Les arnaques aux NFT et comment les éviter

La plupart des vols de NFT ont besoin de votre signature. Le travail de l'escroc consiste à vous faire signer quelque chose dans la précipitation. Cette leçon passe en revue les scénarios courants et la signature que chacun cherche à obtenir.

Les faux sites de mint

Un escroc invente un projet, ou en copie un vrai, et fait la promotion d'un « mint » par message privé, par e-mail ou sur les réseaux sociaux. Le site vous pousse à vous dépêcher : un compte à rebours, un compteur montrant que le stock s'épuise, des fenêtres annonçant que d'autres mintent.

Quand vous cliquez sur le bouton, votre portefeuille affiche l'une de ces trois choses :

• Un simple paiement. Vous envoyez des ETH et ne recevez rien.
• Une approbation de jetons. Vous donnez au contrat du site la permission de retirer des jetons de votre portefeuille.
• Une demande que votre portefeuille signale comme dangereuse. Certains portefeuilles affichent un avertissement rouge indiquant que vous risquez de céder le contrôle de vos actifs.

Les conseils de MetaMask sont clairs : minter un NFT ne devrait coûter que des ETH, donc un mint n'a aucune raison de demander une approbation. Si votre portefeuille affiche un avertissement, ne signez pas.

Les drainers d'approbations

La Leçon 53 a expliqué que la mise en vente d'un NFT utilise une fonction appelée setApprovalForAll. Elle permet à un autre contrat de déplacer tous les jetons que vous détenez dans une collection.

Les sites frauduleux demandent la même approbation en prétendant faire autre chose : réclamer une récompense, vérifier votre portefeuille, vous inscrire à une sortie. Une fois que vous avez signé, le contrat de l'escroc prend les NFT quand il le veut. Aucune autre signature n'est nécessaire.

La règle empirique de MetaMask : vous ne devriez jamais avoir à signer ce type d'approbation pour recevoir quoi que ce soit.

La Leçon 37 traite des approbations pour les jetons ordinaires. Les NFT fonctionnent de la même manière.

Les collections contrefaites

N'importe qui peut copier les images d'une collection et créer un nouveau contrat portant le même nom. Les copies apparaissent dans les résultats de recherche à côté de la vraie, souvent moins chères.

Le nom et les images ne prouvent rien. L'adresse du contrat est le seul identifiant. Prenez-la sur le site officiel du projet et comparez-la avant d'acheter.

Les NFT surprises

Un NFT que vous n'avez jamais demandé apparaît dans votre portefeuille. Son nom ou sa description contient une adresse web et une promesse : un prix à réclamer, un jeton à échanger.

C'est un appât. Le site vous demandera une approbation ou une signature. Ne touchez pas au NFT. Vous n'avez pas besoin de le supprimer, et essayer de le vendre ou de le déplacer peut être le piège.

Les rug pulls

Un projet écoule tout son mint grâce à une feuille de route : un jeu, des événements, une part des revenus futurs. Puis l'équipe cesse de répondre et l'argent a disparu. La Leçon 11 a traité des rug pulls sur les jetons. Les projets NFT échouent de la même façon.

Équipes anonymes, feuilles de route vagues et pression pour minter tout de suite sont les signes habituels.

Les faux prix

La Leçon 53 a traité du wash trading. Un escroc échange un NFT entre ses propres portefeuilles à des prix croissants, puis vous le propose avec une « remise ».

Les habitudes qui arrêtent l'essentiel

• Utilisez un portefeuille séparé pour minter et naviguer. Gardez les NFT de valeur et votre épargne dans un portefeuille qui ne se connecte jamais à de nouveaux sites.
• Accédez aux sites depuis un favori ou le profil vérifié du projet. Jamais depuis un message privé.
• Lisez la demande du portefeuille. Demandez-vous ce qu'elle permettra à l'autre partie de faire. Si vous voyez "approval for all" et que vous ne mettez rien en vente, arrêtez-vous.
• Ralentissez. L'urgence, c'est l'arnaque. Un vrai mint épuisé sans vous ne vous a rien coûté.
• Vérifiez et révoquez les approbations dont vous n'avez plus besoin.
• Souvenez-vous de ce qu'un portefeuille matériel ne fait pas. Il garde votre clé hors ligne. Il signera quand même une mauvaise approbation si vous appuyez sur le bouton.

Si vous avez signé quelque chose que vous n'auriez pas dû, la Leçon 40 propose un plan de réaction. La rapidité compte.