Faux WalletConnect et fausses fenêtres de wallet : comment fonctionne ce phishing et comment s’en protéger
Le phishing WalletConnect utilise de fausses fenêtres de connexion et de faux pop-ups de wallet pour voler des phrases de récupération ou des signatures. Découvrez son fonctionnement, les signaux d’alerte et que faire ensuite.
Le phishing WalletConnect est une arnaque dans laquelle un faux site web affiche une fenêtre « connecter le wallet » contrefaite ou un pop-up de wallet pour vous pousser à saisir votre phrase de récupération ou à signer une transaction malveillante. Le véritable protocole WalletConnect ne demande jamais votre phrase de récupération ; il se contente de transmettre les demandes de connexion et les transactions à votre application de wallet, où vous les approuvez.
Ces arnaques fonctionnent parce que connecter un wallet est devenu une routine. On répète le même parcours des dizaines de fois, si bien qu’une imitation convaincante passe inaperçue. Savoir à quoi ressemble le vrai parcours est la meilleure défense.
Comment fonctionne le vrai parcours de connexion d’un wallet
Comprendre le processus légitime aide à repérer les contrefaçons :
- 1Vous visitez une application décentralisée et cliquez sur « Connecter le wallet ».
- 2L’application affiche une liste d’options, comme une extension de navigateur ou WalletConnect.
- 3Si vous choisissez WalletConnect, l’application affiche un QR code ou, sur mobile, ouvre votre application de wallet via un lien profond.
- 4Votre application de wallet affiche le nom et le domaine du site et vous demande d’approuver la connexion.
- 5Plus tard, lorsque vous effectuez une action, votre wallet affiche la transaction ou la demande de signature, et vous l’approuvez ou la refusez.
À aucun moment l’application n’a besoin de votre phrase de récupération ou de votre clé privée. Tout ce qui est sensible reste dans votre wallet. Notre guide sur les autorisations de wallet et les sites connectés explique ce qu’une connexion permet et ne permet pas. Pour aller plus loin, consultez Hardware wallets falsifiés et contrefaits.
Comment fonctionne l’arnaque, étape par étape
Variante 1 : vol de la phrase de récupération
- 1L’appât. La victime voit un message signalant un problème : « votre wallet n’est pas synchronisé », « réclamation échouée, validez votre wallet » ou « migrez vos tokens ». Les liens arrivent via des réponses sur les réseaux sociaux, de faux comptes de support, des publicités ou des e-mails.
- 2Le faux site. La page ressemble à un site neutre d’« outils de wallet » ou de « rectification de dapp », souvent avec l’image de marque WalletConnect et une grille de logos de wallets.
- 3La fausse panne. Un clic sur le logo d’un wallet affiche un faux indicateur de chargement, puis une erreur : « Échec de la connexion automatique. Connectez-vous manuellement. »
- 4Le vol. L’option « manuelle » demande vos 12 ou 24 mots de récupération, une clé privée ou un fichier keystore. Tout ce que vous saisissez est envoyé à l’escroc, qui vide le wallet en quelques minutes.
Variante 2 : signatures malveillantes
Ici, le site se connecte correctement à votre vrai wallet, puis vous demande de signer quelque chose de nuisible : une autorisation de tokens illimitée, une signature de permit ou une transaction qui transfère des actifs. Le pop-up est authentique ; la demande est malveillante. Notre article sur l’ice phishing et les signatures de permit traite ce sujet en détail.
Variante 3 : fausses fenêtres de wallet dans la page
Certains sites dessinent dans la page une imitation parfaite d’un wallet d’extension populaire, avec logo et champ de mot de passe. Elle peut d’abord vous demander votre mot de passe, puis votre phrase de récupération « pour restaurer l’accès ». À lire aussi : Le phishing via les annonces de recherche.
Un exemple hypothétique
Ce qui suit est un scénario composite et illustratif, pas un cas réel. Imaginez Maya, qui détient des tokens issus d’un ancien airdrop d’un projet. Elle publie sur les réseaux sociaux que sa réclamation a échoué. En quelques minutes, un compte arborant le logo du projet répond : « Désolés pour le désagrément ! Utilisez notre portail de synchronisation de wallet pour régler les réclamations en attente », avec un lien.
Le site affiche une fenêtre façon WalletConnect. Elle choisit son wallet, voit « Erreur de connexion, veuillez vous connecter manuellement », et un champ lui demande sa phrase de récupération. Elle la saisit. Dix minutes plus tard, ses tokens et la cryptomonnaie native du réseau ont été transférés. Le compte « support » supprime sa réponse.
Chaque étape comportait un signal d’alerte : une aide non sollicitée, un lien non officiel et, surtout, une demande de sa phrase de récupération. Notre article Les arnaques aux prêts crypto développe ce point.
Liste des signaux d’alerte
- Un site ou une fenêtre demande votre phrase de récupération, votre clé privée ou votre fichier keystore. Cela seul signifie que c’est une arnaque.
