Phishing en crypto

Le phishing est l'un des types de fraude les plus répandus du secteur crypto. Sa force réside dans sa simplicité : il suffit à un attaquant de pousser quelqu'un à cliquer sur un lien ou à signer une transaction. En 2023, des sites de phishing utilisant des scripts de drainer de portefeuille ont volé environ 295 millions de dollars à plus de 320 000 portefeuilles.

Le phishing, c'est quand quelqu'un vous convainc d'ouvrir volontairement la porte de votre portefeuille — en livrant votre phrase secrète, en signant une transaction ou en saisissant votre mot de passe sur un faux site.

Comment fonctionne le phishing

Le phishing suit toujours le même schéma : d'abord la victime est attirée dans un piège, puis son accès aux actifs est extrait.

1. Canaux de diffusion

Phishing par e-mail

Des e-mails qui ressemblent à des messages officiels de plateformes d'échange ou de portefeuilles. Par exemple, « de KuCoin » avec un avertissement au sujet d'une « violation de sécurité », ou un message « de MetaMask ». Plus de détails auprès de la CISA.

Phishing web (faux sites)

Des clones de plateformes populaires. Ils apparaissent souvent en tête des résultats de recherche Google grâce aux publicités et sont identiques à l'original. La différence peut se réduire à un seul caractère dans le domaine. ScamSniffer a publié une analyse détaillée.

Publicités et réseaux sociaux

Les liens de phishing se propagent via des publicités ciblées, des publications sur les réseaux sociaux ou des bots Telegram. Par exemple, notcoin-airdrop.world, où les victimes étaient appâtées par un « airdrop gratuit », et la connexion du portefeuille entraînait le vol des fonds. Un cas similaire fut MS Drainer, qui a volé 59 M$ via Google Ads.

Phishing par SMS (smishing)

Des messages « d'une plateforme d'échange » ou « d'une banque » : « Votre compte a été bloqué, cliquez sur le lien ». Le lien mène à un faux formulaire de connexion.

Fausses applications

Des versions contrefaites de portefeuilles comme Ledger Live ou l'avertissement officiel de Ledger. Une fois installées, ces applications demandent la phrase secrète ou volent les données directement.

Communautés et influenceurs

De faux canaux Telegram, groupes Discord, streams YouTube et comptes Twitter usurpant l'identité de marques ou de leaders d'opinion. Ils font la promotion d'« offres exclusives » et de « giveaways ». Un exemple notoire : Group-IB a signalé 1,6 M$ volés en seulement trois jours. Cela a également été confirmé par BankInfoSecurity.

2. Mécanique du vol

Vol de données — la victime saisit une phrase secrète, une clé privée ou un mot de passe dans un faux formulaire ou une fausse application.

Phishing de signature — la victime est persuadée de signer une transaction « pour confirmer la sécurité » ou « pour rejoindre un airdrop ». En réalité, la signature donne à l'attaquant l'autorisation technique de vider les jetons.

Cas réels de phishing

3,13 M$ perdus en un clic

Un utilisateur a connecté son portefeuille à un site de phishing, signé une transaction — et perdu 3,13 M$ en WBTC.

Plus de détails — notre décryptage sur Telegram.

Quand le hacker devient victime

En février 2025, un hacker a volé 2 930 ETH (5,4 M$) à zkLend et a tenté de les blanchir via Tornado Cash. Mais il a fini sur un clone de phishing de Tornado Cash, actif depuis plus de cinq ans. D'autres escrocs ont récupéré ses fonds.

Plus de détails — notre publication.

Fausses applications sur l'App Store

En 2025, une fausse application Ledger Live pour Mac est apparue sur l'App Store. Les utilisateurs l'ont installée, ont saisi leurs phrases secrètes et ont perdu leurs fonds.

Streams YouTube avec Musk et Buterin

En 2022, une série de faux directs utilisant les images d'Elon Musk et de Vitalik Buterin a rapporté aux escrocs plus de 1,6 M$ en seulement trois jours.

Le phishing en chiffres

Selon ScamSniffer, au premier semestre 2025 il y a eu 43 628 victimes ayant collectivement perdu 39,33 M$ (perte moyenne ~902 $). Par rapport au premier semestre 2024, l'activité de phishing a nettement diminué.

Comment reconnaître le phishing

• L'URL du site ne diffère que d'un seul caractère.
• Le « service client » vous écrit en premier.
• Le message promet des dépôts doublés, des jetons gratuits ou des offres « trop belles pour être vraies ».
• On vous demande une phrase secrète ou une clé privée — c'est une fraude à 100 %.

Comment vous protéger

• Vérifiez toujours l'adresse du site et n'installez des applications que depuis des sources officielles.
• Ne saisissez jamais de phrases secrètes, de clés privées ou de mots de passe sur des sites tiers.
• Utilisez la 2FA via des applications d'authentification ou des clés matérielles, pas par SMS.
• Évitez de cliquer sur des liens dans des e-mails, publicités ou messages aléatoires.
• Mettez en favoris les sites officiels des services et plateformes d'échange que vous utilisez.
• Pour la gestion des actifs, utilisez un navigateur distinct, voire un appareil dédié.