam.

Étape 3 — Exploration et indexation forcées. Les pirates incitent Bingbot à explorer ces URL en recourant à des services de ping de masse, à l'injection de commentaires sur des forums ou des blogs, ainsi qu'à des outils permettant de déclencher automatiquement l'exploration.

Données brutes de SEMrush — curvefi.co

L'ironie cruelle : Le site propose zéro mots-clés naturels, zéro trafic dans la base de données de SEMrush — mais il apparaît néanmoins dans les résultats de Bing/DDG pour « Curve Finance » grâce à l'autorité empruntée à Yahoo.

Vecteur B : Le réseau PBN coordonné

C'est là que l'enquête prend une tournure vraiment inquiétante. Cinq sites de hameçonnage distincts — rabbys.at, dexscreener.at, monero-wallet.at, trezorsuite.at et keplr.me — ont tous en commun un ensemble identique de sources de liens entrants. Ce n'est pas une coïncidence. C'est une seule organisation criminelle mener plusieurs campagnes de hameçonnage à partir d'une même infrastructure.

Un opérateur, 9 donneurs de PBN, 5 cibles de hameçonnage — la probabilité que ce soit une coïncidence est d'environ 0,00001 %

La preuve irréfutable — Infrastructure partagée

Profils de domaines utilisés pour le hameçonnage

La « ferme à articles » alimentée par l'IA

La variante aster-dex.at utilise un approche hybride, en combinant l'injection Yahoo avec du contenu de blog généré par l'IA et publié sur des sites piratés ou créés spécialement à cet effet au Vietnam, en Italie, en Indonésie et en Suisse.

Articles générés par l'IA sur des sites piratés — titres identiques, noms de domaine différents, tous renvoyant vers la même cible de hameçonnage

Les articles du blog ont tous des titres presque identiques : « Pourquoi les échanges de tokens et les pools de liquidité continuent de poser problème même aux traders expérimentés des DEX », « Pourquoi les teneurs de marché automatisés continuent de surprendre les traders ». Il s'agit de Articles générés par l'IA hébergés sur des sites portant les numéros AS 21 à 36, qui renvoient tous vers aster-dex.at.

Infiltration de spam dans les commentaires

keplr.me adopte une approche totalement différente : du spam pur et simple dans les commentaires de sites de grande autorité sans aucun rapport avec le sujet. De faux noms d'utilisateurs tels que « ZackaryThymn », « Fritzkah » ou « Jamesboach » insèrent des liens vers des portefeuilles cryptographiques sur des sites consacrés à l'enseignement de la philosophie (filozofija.edu.rs, AS 45), les plateformes d'engagement des employés (bavave.com, AS 63), et les festivals artistiques (lea-festival.com, AS 50).

Des sites légitimes hébergeant à leur insu des liens de hameçonnage — dissimulés parmi des commentaires d'utilisateurs d'apparence normale

Le pire du pire : le spam généré par des outils automatisés

bscscan.cfd utilise la méthode la plus rudimentaire qui soit : des packs de liens retour achetés en masse provenant de sites dont le nom est littéralement rankongoogle.agency et linksjump.click. Toutes les sources ont un AS = 0. Le TLD .cfd est un indicateur de spam connu. Pourtant, sur Bing, cela fonctionne en partie : le volume de liens de mauvaise qualité peut influencer le classement de domaines tout nouveaux n'ayant aucun antécédent négatif.

« 1 000 backlinks pour 9,99 $ » — les outils de référencement frauduleux les moins chers fonctionnent encore en partie sur Bing

Pourquoi Bing et DuckDuckGo sont-ils particulièrement vulnérables ?

La défense anti-spam à plusieurs niveaux de Google face au système de détection moins abouti de Bing : une faille dont profitent les escrocs

Stratégie de ciblage par mots-clés

Les profils de mots-clés révèlent précision chirurgicale dans le choix des cibles. Les opérateurs ne ciblent pas seulement les termes principaux liés à la marque, mais aussi les « typosquats » (« portefeuille de rabbin », « portefeuille Rubby », « dexscrenner ») et même les requêtes en chinois (« aster交易所 » (classé n° 25).

