Sites de phishing crypto : comment reconnaître une fausse page de plateforme d’échange ou de portefeuille
Les sites de phishing crypto copient de vraies plateformes et de vrais portefeuilles pour voler identifiants et phrases de récupération. Découvrez les signaux d’alerte, comment ils vous atteignent et comment vous protéger.
Les sites de phishing crypto sont de fausses pages web qui imitent une vraie plateforme d’échange, un portefeuille ou une application DeFi pour voler votre identifiant, vos codes de double authentification, votre phrase de récupération ou une signature de portefeuille. Vous pouvez généralement les reconnaître à une adresse légèrement différente du vrai domaine, à la manière dont vous y êtes arrivé (une publicité, un e-mail ou un message privé) et à des demandes qu’aucun service légitime ne fait, comme taper votre phrase de récupération dans un formulaire web.
Le phishing est l’une des façons les plus courantes de perdre des cryptos, et il fonctionne aussi sur les utilisateurs expérimentés. Contrairement à une banque, une blockchain ne peut pas annuler un transfert une fois confirmé : la prévention est donc la seule défense fiable.
Comment fonctionnent les sites de phishing crypto
Les sites de phishing visent deux types de secrets :
- 1Les identifiants de compte des plateformes centralisées : e-mail, mot de passe et codes de double authentification. L’attaquant les relaie en temps réel vers la vraie plateforme, se connecte et retire les fonds.
- 2L’accès aux portefeuilles en auto-conservation : soit directement votre phrase de récupération, soit une signature qui donne à l’attaquant la permission de déplacer vos tokens. Ces sites se font souvent passer pour un DEX, un mint de NFT, une réclamation d’airdrop ou une page de « validation de portefeuille » et exécutent un script de wallet drainer.
La page elle-même est généralement une copie du code du vrai site, si bien que le design, les logos et le texte paraissent identiques. Voir aussi : Bonnes pratiques de sécurité pour les portefeuilles mobiles.
Comment les victimes arrivent sur les faux sites
- Annonces sur les moteurs de recherche. Les escrocs achètent des annonces sur des termes de recherche populaires. L’annonce apparaît au-dessus du vrai résultat et renvoie vers un domaine ressemblant.
- E-mail. De fausses alertes de sécurité (« Connexion inhabituelle détectée », « Vérifiez votre compte ») avec un lien vers une fausse page de connexion.
- Réponses sur les réseaux sociaux. Des bots répondent aux publications officielles avec des liens vers de faux airdrops ou de fausses pages de support.
- Messages privés. De faux agents du support ou de faux « admins » sur Discord, Telegram ou X envoient des liens.
- Comptes compromis. Le compte social ou le Discord d’un vrai projet est piraté et publie un lien de phishing.
- SEO et typosquatting. Des domaines qui diffèrent d’un caractère, utilisent une autre extension ou ajoutent des mots comme « app », « claim » ou « support ».
Signaux d’alerte d’une fausse page de plateforme ou de portefeuille
| Signal d’alerte | À quoi cela ressemble |
|---|---|
| Domaine ressemblant | Lettres inversées, tirets en trop, extensions inhabituelles ou caractères d’autres alphabets qui paraissent identiques |
| Demande de phrase de récupération | Un formulaire demandant 12 ou 24 mots pour « vérifier », « synchroniser » ou « restaurer » |
| Urgence | Comptes à rebours, « votre compte va être suspendu », « réclamez avant expiration » |
| Signature inattendue | Une demande du portefeuille pour approuver des tokens ou signer un message que vous n’avez pas initié |
| Arrivée par message ou publicité | C’est le lien qui est venu à vous, et non vous qui êtes allé vers lui |
| Légères erreurs visuelles | Logos obsolètes, liens cassés en pied de page, grammaire étrange |
| Offres trop belles | Tokens gratuits, promotions qui doublent votre dépôt, préventes exclusives |
Une icône de cadenas ou « https » ne signifie pas qu’un site est sûr. Les sites de phishing utilisent couramment des certificats valides. Nous détaillons ce point dans Malware du presse-papiers.
Comment vérifier un site avant de vous connecter ou de lier votre portefeuille
- 1Tapez le domaine ou utilisez un favori. Créez des favoris pour chaque plateforme, portefeuille et application DeFi que vous utilisez, et n’utilisez que ceux-là.
- 2Lisez le domaine complet dans la barre d’adresse. Regardez la partie juste avant l’extension : c’est le vrai nom du site.
exchange.com.secure-login.ioappartient àsecure-login.io, pas àexchange.com. - 3Recoupez l’URL officielle. Comparez-la avec le profil vérifié du projet sur un site de données réputé. Notre guide sur comment vérifier qu’un site web est le site officiel d’un projet détaille la démarche.
