BlockPulseNews
Le phishing, ou hameçonnage, est une technique d'escroquerie qui imite un service de confiance (site, message, application) pour amener la victime à révéler sa phrase de récupération ou à signer une transaction qui vide son portefeuille.
Thème : Sécurité et arnaques
Le phishing repose moins sur la technique que sur la manipulation psychologique. L'attaquant se fait passer pour une plateforme d'échange, un fabricant de portefeuille, un support client ou un projet populaire. Il crée l'urgence (« votre compte sera suspendu »), la peur (« activité suspecte détectée ») ou l'appât du gain (« réclamez votre airdrop »), puis dirige la victime vers une copie quasi parfaite du site officiel, souvent avec une adresse web à une lettre près.
Dans l'univers crypto, le piège prend deux formes principales. La première consiste à faire saisir la phrase de récupération ou une clé privée dans un faux formulaire : l'attaquant peut alors recréer le portefeuille et tout transférer. La seconde, plus subtile, consiste à faire signer une transaction ou un message : une autorisation de dépense illimitée, un permit hors chaîne ou un transfert déguisé. La victime croit se connecter ou réclamer une récompense alors qu'elle donne les clés de ses actifs.
Les vecteurs sont nombreux : e-mails, SMS, publicités sponsorisées dans les moteurs de recherche, faux comptes sur les réseaux sociaux, messages privés sur Discord ou Telegram, faux logiciels de portefeuille et même courriers postaux. Aucun service légitime ne demande jamais une phrase de récupération. Les attaquants exploitent aussi l'actualité, comme un nouveau lancement de token ou un piratage récent, pour rendre leur message plus crédible.
Imaginons que Claire reçoive un e-mail aux couleurs de son fabricant de portefeuille matériel, annonçant une faille critique et l'invitant à « vérifier » son appareil. Le lien mène à un site identique à l'original, qui lui demande ses 24 mots pour lancer la vérification. Dès qu'elle les saisit, un script transfère tous ses fonds vers l'adresse de l'escroc. Le portefeuille matériel n'a pas été piraté : c'est la phrase qui a été volée.
Une transaction signée sur la blockchain est en principe irréversible : les fonds dérobés sont rarement récupérés. Les bonnes pratiques consistent à accéder aux services via des favoris enregistrés, à ne jamais saisir sa phrase de récupération en ligne, à lire ce que l'on signe et à se méfier de toute urgence artificielle.
Vérifiez l'adresse exacte du site, méfiez-vous des liens reçus par message ou des annonces sponsorisées, et considérez toute demande de phrase de récupération comme une arnaque certaine.
Transférez au plus vite les actifs restants vers un nouveau portefeuille sain et révoquez les autorisations de dépense accordées. Si la phrase de récupération a été saisie, l'ancien portefeuille doit être considéré comme définitivement compromis.
Nos articles qui parlent de Phishing, les plus pertinents d'abord.