Ciblage multilingue : anglais, français, chinois, vietnamien — l'opération s'étend sur plusieurs continents

Contexte historique : le problème Trust Wallet / DuckDuckGo

Même après que Trust Wallet a cessé d'utiliser DDG comme moteur de recherche par défaut, la vulnérabilité sous-jacente persiste. Tout utilisateur qui choisit manuellement DuckDuckGo pour des raisons de confidentialité — une population qui recoupe largement celle des utilisateurs de cryptomonnaies — reste aujourd’hui exposée à ces mêmes attaques. Les opérations frauduleuses décrites dans ce rapport exploitent depuis longtemps différentes variantes de cette technique pour plusieurs années, en s'adaptant à mesure que les moteurs de recherche corrigent progressivement les failles individuelles.

Comment se protéger

• JAMAIS Connectez votre portefeuille à partir d'un résultat de recherche
• Ajouter aux favoris des sites fiables, directement
• Utilisez les DDG !bang raccourci : !g curve finance force la recherche Google
• Installez l'extension de détection du hameçonnage de MetaMask
• Vérifiez n'importe quel nom de domaine sur PhishDestroy avant de se connecter

Recommandations à l'attention de Microsoft/Bing

1. Détection des pages dynamiques : Classer les pages de résultats de recherche (Yahoo, Baidu, Google) et retirer la valeur des liens sortants
2. Détection coordonnée du PBN : Lorsque 9 domaines renvoient vers 5 sites différents présentant des schémas identiques, signaler cela comme une manipulation
3. Couche de contrefaçon de marque : Détecter les attaques par substitution de TLD (dexscreener.at ≈ dexscreener.com)
4. Surveillance des domaines .AT : Contrôle renforcé des domaines .at nouvellement enregistrés dans les résultats de recherche liés à la cryptomonnaie
5. Guide rapide de DuckDuckGo : Créer une API dédiée à la suppression des spams à laquelle DDG puisse accéder directement

Les preuves sont publiques. Les domaines sont répertoriés. Les victimes existent bel et bien. La solution est entre les mains de Microsoft.

Un seul opérateur. 26 liens de hameçonnage sur Bing. Coût : 2 $ par domaine.

Un opérateur, 26 domaines, un registraire

Nous avons effectué des requêtes RDAP sur l'ensemble des 26 domaines de hameçonnage. Chacun d'entre eux a renvoyé le même registraire : NiceNIC International Group Co., Limited. Pas la plupart. Pas la majorité. Les 23 enregistrements ont tous été interrogés avec succès — même registraire, avec 3 erreurs de limitation de débit avant la vérification (leurs modèles d'infrastructure correspondent).

23 sur 23 vérifiés. Même bureau d'enregistrement. Même client. Aucune mesure pour abus.

Données d'enregistrement RDAP — Justificatifs d'enregistrement groupé

Le guide pratique à 2 $ — Étape par étape

Oubliez le référencement sophistiqué. Oubliez les mois passés à créer des liens. Voici la stratégie complète et éprouvée qui vous permettra d'atteindre la première place dans les résultats de Bing.

Quatre étapes, 2 dollars, et Bing place un site de hameçonnage en tête du classement

Étape 1 : Registre des « typosquats »

Étape 2 : Cloner la balise de titre (0 €, 5 minutes)

L'opérateur copie exactement le <title> balise et méta-description provenant du site web du projet réel. C'est l'étape la plus importante de toutes. La page elle-même est un programme conçu pour vider les portefeuilles ou récupérer les phrases de récupération — mais <title> c'est ce que Bing classe.

Étape 3 : Soumettre au PBN masqué (0 $, 1 minute)

L'opérateur se rend sur l'un des 15 sites PBN (bye.fyi, atomizelink.icu, etc.), saisit le nom de domaine dans un champ intitulé « Saisissez votre URL », puis clique sur « Raccourcir ». Une seule soumission permet de créer une page simultanément sur les 15 sites — ceux-ci partagent en effet une même base de données.

