Le phishing crypto expliqué : comment les escrocs volent vos accès

De nombreux vols de cryptomonnaies commencent sans aucune intrusion technique. Quelqu’un convainc simplement le propriétaire de lui donner accès à ses comptes, par exemple en saisissant un mot de passe sur la mauvaise page, en communiquant un code à voix haute ou en approuvant quelque chose qu’il n’a pas compris.

C’est du phishing : on vous incite à divulguer les informations qui permettent de contrôler vos comptes et vos fonds. Voici ce que recherchent les attaquants, comment fonctionnent les faux sites, les faux services d’assistance et les faux airdrops, ainsi que les vérifications à effectuer avant d’agir. Cet article décrit des pratiques courantes, pas des méthodes à suivre.

Ce que les attaquants cherchent vraiment à obtenir

Il y a quatre types de butin. Le premier est votre identifiant de connexion à un compte, le mot de passe et souvent l’adresse e-mail qui lui est associée. Le deuxième est un code à usage unique qui permet de terminer une connexion. Le troisième est une phrase de récupération ou une clé privée, que les consignes de sécurité d’Ethereum qualifient de clé maîtresse d’un portefeuille, car toute personne qui la possède peut accéder à tous vos comptes et vider tous vos actifs. Le quatrième est votre autorisation : une signature ou une approbation qui permet à quelqu’un de transférer vos jetons sans jamais avoir besoin de vos clés.

Les consignes d’Ethereum énoncent clairement la règle : aucun service, agent d’assistance ou site Web légitime ne vous demandera jamais une phrase de récupération ou une clé privée.

Faux sites Web et liens

Selon les consignes de sécurité d’Ethereum, les e-mails et messages de phishing vous dirigent souvent vers un site contrefait qui vous demande de saisir votre phrase de récupération, de réinitialiser votre mot de passe ou d’envoyer des cryptomonnaies. Les liens peuvent arriver par e-mail, message direct, publicité ou code QR. Même l’aperçu d’un lien peut être falsifié : il peut afficher un nom digne de confiance alors que le lien mène ailleurs. C’est pourquoi les consignes recommandent de vérifier que vous êtes sur le bon domaine, surtout après avoir cliqué sur un lien. Un favori que vous avez enregistré vous-même vous évite de devoir vous fier à un lien envoyé par quelqu’un d’autre.

Un deuxième facteur ne suffit pas toujours à empêcher ce type d’attaque. Une fausse page de connexion peut transmettre votre mot de passe et votre code à usage unique au véritable site en temps réel. Le NCSC estime que tous les deuxièmes facteurs traditionnels sont vulnérables à ce type de relais, tandis que les clés d’accès et les clés de sécurité sont liées au véritable site et y résistent. Les codes envoyés par SMS comportent un risque supplémentaire, car la FTC avertit qu’ils ne protègent pas nécessairement contre le détournement de carte SIM. Toutefois, aucune technologie ne peut vous aider si vous saisissez vous-même un code ou une phrase de récupération sur la page.

Faux services d’assistance et usurpation d’identité

Dans une arnaque au faux service d’assistance, l’attaquant se fait passer pour un membre du personnel d’assistance d’un portefeuille, d’une plateforme d’échange ou d’une blockchain. Les consignes d’Ethereum expliquent que ces escrocs repèrent les personnes qui demandent de l’aide sur des canaux publics, puis leur envoient un message privé pour leur proposer de l’assistance. Ils établissent un climat de confiance jusqu’à ce que leur cible révèle ses clés privées ou envoie des fonds. Le même procédé peut être utilisé sur n’importe quelle application de messagerie ou par e-mail.

Les règles pratiques tirées de ces consignes sont les suivantes : le personnel ne vous contacte jamais par des canaux privés et non officiels ; vous ne devez jamais autoriser qui que ce soit à accéder à distance à votre ordinateur ; et vous ne devez jamais communiquer en dehors des canaux désignés par une organisation. Un faux agent qui propose de vous rendre vos cryptomonnaies perdues en échange de vos clés compte sur un malentendu, car un réseau décentralisé ne permet pas une telle opération. La FTC ajoute que les paiements en cryptomonnaies ne peuvent généralement pas être annulés et qu’aucune entreprise ni agence gouvernementale légitime n’exigera un paiement en cryptomonnaie.

Faux airdrops et demandes d’approbation

Une arnaque à l’airdrop commence par l’apparition dans votre portefeuille d’un jeton ou d’un NFT inconnu. Un site Web vous invite ensuite à le réclamer, vous demande de connecter votre portefeuille et vous incite à approuver une transaction. Selon les consignes d’Ethereum, cette transaction peut compromettre votre compte ou simplement envoyer des fonds à l’escroc.

