Comment les portefeuilles crypto sont piratés (et comment le reconnaître)

Points clés

Les portefeuilles crypto sont compromis par les personnes et les appareils qui les entourent, pas par la blockchain elle-même. La chaîne reste intacte, tandis que ce qui cède, ce sont les clés, l’appareil ou l’attention de l’utilisateur.
La plupart des compromissions commencent discrètement. Au moment où une victime voit une transaction non autorisée, l’attaquant a généralement déjà eu accès pendant un certain temps.
Les signaux d’alerte les plus clairs sont une transaction sortante que vous n’avez pas faite, une approbation que vous ne vous souvenez pas d’avoir accordée, et de petits dépôts inattendus depuis des adresses qui semblent presque familières.
Reconnaître une compromission tôt fait la différence entre perdre un portefeuille et perdre tout ce qui y est connecté. Une fois que vous soupçonnez un problème, la rapidité compte plus que tout.
La récupération est possible dans de nombreux cas, surtout lorsque le vol est détecté rapidement et que les fonds sont tracés avant d’être convertis ou déplacés via un exchange non coopératif.
Match Systems trace les incidents de portefeuilles compromis à travers les chaînes, travaille avec les exchanges et les forces de l’ordre, et a récupéré des actifs volés dans des cas allant de portefeuilles individuels à des vols à huit chiffres.

Dans cet article

Le portefeuille est la cible, pas la blockchain
Comment les portefeuilles sont réellement compromis
Comment reconnaître un portefeuille compromis
Pourquoi les victimes s’en aperçoivent généralement trop tard
Que faire dès que vous soupçonnez une compromission
Questions fréquentes

Le portefeuille est la cible, pas la blockchain

L’expression « mon portefeuille a été piraté » ne signifie presque jamais ce que les gens croient. Il est rare que quelqu’un casse la cryptographie qui sécurise la blockchain. Dans presque tous les cas que nous enquêtons, la chaîne a fait exactement ce qu’elle devait faire. Ce qui a échoué, c’est le portefeuille autour d’elle : l’appareil qui détient les clés, le logiciel auquel le propriétaire faisait confiance, ou le moment d’inattention que l’attaquant guettait.

Cette distinction compte, car elle vous indique où regarder. Un portefeuille est un gestionnaire de clés. Quiconque contrôle la clé privée contrôle les fonds, et cette clé réside quelque part de vulnérable : dans une appli, une extension de navigateur, un fichier, une capture d’écran ou la mémoire d’une personne. Les attaquants ne s’attaquent pas aux mathématiques. Ils s’attaquent aux endroits où la clé est exposée, et ils y sont devenus très bons.

Comprendre comment cette exposition se produit, et apprendre à reconnaître les signes qu’elle a déjà eu lieu, est la compétence de sécurité la plus concrète qu’un détenteur de crypto puisse développer.

Comment les portefeuilles sont réellement compromis

Il n’y a pas de façon unique dont un portefeuille tombe. Les cas que nous voyons se regroupent en une poignée de schémas récurrents, et la plupart ne touchent jamais les défenses de la blockchain.

Malwares et infostealers sur l’appareil

Le malware infostealer est la bête de somme silencieuse du vol de portefeuilles. Une fois sur un appareil, il scanne tout ce qui a de la valeur : mots de passe stockés dans le navigateur, cookies de session, fichiers de portefeuille, et tout fichier texte ou capture d’écran pouvant contenir une phrase de récupération. L’ampleur est ce que la plupart sous-estiment. Selon un rapport de Kaspersky, les détections d’infostealers sur PC ont augmenté de 59 % dans le monde entre 2024 et 2025, et plus d’un million de comptes bancaires ont été compromis de cette manière en une seule année. Les données des portefeuilles crypto sont une cible privilégiée de ces outils, et la victime ignore généralement que le logiciel est en cours d’exécution.

La méthode de diffusion est souvent quelque chose d’apparence inoffensive. En mars 2025, le bureau du FBI à Denver a averti que des outils gratuits de conversion de fichiers en ligne servaient à charger un malware qui aspire des données sensibles, y compris les phrases de récupération et les détails de portefeuilles. L’outil fait le travail annoncé, le fichier est converti, et le malware s’installe en arrière-plan pendant que l’utilisateur passe à autre chose.

Fausses applis de portefeuille et extensions malveillantes

Un utilisateur cherche un portefeuille populaire, installe quelque chose d’identique en apparence, et soit saisit une phrase de récupération existante pour « importer » son portefeuille, soit fait confiance à une phrase fraîchement générée que l’attaquant contrôle déjà. L’interface est convaincante parce qu’il s’agit souvent d’un clone quasi parfait. La seule chose qui diffère, c’est qui reçoit les clés.

Exposition de la phrase de récupération

Cela mérite sa propre mention, car c’est la cause profonde la plus fréquente et la plus difficile à annuler. Une phrase de récupération photographiée par commodité, stockée dans une sauvegarde cloud, saisie dans un chat de support ou enregistrée dans une appli de notes est une phrase qui peut être volée sans que personne ne touche votre appareil. Une fois sortie, le portefeuille n’est plus le vôtre, même si rien n’a encore bougé.