Étape 4 : Attendre (2 à 8 semaines, 0 $)

Répartition du coût total

Au cœur du moteur de camouflage

Nous avons récupéré et analysé le code source HTML réel du réseau PBN. Chaque page de chaque domaine utilise le même moteur de cloaking.

Ce que voient les utilisateurs par rapport à ce que voit Bingbot — le z-index: 1000000 Ce mur recèle 3 500 liens

Structure de la page : 400 Ko de code HTML, plus de 3 500 liens, 4 niveaux

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://PHISHING-TARGET.finance">PHISHING-TARGET.finance</a></p>
... x 3,500 links ...

Preuve : un réseau, une base de données

orbit-protocol-lending.net apparaît sur plusieurs domaines PBN avec identifiants séquentiels provenant de la même base de données:

Une seule base de données. 15 domaines front-end. Tous les écrans affichent un contenu identique provenant du même backend.

Des identifiants identiques pour différentes « marques » = un seul backend, un seul opérateur. 15 domaines. Même modèle HTML. Même CSS (style.css). Le même code JavaScript (work.js). Les mêmes pages de 3 500 liens.

Le deuxième PBN — Réseau de vérification de domaines

Un réseau de liens distinct, plus dynamique, fournit des liens retour « dofollow » vers des cibles sélectionnées. Serveur principal : all-aged-domains.com — une installation WordPress 6.6.2 fournissant des fichiers CSS, JS et des modèles à 50 à 80 domaines satellites.

Pourquoi Bing se laisse prendre à ce piège

Le robot blindé de Google bloque les tentatives d'hameçonnage dès l'entrée. Le sympathique portier de Bing tient la porte ouverte.

La vulnérabilité du « Title-Match »

app.thnuster.cc ne dispose que d'UN SEUL lien entrant : une page de résultats de recherche Yahoo mise en cache. Elle occupe la première place sur Bing pour la requête « Thruster Finance ». Cela prouve que le classement de Bing pour les requêtes de marque à faible concurrence repose principalement sur :

1. Correspondance exacte de la balise de titre à la requête de recherche
2. Le domaine est indexé (n'importe quel signal — même un seul lien « nofollow » — suffit)
3. Aucun signal de méfiance (domaine neuf, sans antécédents)

Google exigerait des signaux d'autorité significatifs et procéderait à des recoupements avec les domaines de marques connues. Ce n'est pas le cas de Bing.

Résultats n° 1 sur Bing (vérifiés via SerpAPI, avril 2026)

Liste de protection mise à jour (marques de la partie II)

Recommandations (2e partie)

À l'attention de Microsoft/Bing :

1. Le simple fait de disputer un combat pour le titre ne suffit pas à conférer une autorité. Un titre correspondant ne devrait pas permettre à un nouveau domaine d'apparaître en première position pour les requêtes liées à la marque. Il faut tenir compte de l'ancienneté du domaine, de l'autorité des liens entrants ou des signaux de vérification de la marque.
2. Détecter le cloaking basé sur le CSS. Les pages utilisant des superpositions « z-index » qui masquent le contenu aux utilisateurs mais le laissent visible aux robots d'indexation doivent être signalées.
3. Détecter les réseaux PBN coordonnés. Le fait que 15 domaines partagent un même backend renvoyant vers les mêmes cibles ne relève pas de la création naturelle de liens.
4. Signaler les domaines enregistrés chez NiceNIC dans les résultats de recherche liés à la cryptomonnaie afin de renforcer le contrôle.
5. Créer une filière rapide pour le spam sur DuckDuckGo. DDG hérite de toutes les vulnérabilités de Bing, mais ne dispose d'aucun mécanisme indépendant de signalement du spam.

À l'attention de NiceNIC International Group Co., Limited :

À l'attention de Cloudflare :

Les 26 domaines utilisent le DNS et le proxy de Cloudflare. Ces domaines hébergent des programmes de vidage de portefeuilles et de collecte de phrases de récupération derrière l’infrastructure de Cloudflare.