Arnaques aux fausses migrations et swaps de tokens
Le fonctionnement des arnaques à la migration de tokens, les signaux d’alerte des faux swaps V2 et portails de mise à niveau, comment vérifier une vraie migration et que faire si vous vous êtes fait piéger.
Une arnaque à la migration de tokens est une fraude dans laquelle des criminels vous expliquent qu’un token que vous détenez doit être « mis à niveau », « migré » ou « échangé » vers une nouvelle version, puis vous envoient vers un faux portail qui vide votre portefeuille au moyen d’une autorisation malveillante, d’une signature ou d’une demande de phrase de récupération. L’arnaque fonctionne parce que de vraies migrations ont bel et bien lieu : l’histoire paraît donc plausible.
Les projets changent légitimement de contrat lors de mises à niveau, de changements de marque ou de passages vers une autre chaîne. Le passage de Polygon de MATIC à POL est un exemple bien connu de transition authentique. Chaque vraie migration ouvre une période pendant laquelle les détenteurs attendent des instructions, et les escrocs se précipitent pour la remplir de fausses consignes.
Pourquoi les vraies migrations créent une brèche
Un projet peut avoir des raisons légitimes de demander aux détenteurs d’échanger leurs tokens :
- Mises à niveau de contrat. Un bug ou une nouvelle fonctionnalité nécessite un nouveau contrat de token.
- Changements de marque et de token. Un projet remplace un token par un successeur.
- Changements de chaîne. Un token passe d’une blockchain à une autre, par exemple d’un ERC-20 au mainnet propre d’un projet.
- Redénominations. L’offre est divisée ou regroupée ; par exemple, 1 ancien token devient 100 nouveaux.
Chacune de ces situations crée de la confusion, et la confusion profite aux escrocs. Beaucoup de détenteurs ne suivent pas de près l’actualité des projets ; un message convaincant affirmant que « l’ancien token va être retiré » peut donc ressembler à une information urgente et utile. À lire aussi : Le phishing via les annonces des moteurs de recherche.
Comment fonctionne l’arnaque, étape par étape
- 1Choisir une cible. Les escrocs surveillent les migrations annoncées, ou en inventent simplement une pour un token populaire.
- 2Construire le portail. Ils copient le design du site du projet sur un domaine ressemblant, avec un bouton « Migrer » ou « Réclamer la V2 ».
- 3Diffuser le lien. Ils le publient en réponse aux comptes officiels, achètent des annonces sur les moteurs de recherche, envoient des messages privés sur Telegram et Discord, distribuent par airdrop des tokens sans valeur dont le nom est une URL, ou se font passer pour l’équipe de support.
- 4Créer l’urgence. Les messages prétendent que l’ancien token va « cesser de fonctionner » ou « perdre toute sa valeur » dans les heures qui viennent.
- 5S’emparer des fonds. Le portail vous demande de connecter votre portefeuille, puis d’autoriser des dépenses illimitées, de signer un message permit ou Permit2, d’envoyer des tokens à un « contrat de migration » ou de « valider » votre portefeuille en saisissant votre phrase de récupération.
- 6Vider et blanchir. Dès que vous signez, un drainer automatisé transfère vos tokens, souvent en quelques secondes, et les répartit sur de nombreuses adresses.
Pour en savoir plus sur les techniques de signature utilisées, consultez notre guide sur l’ice phishing et les signatures permit.
Un exemple hypothétique
Ce qui suit est un exemple composite à visée illustrative, pas un cas réel.
Imaginez un détenteur nommé Sam qui possède un token DeFi de taille moyenne. Un matin, Sam voit une réponse sous la publication officielle du projet : « Rappel : les tokens V1 seront obsolètes à minuit UTC. Migrez ici. » Le lien mène à un site identique à celui du projet, à une lettre près dans le domaine. Nous abordons ce sujet plus en détail dans Faux WalletConnect et phishing par fenêtres pop-up de portefeuille.
Sam connecte un portefeuille et clique sur « Migrer ». Le portefeuille affiche une demande d’autorisation pour le token avec un montant illimité. Sam pense que c’est normal pour un swap et confirme. En moins d’une minute, la totalité du solde du token quitte le portefeuille. Une deuxième demande invite ensuite Sam à signer un message pour « recevoir les tokens V2 » ; il s’agit en réalité d’un permit pour un autre token du portefeuille. Aucun token V2 n’arrive jamais. Le vrai projet n’avait annoncé aucune migration. Voir aussi : Faux sites de bridge.
