Hameçonnage, fausses applications et approbations malveillantes

Les voleurs qui ne peuvent pas casser la cryptographie ont deux options. Obtenir votre phrase de récupération, ou vous faire signer quelque chose qui leur livre vos jetons. Cette leçon couvre les deux voies.

Première voie : votre phrase de récupération

Les sites d'hameçonnage. Une copie du site d'un portefeuille ou d'une plateforme d'échange se trouve à une adresse qui diffère d'une lettre de la vraie. Elle est promue par des publicités, des e-mails et des messages privés. Elle vous demande de « restaurer », « vérifier » ou « synchroniser » votre portefeuille en saisissant votre phrase de récupération.

Les fausses applications. Des imitations de portefeuilles populaires atteignent les magasins d'applications officiels. En 2026, Kaspersky en a trouvé 26 sur l'App Store d'Apple. Elles capturaient la phrase de récupération pendant la saisie et l'envoyaient aux attaquants.

Le faux support. Quelqu'un répond à votre question publique par un message privé et un lien vers un « formulaire d'assistance ».

Les trois finissent de la même façon : vous tapez vos mots et le portefeuille est vidé. La règle de la Leçon 23 les met toutes en échec. La phrase ne se saisit que lorsque vous choisissez de restaurer un portefeuille, dans un logiciel installé depuis la source officielle.

Deuxième voie : votre signature

Cette voie n'a pas besoin de la phrase de récupération, et elle fonctionne aussi contre les portefeuilles matériels.

Pour utiliser un jeton avec une application sur Ethereum, vous signez d'abord une approbation. Elle autorise le contrat intelligent de l'application à déplacer ce jeton depuis votre portefeuille. Les applications demandent souvent un montant illimité pour que vous n'ayez à approuver qu'une fois.

Un site malveillant en abuse. Il se fait passer pour un nouveau projet, un airdrop ou une page de réclamation. Vous connectez votre portefeuille et signez ce qui ressemble à une étape de routine. En réalité, vous avez approuvé le contrat de l'attaquant, qui prend ensuite tous les jetons de ce type. Les outils conçus pour cela s'appellent des drainers. Chainalysis les décrit comme des sites qui « se font passer pour des projets web3 ».

Un exemple date de janvier 2024, après la compromission du compte de réseau social de la SEC elle-même. Un drainer se faisant passer pour la SEC invitait les gens à connecter leur portefeuille pour réclamer des jetons gratuits.

Ce que signifie vraiment une approbation

Elle dure jusqu'à ce que vous l'annuliez, même après avoir cessé d'utiliser l'application.
Déconnecter votre portefeuille d'un site ne l'annule pas.
Illimitée signifie tous les jetons de ce type, y compris ceux que vous ajouterez plus tard.
Si un contrat approuvé est piraté ou s'avère malveillant, il peut utiliser l'autorisation.

Les défenses

Ralentissez au moment de signer. Lisez ce qu'affiche votre portefeuille. S'il mentionne « approve », « permit » ou « set approval for all » et que vous ne vous y attendiez pas, refusez.

N'approuvez que ce dont vous avez besoin. Beaucoup de portefeuilles permettent de réduire une demande illimitée au montant de cette transaction.

Utilisez un portefeuille séparé pour les essais. Gardez un portefeuille au solde faible pour tester de nouvelles applications et réclamer des choses. Gardez l'épargne dans un portefeuille qui ne se connecte jamais à des sites.

Révoquez les anciennes approbations. Les explorateurs de blocs et des outils dédiés listent les approbations de votre adresse et permettent de les annuler. Chaque annulation est une transaction et coûte des frais. Faites-le quelques fois par an, et immédiatement après avoir signé quelque chose que vous regrettez.

Arrivez en sécurité. Utilisez des favoris. Ne cliquez ni sur les publicités ni sur les liens des messages.

Ignorez l'argent gratuit. Les jetons surprises, les airdrops auxquels vous ne vous êtes pas inscrit et les échéances urgentes pour « réclamer » sont des appâts.

Les deux règles

Ne tapez jamais votre phrase de récupération pour réparer, vérifier ou réclamer quoi que ce soit. Ne signez jamais une transaction que vous ne savez pas expliquer.