Faux sites de bridge : comment utiliser un bridge sans se faire vider son portefeuille

Un faux site de bridge est une copie ressemblante d’un vrai bridge cross-chain qui vous pousse à signer une transaction ou une autorisation de token remettant vos fonds à un attaquant. Pour utiliser un bridge sans vous faire vider votre portefeuille, n’y accédez que via un favori vérifié ou la documentation officielle, vérifiez le domaine et les adresses des contrats, lisez chaque demande du portefeuille avant de signer et faites d’abord un test avec un petit montant.

Les bridges transfèrent des tokens d’une blockchain à une autre, par exemple d’Ethereum vers un réseau de couche 2. Comme les utilisateurs passent souvent par un bridge dans la précipitation, à la poursuite d’un nouveau réseau, d’un airdrop ou d’une opération de trading, les interfaces de bridge sont une cible de choix pour le phishing. Ce guide explique le fonctionnement de l’arnaque et la routine qui permet de l’éviter.

Comment fonctionne une attaque par faux bridge

La plupart des arnaques aux faux bridges suivent les mêmes étapes :

1. 1La copie. L’attaquant clone le front-end d’un bridge populaire et l’héberge sur un domaine qui diffère d’une lettre, d’un tiret ou d’une extension.
2. 2L’appât. Il fait la promotion du lien via des annonces payantes sur les moteurs de recherche, des réponses sous les publications du vrai projet, de faux comptes de « support » ou des annonces affirmant qu’un nouveau réseau ou un airdrop nécessite de passer par un bridge.
3. 3La connexion. Vous connectez votre portefeuille. Le site lit vos soldes et sait donc quels tokens valent la peine d’être ciblés.
4. 4La demande. Vous cliquez sur « bridge ». Au lieu d’appeler le vrai contrat du bridge, le site vous demande d’autoriser un token pour le contrat d’un attaquant, de signer un permit hors chaîne ou d’envoyer des fonds directement à une adresse de l’attaquant.
5. 5Le vidage. Une fois l’autorisation accordée, le contrat de l’attaquant prélève vos tokens. Souvent, le site affiche un faux message « bridge en cours » pour gagner du temps.

Comme l’interface semble identique, le domaine et la demande du portefeuille sont vos seuls indices fiables. Nos guides sur les wallet drainers et le phishing par signature permit expliquent en détail les techniques de signature.

Un exemple hypothétique

Ce qui suit est un exemple composite à visée illustrative, pas un cas réel. Imaginez un utilisateur qui veut transférer des stablecoins d’Ethereum vers un nouveau réseau de couche 2 pour être éligible à un airdrop dont on parle. Il cherche le bridge du réseau, clique sur le premier résultat, qui est une annonce payante, et arrive sur un site qui ressemble trait pour trait au bridge officiel.

Il connecte son portefeuille et saisit le montant. Le portefeuille affiche une demande d’autorisation d’accès « illimité » à ses stablecoins par un contrat qu’il n’a jamais vu. Il pense que c’est normal pour un bridge et approuve. En moins d’une minute, la totalité de son solde en stablecoins est transférée, tandis que le site continue d’afficher « en attente de confirmations ». Lorsqu’il comprend que le bridge n’a jamais eu lieu, les fonds ont déjà été échangés et déplacés via plusieurs adresses.

Les pertes résultent de trois raccourcis : passer par une annonce de moteur de recherche, sauter la vérification du domaine et autoriser un contrat inconnu avec une limite illimitée.

Liste des signaux d’alerte

Comment utiliser un bridge en toute sécurité

Suivez cette routine à chaque fois :

1. 1Trouvez le bridge officiel à la source. Rendez-vous sur la documentation officielle du réseau de destination et suivez son lien vers le bridge. Notre guide pour vérifier qu’un site web est bien le site officiel du projet explique comment confirmer que vous êtes sur le bon domaine.
2. 2Ajoutez-le à vos favoris. Utilisez ce favori par la suite. Ne cherchez jamais un bridge pour ensuite cliquer sur une annonce.
3. 3Vérifiez le contrat. Lorsque le projet publie les adresses des contrats du bridge, comparez-les avec ce qu’affiche votre portefeuille avant d’autoriser.
4. 4Limitez les autorisations. N’autorisez que le montant que vous transférez, pas un montant illimité, lorsque votre portefeuille le permet.
5. 5Faites un petit test. Transférez d’abord un petit montant et vérifiez qu’il arrive bien sur le réseau de destination.
6. 6Utilisez un portefeuille séparé pour vos expérimentations. Un portefeuille jetable avec des fonds limités plafonne vos pertes si quelque chose tourne mal.
7. 7Révoquez une fois terminé. Supprimez les autorisations dont vous n’avez plus besoin, comme expliqué dans notre guide pour révoquer les autorisations de tokens.

Pour les risques plus généraux liés aux bridges eux-mêmes, y compris les bugs de smart contracts, lisez comment transférer des cryptos entre blockchains en toute sécurité.

Que faire si vous avez utilisé un faux bridge

Agissez vite :

1. 1Déconnectez le site et fermez l’onglet.
2. 2Révoquez les autorisations de tous les contrats que vous avez autorisés, à l’aide d’un outil de vérification des autorisations réputé auquel vous accédez via un favori.
3. 3Transférez les actifs restants vers un tout nouveau portefeuille avec une nouvelle phrase de récupération si vous avez signé quelque chose de suspect ou saisi votre phrase de récupération.
4. 4Notez les détails : le domaine, les hashs de transaction et les adresses de l’attaquant.
5. 5Signalez-le au vrai projet de bridge, à la plateforme d’échange où les fonds pourraient arriver, et via notre formulaire de signalement d’arnaque afin que d’autres puissent être prévenus.

Notre guide étape par étape sur ce qu’il faut faire immédiatement si votre portefeuille est compromis couvre l’ensemble de la marche à suivre. Ignorez toute personne qui vous contacte pour proposer de récupérer vos fonds contre rémunération : les arnaques à la récupération ciblent les victimes récentes. Pour aller plus loin, consultez Arnaques aux cartes de débit crypto et fausses offres de cartes.

En résumé

Les faux sites de bridge fonctionnent parce qu’ils ressemblent trait pour trait aux vrais et piègent les gens pressés. Fiez-vous au domaine et à la demande du portefeuille, pas au design de la page. N’accédez aux bridges que via la documentation officielle et vos favoris, n’autorisez que ce dont vous avez besoin, testez avec de petits montants et révoquez les autorisations ensuite.