Liste des signaux d’alerte
| Signal d’alerte | Pourquoi c’est important |
|---|---|
| Vous avez appris la migration par un message privé, une réponse, une publicité ou un token reçu par airdrop | Les projets officiels communiquent via leurs propres canaux |
| Un délai qui se compte en heures | Les vraies migrations durent généralement des semaines ou des mois |
| Le site demande votre phrase de récupération ou votre clé privée | Aucune migration légitime n’en a jamais besoin |
| Une autorisation illimitée pour un token que vous « migrez » | Donne au contrat le pouvoir de tout prendre |
| Le domaine diffère légèrement du domaine officiel | Les domaines ressemblants sont au cœur de l’arnaque |
| Des « agents de support » proposent de vous aider à migrer | Les projets ne gèrent pas les migrations via des discussions privées |
| L’adresse du contrat du nouveau token ne figure pas dans la documentation officielle | Vous ne pouvez pas vérifier ce que vous recevez |
Comment vérifier une vraie migration
- 1Remontez vous-même à la source. Saisissez le domaine officiel du projet ou utilisez un favori. Cherchez une page consacrée à la migration dans la documentation et le blog officiels. Notre guide pour vérifier qu’un site web est bien le site officiel du projet explique comment faire.
- 2Recoupez l’annonce. Vérifiez qu’elle apparaît sur les comptes sociaux vérifiés du projet et, idéalement, qu’elle est relayée par les plateformes d’échange qui listent le token.
- 3Consultez votre plateforme d’échange. Si vos tokens sont sur une plateforme, cherchez son annonce officielle. Les plateformes gèrent généralement l’échange pour leurs clients.
- 4Vérifiez le nouveau contrat. Comparez l’adresse du nouveau token dans la documentation officielle et sur un explorateur de blocs, comme décrit dans notre guide pour vérifier l’adresse de contrat officielle d’un token.
- 5Lisez la transaction avant de signer. Assurez-vous que le contrat que vous autorisez correspond au contrat de migration documenté et limitez le montant de l’autorisation lorsque c’est possible.
- 6Attendez en cas de doute. Les vraies migrations pénalisent rarement les détenteurs qui prennent une journée pour vérifier.
Que faire si vous vous êtes fait piéger
Agissez vite, dans cet ordre :
- 1Révoquez les autorisations. Utilisez un outil d’autorisations réputé pour révoquer toute autorisation ou tout permit accordé au contrat frauduleux. Voir comment révoquer les autorisations de tokens.
- 2Sécurisez le portefeuille. Si vous avez saisi votre phrase de récupération, considérez le portefeuille comme compromis et transférez les actifs restants vers un tout nouveau portefeuille avec une nouvelle phrase de récupération. Suivez notre liste de contrôle sur ce qu’il faut faire immédiatement si votre portefeuille est compromis.
- 3Conservez des preuves. Enregistrez l’URL, des captures d’écran, les hashs de transaction et les adresses de l’escroc.
- 4Signalez-le. Prévenez le vrai projet, votre fournisseur de portefeuille et la plateforme où vous avez vu le lien. Vous pouvez aussi nous signaler le site et les adresses via notre formulaire de signalement d’arnaque.
- 5Méfiez-vous des arnaques à la récupération. Les personnes qui promettent de récupérer vos fonds contre rémunération mènent presque toujours une seconde arnaque.
En résumé
Les arnaques à la migration de tokens exploitent un processus réel : les projets échangent ou mettent à niveau leurs tokens de temps à autre. La parade est simple mais stricte. Ne suivez que les instructions de migration que vous avez trouvées vous-même sur les canaux officiels, vérifiez l’adresse du nouveau contrat, ne communiquez jamais une phrase de récupération et considérez l’urgence et les messages privés comme des signaux d’alarme. Si une migration est authentique, elle sera toujours là une fois vos vérifications faites.
Questions fréquentes
Qu’est-ce qu’une arnaque à la migration de tokens ?
Une arnaque à la migration de tokens fait croire aux détenteurs que leurs tokens doivent être mis à niveau, échangés ou migrés vers une nouvelle version. Les victimes sont dirigées vers un faux portail qui leur demande d’autoriser des dépenses, de signer un permit, d’envoyer des tokens à une adresse ou de saisir leur phrase de récupération. L’escroc s’empare alors des tokens ou vide le portefeuille.
Comment savoir si une migration de tokens est réelle ?
Une vraie migration est annoncée sur le site officiel du projet, dans sa documentation et sur ses comptes sociaux vérifiés, généralement avec une adresse de contrat publiée pour le nouveau token et un calendrier étendu. Les plateformes d’échange la prennent souvent en charge automatiquement pour leurs clients. Si vous n’en avez entendu parler que par un message privé, une réponse ou une publicité, considérez-la comme fausse jusqu’à preuve du contraire.
Dois-je migrer mes tokens immédiatement ?
Rarement. Les vraies migrations restent généralement ouvertes pendant des mois et sont bien documentées. Une urgence extrême, comme l’affirmation que vos tokens ne vaudront plus rien d’ici quelques heures, est l’un des signes d’arnaque les plus nets.
Que faire si j’ai autorisé un faux contrat de migration ?
Révoquez immédiatement l’autorisation à l’aide d’un outil de vérification des autorisations réputé, transférez les actifs restants vers un nouveau portefeuille si vous avez signé autre chose ou saisi votre phrase de récupération, puis signalez le site et les adresses au projet, à votre fournisseur de portefeuille et à la plateforme où vous avez trouvé le lien.