Le mécanisme utilisé est l’approbation de jetons. Sur Ethereum, une approbation crée une allocation qui permet à une autre adresse de dépenser vos jetons. Cette adresse peut ensuite les transférer de manière autonome, jusqu’à concurrence du montant autorisé. C’est pourquoi les consignes déconseillent les limites de dépense illimitées et recommandent de définir uniquement le montant nécessaire à une transaction. Elles renvoient également vers un guide expliquant comment révoquer l’accès aux contrats dont vous ne voulez plus. Les faux cadeaux suivent un procédé plus simple : vous envoyez des cryptomonnaies et l’on vous promet de vous en rendre le double. Les consignes précisent que ces cadeaux sont toujours des arnaques.

Que vérifier avant de cliquer, de vous connecter ou de signer

Quelques questions permettent de repérer la plupart des cas. Avez-vous pris l’initiative de ce contact, ou quelqu’un vous a-t-il contacté ? L’adresse est-elle exactement correcte, et pas seulement similaire ? Quelqu’un vous demande-t-il une phrase de récupération, un code ou un accès à distance, cherche-t-il à vous presser ou vous propose-t-il des cryptomonnaies gratuites ? Les consignes d’Ethereum résument les précautions en trois rappels : restez toujours méfiant, personne ne vous donnera des cryptomonnaies gratuitement ou à prix réduit, et personne n’a besoin d’accéder à vos clés privées.

Avant de signer quoi que ce soit, lisez ce que votre portefeuille vous indique et limitez la portée des autorisations. Si quelque chose vous semble suspect, arrêtez-vous et rendez-vous vous-même sur le site officiel, au lieu de passer par le message que vous avez reçu.

Rappel de WEEX : rendez-vous vous-même sur le site officiel

WEEX rappelle aux utilisateurs de ne pas se fier aux liens, codes QR ou pièces jointes reçus dans des messages ou des publicités, et d’ouvrir eux-mêmes les sites et applications officiels. Aucun service ni équipe d’assistance légitime n’a besoin de votre phrase de récupération, de votre code de vérification, de votre code de secours, de votre clé de configuration ou d’un accès à distance à votre appareil. Le service d’assistance officiel ne vous contacte pas par des canaux privés et non officiels. N’approuvez aucun jeton et ne signez aucune transaction que vous ne comprenez pas. Le présent contenu ne constitue pas un conseil financier.

Conclusion

Le phishing crypto vise quatre choses : vos identifiants de connexion, vos codes à usage unique, votre phrase de récupération ou votre clé privée, et l’autorisation de transférer vos jetons. Il prend la forme de faux sites, de faux services d’assistance et de faux airdrops. Un deuxième facteur n’est utile que s’il ne peut pas être relayé ni communiqué à un tiers. La plupart des attaques échouent lorsque vous prenez vous-même l’initiative du contact, ne divulguez aucun secret et lisez attentivement ce que l’on vous demande de signer.

FAQ

1. Qu’est-ce que le phishing crypto ?
Il s’agit de vous inciter à divulguer les informations qui permettent de contrôler vos cryptomonnaies, comme un mot de passe, un code à usage unique, une phrase de récupération ou une approbation de transaction, généralement par l’intermédiaire d’un faux site, d’un message ou d’un faux service d’assistance.

2. Le phishing peut-il voler mes cryptomonnaies sans ma phrase de récupération ?
Oui. Une approbation malveillante peut autoriser une adresse à dépenser vos jetons, ou vous pouvez être amené à envoyer vous-même des fonds. Un mot de passe et un code volés peuvent également permettre de prendre le contrôle d’un compte.

3. L’authentification à deux facteurs empêche-t-elle le phishing ?
Pas toujours. Selon le NCSC, une fausse page de connexion peut relayer en temps réel les codes des méthodes traditionnelles de deuxième facteur, tandis que les clés d’accès et les clés de sécurité sont liées au véritable site et résistent à ce type d’attaque.

4. Comment distinguer un faux service d’assistance d’un vrai ?
Selon les consignes d’Ethereum, les membres du personnel légitimes ne vous contactent jamais par des canaux privés et non officiels, ne vous demandent jamais votre phrase de récupération ou vos clés privées et n’ont jamais besoin d’accéder à distance à votre ordinateur.

5. Peut-on récupérer des cryptomonnaies volées ?
En général, non. La FTC indique que les paiements en cryptomonnaies ne peuvent généralement pas être annulés. Les consignes d’Ethereum avertissent également que les personnes qui proposent de rendre des fonds perdus en échange de vos clés sont des escrocs. Signalez les faits au service concerné et aux autorités locales.