Approbations et signatures malveillantes

Elles compromettent un portefeuille sans jamais capturer la clé. En signant ce qui ressemble à une transaction de routine sur un site malveillant, un utilisateur peut accorder à un contrat une autorisation permanente de déplacer ses jetons. Le portefeuille lui-même n’est jamais « piraté » au sens traditionnel. Il fait simplement ce qu’il a été autorisé à faire, parfois des jours après la signature.

Address poisoning

C’est le schéma le plus habile sur le plan psychologique, car il retourne la propre prudence de la victime contre elle. L’attaquant envoie une minuscule transaction depuis une adresse conçue pour imiter une adresse que la victime utilise souvent, en faisant correspondre les premiers et derniers caractères. L’adresse empoisonnée apparaît dans l’historique des transactions, et la prochaine fois que la victime copie une adresse depuis cet historique, elle copie celle de l’attaquant. En mai 2024, un détenteur a perdu environ 68 millions de dollars en Bitcoin enveloppé de cette manière, en envoyant les fonds vers une adresse sosie tirée de son propre historique. Match Systems a enquêté sur ce cas aux côtés de l’exchange Cryptex, en utilisant des empreintes d’appareil et des preuves comportementales pour identifier l’attaquant et ouvrir des négociations. En une semaine environ, les fonds ont été restitués. L’astuce technique était simple. Le levier qui a récupéré l’argent ne l’était pas.

Comment reconnaître un portefeuille compromis

C’est la partie que la plupart des guides de sécurité ignorent, et c’est celle qui décide des issues. Savoir comment un portefeuille est compromis est utile. Reconnaître que le vôtre l’a été, c’est ce qui vous donne une chance d’agir à temps.

Surveillez ces signaux :

Une transaction sortante que vous n’avez pas autorisée. C’est le signal sans ambiguïté. Si des fonds ont quitté votre portefeuille et que vous ne les avez pas envoyés, le portefeuille est compromis, point. Vérifiez-le sur un explorateur blockchain plutôt que de vous fier uniquement à l’affichage du portefeuille, qu’un attaquant sophistiqué peut manipuler.
Une approbation que vous ne vous souvenez pas d’avoir accordée. Si la liste des sites connectés ou des approbations de jetons de votre portefeuille montre des permissions accordées à des contrats que vous ne reconnaissez pas, traitez cela comme une menace active. Une approbation permanente est une porte laissée ouverte, et elle peut être utilisée longtemps après votre signature.
De petits dépôts inattendus depuis des adresses presque familières. Un minuscule transfert entrant depuis une adresse qui ressemble presque à une adresse de confiance est la signature d’une tentative d’address poisoning. Ce n’est pas de la « poussière » inoffensive. C’est un appât planté dans votre historique.
Votre appareil qui se comporte différemment. Des alertes antivirus, des processus inconnus, un navigateur qui redirige ou une machine qui ralentit après l’installation de quelque chose peuvent tous indiquer un infostealer à l’œuvre. À lui seul, ce n’est pas une preuve, mais combiné à des avoirs crypto, c’est une raison de s’arrêter et de vérifier.
Des alertes de connexion ou des réinitialisations de mot de passe que vous n’avez pas déclenchées. Les notifications d’accès depuis des appareils inconnus, ou des demandes de réinitialisation que vous n’avez jamais faites, signifient souvent qu’un attaquant progresse déjà à travers vos comptes connectés vers vos fonds.
Un téléphone qui perd soudainement le signal. Si votre service mobile tombe sans explication et reste coupé, traitez cela comme un possible SIM swap en cours, surtout si vous utilisez l’authentification par SMS quelque part dans votre configuration crypto.

Les signaux d’alerte en un coup d’œil

Ce que vous remarquez	Ce que cela signifie généralement
Transaction sortante que vous n’avez pas faite	Le portefeuille est compromis ; la clé ou une approbation est entre les mains d’un tiers
Approbation de jeton ou site connecté inconnu	Une permission permanente qu’un attaquant peut utiliser à tout moment
Dépôt minuscule depuis une adresse quasi identique	Appât d’address poisoning planté dans votre historique
Appareil lent, qui redirige ou signalé par l’antivirus	Possible infostealer récoltant clés et identifiants
Alertes de connexion ou réinitialisations de mot de passe inattendues	Une prise de contrôle de compte déjà en cours
Le téléphone perd soudainement le signal	Un possible SIM swap visant l’authentification par SMS

Pourquoi les victimes s’en aperçoivent généralement trop tard

Presque toutes les victimes avec qui nous travaillons disent une version de la même chose : elles ont senti que quelque chose clochait avant la perte, et se sont convaincues de ne pas agir. Un dépôt étrange, une invite un peu bizarre, une bizarrerie de l’appareil. La compromission commence souvent bien avant que l’argent ne bouge, et c’est exactement pourquoi les signaux précoces comptent tant. Un attaquant qui possède votre phrase de récupération peut attendre que le solde augmente. Un attaquant qui détient une approbation peut patienter jusqu’à ce qu’un jeton de grande valeur arrive. L’écart entre la compromission et le vol est la fenêtre dont vous disposez, et la plupart des gens la passent à se rassurer qu’il n’y a rien d’anormal.