- 4Lisez chaque demande du portefeuille. Avant de signer, vérifiez avec quel contrat vous interagissez et quelle autorisation vous accordez.
- 5Ne tapez jamais votre phrase de récupération sur un site web, depuis un ordinateur ou un téléphone. Si un site vous la demande, fermez l’onglet.
Les habitudes qui préviennent le phishing
- Utilisez un gestionnaire de mots de passe. Il ne remplit les identifiants que sur le domaine exact qu’il a enregistré : il ne les saisira donc pas automatiquement sur un site ressemblant, ce qui constitue une alerte utile.
- Utilisez des clés de sécurité physiques ou une application d’authentification pour la double authentification plutôt que les SMS. Voir la double authentification pour les comptes crypto.
- Activez les listes blanches d’adresses de retrait sur les plateformes qui le proposent.
- Gardez un portefeuille séparé pour vos expériences et conservez vos fonds à long terme dans un portefeuille qui ne se connecte jamais à de nouveaux sites.
- Considérez comme suspect tout message non sollicité concernant votre compte, même s’il paraît officiel.
- Vérifiez et révoquez régulièrement les autorisations de tokens.
Si vous pensez avoir été victime de phishing
La rapidité compte :
- 1Identifiants de plateforme saisis : changez votre mot de passe et vos paramètres de double authentification depuis le vrai site, vérifiez l’absence de nouvelles adresses de retrait ou de clés API et contactez le support via le site officiel.
- 2Phrase de récupération saisie : considérez le portefeuille comme perdu. Transférez les fonds restants vers un nouveau portefeuille créé sur un appareil sain, avec une nouvelle phrase de récupération.
- 3Signature ou autorisation malveillante : révoquez immédiatement les autorisations et déplacez les actifs restants.
- 4Signalez-le : signalez le domaine à l’entreprise usurpée, au service de signalement de phishing de votre navigateur et via notre formulaire de signalement d’arnaque.
Méfiez-vous des « services de récupération » qui vous contactent ensuite. Il s’agit presque toujours d’une deuxième arnaque. Notre article Mises à jour du firmware des portefeuilles développe ce point.
En résumé
Les sites de phishing réussissent parce qu’ils ont l’air authentiques et surgissent dans des moments où vous êtes pressé. Faites de vos favoris votre unique point d’entrée, lisez attentivement les domaines, ne tapez jamais une phrase de récupération sur un site web et traitez toute demande de signature inattendue comme une menace. Ces habitudes bloquent la grande majorité des tentatives de phishing avant même qu’elles ne commencent. Pour d’autres conseils de protection, consultez nos articles sur la sécurité.
Questions fréquentes
Qu’est-ce qu’un site de phishing crypto ?
Un site de phishing crypto est un faux site web qui imite une vraie plateforme d’échange, un portefeuille ou une application DeFi pour voler vos identifiants, vos codes de double authentification, votre phrase de récupération ou une signature de portefeuille. Il ressemble souvent presque trait pour trait au vrai site et utilise un nom de domaine qui ne diffère que d’une ou deux lettres.
Comment savoir si un site crypto est faux ?
Vérifiez le domaine exact dans la barre d’adresse, caractère par caractère. Méfiez-vous si vous êtes arrivé sur le site par une publicité, un e-mail ou un message privé, s’il demande votre phrase de récupération, s’il vous presse avec un sentiment d’urgence ou s’il vous demande de signer des transactions que vous n’attendiez pas. Ajoutez les sites officiels à vos favoris et n’utilisez que ces favoris.
Un vrai portefeuille me demandera-t-il un jour ma phrase de récupération sur un site web ?
Non. Les fournisseurs de portefeuilles et les plateformes légitimes ne vous demandent jamais de saisir votre phrase de récupération sur un site web, dans un formulaire ou dans un chat avec le support. Le seul moment où vous saisissez une phrase de récupération, c’est pour restaurer un portefeuille dans l’application du portefeuille elle-même ou sur l’appareil matériel.
Que faire si j’ai saisi mes informations sur un site de phishing ?
Agissez immédiatement. Si vous avez saisi des identifiants de plateforme, changez votre mot de passe, réinitialisez la double authentification et contactez la plateforme via son site officiel. Si vous avez saisi une phrase de récupération ou signé une transaction malveillante, transférez tous les fonds restants vers un portefeuille entièrement nouveau et révoquez les autorisations.