- La « fenêtre du wallet » ne peut pas être déplacée hors du navigateur, ou disparaît quand vous changez d’onglet.
- Le lien vous a été envoyé par une réponse, un message privé, une publicité ou un « agent de support ».
- Le domaine est inconnu, mal orthographié ou utilise une extension bizarre, et il n’est pas lié depuis le site officiel du projet.
- La page invoque un problème générique comme une « synchronisation », une « validation », une « rectification » ou une « whitelist » à corriger.
- Votre wallet affiche une demande d’approbation de dépenses illimitées ou de signature d’un message illisible auquel vous ne vous attendiez pas.
- Il y a de l’urgence : « vos actifs seront gelés dans 30 minutes ».
Comment vous protéger
- 1Ne saisissez jamais votre phrase de récupération sur un site web. Votre phrase de récupération n’a sa place que dans votre application de wallet lors d’une restauration, sur votre propre appareil.
- 2Accédez aux applications via vos favoris. Enregistrez les liens officiels depuis le site du projet et utilisez-les à chaque fois. Voir comment vérifier qu’un site web est le site officiel d’un projet.
- 3Lisez le domaine dans votre wallet. Avant d’approuver une connexion, vérifiez que le nom du site affiché dans le wallet correspond au domaine officiel.
- 4Lisez chaque demande de signature. Si vous ne pouvez pas dire ce que fait une demande, refusez-la.
- 5Utilisez un wallet séparé pour vos expérimentations. Conservez vos avoirs à long terme dans un wallet, idéalement un hardware wallet, qui se connecte rarement à de nouveaux sites.
- 6Révoquez régulièrement les anciennes autorisations. Notre guide sur comment révoquer les autorisations de tokens montre comment faire.
Que faire si cela vous est arrivé
| Situation | Action immédiate |
|---|---|
| Vous avez saisi votre phrase de récupération ou votre clé privée | Créez un nouveau wallet sur un appareil sain et transférez les fonds restants maintenant |
| Vous avez signé une autorisation ou un permit | Révoquez l’autorisation et transférez les actifs vers un wallet sûr |
| Vous vous êtes seulement connecté, sans rien signer | Déconnectez le site dans votre wallet et vérifiez les autorisations |
Suivez ensuite notre guide étape par étape sur ce qu’il faut faire immédiatement si votre wallet est compromis. Conservez l’URL du site, les hashes de transaction et des captures d’écran, et signalez le site via notre formulaire de signalement d’arnaque afin que d’autres puissent être prévenus. Méfiez-vous des « services de récupération » qui vous contactent ensuite : ce sont souvent une deuxième arnaque.
En résumé
WalletConnect et les pop-ups de wallet sont des outils sûrs lorsqu’ils proviennent de votre vrai wallet et d’une vraie application. L’arnaque réside dans les fenêtres d’imitation qui demandent votre phrase de récupération et dans les demandes malveillantes déguisées en étapes de routine. Aucun service légitime n’a besoin de vos mots de récupération. Si une fenêtre vous les demande, fermez-la.
Questions fréquentes
WalletConnect me demande-t-il parfois ma phrase de récupération ?
Non. WalletConnect est un protocole qui relie votre wallet à une application via un QR code ou un lien profond. C’est votre application de wallet qui approuve la connexion et les transactions. Aucun écran, site web ou agent de support WalletConnect légitime ne vous demandera jamais de saisir, coller ou téléverser votre phrase de récupération ou votre clé privée.
Comment savoir si un pop-up de wallet est faux ?
Un vrai wallet sous forme d’extension de navigateur ouvre sa propre fenêtre ou son propre panneau, contrôlé par l’extension. Un faux est dessiné à l’intérieur du site web : il ne peut donc pas être déplacé hors de l’onglet du navigateur et disparaît généralement si vous changez d’onglet. Le fait qu’il demande votre phrase de récupération ou qu’il apparaisse avant que vous ayez cliqué sur quoi que ce soit sont aussi de forts signaux d’alerte.
Que faire si j’ai saisi ma phrase de récupération sur un faux site ?
Considérez que le wallet est compromis. Depuis un appareil sain, créez un nouveau wallet avec une nouvelle phrase de récupération et transférez-y immédiatement les fonds restants, en commençant par les actifs les plus précieux. Révoquez ensuite si possible les autorisations de l’ancien wallet, conservez des preuves et signalez le site.
Est-il sûr de scanner un QR code WalletConnect ?
Le scan lui-même ne fait que proposer une connexion ; votre wallet affiche toujours de quel site il s’agit et ce qu’il demande. Le risque vient du fait d’approuver une connexion à un site malveillant puis de signer les transactions ou autorisations qu’il demande. Vérifiez le domaine du site affiché dans votre wallet avant d’approuver quoi que ce soit.