Que faire dès que vous soupçonnez une compromission

L’instinct de continuer à utiliser le portefeuille, de se reconnecter ou de déplacer des fonds dans la panique aggrave généralement les choses. La bonne séquence est étroite et précise.

Cessez immédiatement d’utiliser le portefeuille et partez du principe que les clés sont exposées. Si vous avez encore accès et que le portefeuille n’est pas déjà vidé, déplacez les actifs restants uniquement depuis un appareil propre vers un tout nouveau portefeuille dont les clés n’ont jamais touché l’environnement compromis. Sachez que si la phrase de récupération est compromise, les attaquants exécutent souvent des scripts qui balaient les fonds entrants instantanément, si bien que ce n’est pas toujours possible.
Capturez les preuves. Notez le hash de la transaction non autorisée, l’adresse de réception de l’attaquant, les montants et les horodatages depuis un explorateur blockchain. C’est le point de départ de toute enquête.
Contactez un cabinet d’investigation spécialisé dès que possible. La bonne stratégie de signalement dépend des spécificités : quels actifs ont été pris, par quelles chaînes et services les fonds ont transité, et où ils se dirigent. Plus tôt Match Systems voit les détails, plus tôt nous pouvons analyser le dossier et déterminer la réaction la plus efficace, y compris quelles autorités et équipes de conformité d’exchanges impliquer et comment programmer une demande de gel tant que les fonds sont encore atteignables. Si les actifs volés comprennent des stablecoins comme l’USDT ou l’USDC, cela compte encore plus, car les émetteurs peuvent restreindre des adresses précises à la demande des forces de l’ordre, et cette fenêtre se ferme une fois les fonds convertis.

Questions fréquentes

Comment savoir si mon portefeuille crypto a été piraté ?

Le signe le plus clair est une transaction sortante que vous n’avez pas faite, que vous pouvez confirmer sur un explorateur blockchain. D’autres signaux incluent des approbations de jetons que vous ne reconnaissez pas, de petits dépôts depuis des adresses qui ressemblent presque à des adresses de confiance, un appareil qui s’est mis à mal fonctionner après un téléchargement, et des alertes de connexion ou de réinitialisation de mot de passe que vous n’avez pas déclenchées. Chacun de ces signaux est une raison de s’arrêter et d’enquêter avant de déplacer quoi que ce soit.

Peut-on pirater mon portefeuille sans ma phrase de récupération ?

Oui. Capturer la phrase de récupération est une voie, mais pas la seule. Une approbation ou une signature malveillante permet à un attaquant de déplacer des jetons précis sans jamais détenir votre clé, et un malware sur votre appareil peut altérer des transactions ou aspirer des identifiants. C’est pourquoi un portefeuille peut être compromis même lorsque vous êtes certain que personne n’a votre phrase.

La blockchain elle-même est-elle parfois piratée ?

Presque jamais, et pas dans les cas auxquels les particuliers sont généralement confrontés. La cryptographie qui sécurise les grandes blockchains a tenu bon. Ce qui est compromis, c’est le portefeuille autour : l’appareil, le logiciel, les clés ou l’utilisateur. Traiter le vol de crypto comme une défaillance de la blockchain oriente vos défenses dans la mauvaise direction.

Qu’est-ce qu’une adresse empoisonnée et pourquoi est-elle dangereuse ?

Une adresse empoisonnée est une adresse qu’un attaquant conçoit pour ressembler à une adresse que vous utilisez, en faisant correspondre les premiers et derniers caractères, puis vous envoie une minuscule transaction pour qu’elle apparaisse dans votre historique. Le danger est que vous la copiiez plus tard depuis cet historique sans vérifier les caractères du milieu et envoyiez des fonds directement à l’attaquant. Vérifiez toujours l’adresse complète, pas seulement les extrémités.

Mon portefeuille a été vidé. Les fonds peuvent-ils être récupérés ?

Parfois ; la rapidité est le facteur décisif. Lorsqu’un vol est détecté rapidement, les fonds peuvent souvent être tracés et, dans le cas des stablecoins, gelés au niveau de l’émetteur à la demande des forces de l’ordre avant d’être convertis ou déplacés via un exchange non coopératif. Match Systems trace les fonds volés à travers les chaînes et coordonne avec les exchanges et les forces de l’ordre pour soutenir la récupération, mais les chances diminuent à chaque heure qui passe.

Un portefeuille compromis est une course, et l’attaquant a une longueur d’avance.

Une fois les fonds volés échangés, transférés via des ponts ou retirés par des canaux OTC, la récupération devient nettement plus difficile. Match Systems enquête sur les incidents de portefeuilles compromis et les vols de crypto, traçant les actifs volés à travers les chaînes et travaillant avec les exchanges et les forces de l’ordre pour soutenir la récupération juridique, en s’appuyant sur une base de données propriétaire d’étiquetage d’adresses et sur des relations de conformité directes bâties au fil d’années d’investigations actives.

Lancez une évaluation de votre dossier : https://matchsystems.com