Qu'est-ce que l'hameçonnage crypto et un wallet drainer ?

L'hameçonnage crypto est une fraude par imitation. Un escroc se fait passer pour une plateforme d'échange, un portefeuille ou une application de confiance afin d'obtenir l'une de deux choses, soit les mots secrets qui contrôlent un portefeuille, soit l'approbation par son propriétaire d'une transaction qui lui remet les fonds. Un wallet drainer est le logiciel qui se charge de la seconde.

Comment fonctionne l'hameçonnage crypto ?

L'appât arrive sous la forme d'un e-mail, d'un SMS, d'une réponse sur un réseau social, d'une annonce dans un moteur de recherche ou d'un message privé. Il peut signaler un problème de sécurité, annoncer une distribution gratuite de jetons appelée airdrop, ou proposer l'aide du « service client ». Le lien mène à un site presque identique au vrai.

L'arnaque prend ensuite l'une de deux voies. Dans la première, le site demande au visiteur de saisir sa phrase de récupération, les 12 ou 24 mots qui servent de sauvegarde à un portefeuille. Quiconque possède ces mots contrôle entièrement le portefeuille. Dans la seconde, le site demande au visiteur de connecter son portefeuille et d'approuver une demande.

Qu'est-ce qu'un wallet drainer ?

Un drainer est un script intégré à un faux site. Il présente une demande d'approbation déguisée en action anodine, comme « réclamer », « vérifier » ou « se connecter ».

La ruse repose sur une fonction normale. Sur des réseaux comme Ethereum, les applications ont besoin d'une autorisation avant de pouvoir transférer les jetons d'un utilisateur, et celui-ci l'accorde en signant une approbation. Un drainer demande le même type d'autorisation, souvent sans plafond de dépense. Une fois la signature donnée, l'attaquant peut transférer ces jetons sans aucune autre confirmation.

Qu'est-ce que l'empoisonnement d'adresse ?

Cette arnaque exploite les habitudes. Un attaquant envoie une transaction minuscule ou d'une valeur nulle depuis une adresse qui commence et se termine par les mêmes caractères qu'une adresse déjà utilisée par la victime. Cette transaction reste ensuite dans l'historique de la victime.

Plus tard, la victime copie dans cet historique ce qui ressemble à une adresse de portefeuille familière et envoie de vrais fonds à l'attaquant.

Comment vérifier une demande avant de la signer ?

Les chercheurs en sécurité et les fabricants de portefeuilles recommandent les mêmes réflexes :

• Considérez la phrase de récupération comme intouchable. Aucune vraie plateforme d'échange, aucun fabricant de portefeuille ni aucun agent d'assistance ne la demande. Une telle demande est toujours une arnaque.
• Vérifiez l'adresse du site. Accéder à un site depuis un favori enregistré est plus sûr que de suivre un lien provenant d'une annonce, d'un e-mail ou d'un message.
• Lisez la demande. Le portefeuille indique quel site fait la demande et ce qu'il veut. Une autorisation de dépenser des jetons n'est pas nécessaire pour simplement consulter une page ou prouver que vous êtes propriétaire.
• Vérifiez l'adresse en entier. Il ne suffit pas que les premiers et les derniers caractères correspondent.
• Passez en revue les anciennes approbations. Les autorisations accordées aux applications restent actives tant qu'elles ne sont pas révoquées.

Un portefeuille matériel garde les clés hors ligne et affiche le détail des transactions sur son propre écran. Il ne peut pas protéger un propriétaire qui approuve une demande malveillante.