Comptes sociaux de projets piratés : comment éviter les fausses annonces
Quand un compte Twitter crypto piraté publie un faux airdrop ou un faux mint, les pertes arrivent vite. Découvrez comment se déroulent les prises de contrôle, les signaux d’alerte et comment vérifier les annonces.
Quand le compte d’un projet crypto sur les réseaux sociaux est piraté, les attaquants s’en servent pour publier de fausses annonces, généralement un airdrop surprise, un mint ou une migration de tokens, qui envoient les abonnés vers un site qui vide les portefeuilles. La meilleure protection est simple : n’agissez jamais sur la base d’un seul post ; confirmez toute annonce qui concerne votre portefeuille sur au moins un autre canal officiel, comme le site ou la documentation du projet.
Ces attaques fonctionnent parce qu’elles empruntent une confiance réelle. Le compte est authentique, le badge est authentique et les abonnés sont authentiques. Seul le post est faux, et les attaquants savent qu’il leur suffit d’une courte fenêtre avant que l’équipe ne reprenne le contrôle.
Comment se produisent les prises de contrôle de comptes
Les attaquants « piratent » rarement la plateforme elle-même. Ils ciblent les personnes et les services connectés :
- Phishing visant les membres de l’équipe. De faux messages évoquant une plainte pour droits d’auteur, un problème de vérification ou une offre de partenariat poussent le personnel à se connecter sur une fausse page.
- SIM swaps. Si un compte repose sur des codes par SMS, un attaquant qui prend le contrôle du numéro de téléphone peut réinitialiser le mot de passe. Consultez notre guide sur les attaques par SIM swap.
- Outils tiers compromis. Les applications de planification ou d’analyse disposant d’un droit de publication peuvent devenir une porte dérobée.
- Mots de passe faibles ou réutilisés. Un mot de passe divulgué sur un autre site peut déverrouiller le compte.
- Initiés ou anciens prestataires qui ont conservé leur accès après leur départ.
Les serveurs Discord et Telegram font face à des risques similaires via des comptes de modérateurs compromis ou des bots malveillants qui publient dans les canaux d’annonces.
Comment l’arnaque se déroule, étape par étape
- 1Prise de contrôle. L’attaquant obtient l’accès et change souvent l’e-mail et le numéro de récupération pour bloquer l’équipe.
- 2Préparation. Il met en place un site convaincant sur un domaine sosie, généralement relié à un wallet drainer.
- 3Le post. Une fausse annonce apparaît : « Airdrop surprise pour les holders », « Notre token migre ; faites le swap maintenant » ou « Mint gratuit limité, 30 minutes seulement ».
- 4Amplification. Les réponses sont restreintes pour empêcher les avertissements, le post peut être épinglé, et d’autres comptes compromis ou bots le repartagent.
- 5Le vidage. Les victimes connectent leur portefeuille et signent des autorisations ou des transactions qui livrent leurs actifs. Notre article explicatif sur les wallet drainers montre comment fonctionnent ces contrats.
- 6Le nettoyage. L’équipe récupère l’accès quelques heures plus tard, supprime les posts et prévient les utilisateurs, mais les transactions signées ne peuvent pas être annulées.
Un exemple hypothétique
Ce scénario est une composition à titre d’illustration, pas un cas réel. Imaginez un projet DeFi de taille moyenne avec un compte bien connu. Un dimanche soir, il publie : « Pour fêter notre anniversaire, tous les holders peuvent réclamer un bonus. Le claim se termine dans deux heures », avec un lien vers un domaine qui diffère d’une lettre du domaine officiel. Les réponses sont limitées. Nous abordons ce point plus en détail dans Comment trouver les comptes sociaux officiels d’un projet crypto.
De nombreux abonnés cliquent. Le site leur demande de connecter un portefeuille et de signer une demande de « claim ». En réalité, la signature donne à un drainer la permission de déplacer leurs tokens. Deux heures plus tard, les autres canaux du projet publient un avertissement indiquant que le compte était compromis. Le mal est déjà fait. Voir aussi : Les applications sociales crypto et les réseaux de type Farcaster expliqués.
Les indices : une récompense non annoncée, un délai court, un domaine légèrement erroné, des réponses limitées et aucun post correspondant sur le site du projet. À lire aussi : Faux cours de trading crypto et faux gourous.
Liste des signaux d’alerte
| Signal | Pourquoi c’est important |
|---|---|
| Airdrop surprise, claim ou mint gratuit | L’appât le plus courant, car il promet quelque chose pour rien |
| « Migration » ou « swap de token » avec une date limite | Les vraies migrations sont planifiées et annoncées sur tous les canaux bien à l’avance |
| Domaine non lié depuis le site officiel | Les attaquants misent sur des domaines sosies |
| Réponses désactivées ou limitées | Empêche la communauté d’avertir les autres |
| Publié à une heure inhabituelle pour l’équipe | Les prises de contrôle ont souvent lieu quand l’équipe est hors ligne |
| Vous demande de connecter un portefeuille et de signer vite | L’urgence empêche une vérification attentive |
| Ton ou style différent des posts habituels | Les attaquants reproduisent rarement la voix de l’équipe |
Comment vérifier une annonce
- 1Consultez le site officiel. La page d’actualités, le blog ou une bannière du site en parlent-ils ? Saisissez l’adresse vous-même ; ne suivez pas le lien du post.
- 2Consultez les autres canaux officiels. Regardez la documentation du projet, ses autres comptes sociaux ou son forum officiel. Les équipes y publient généralement vite un avertissement quand un compte est compromis.
- 3Comparez le domaine. Assurez-vous que le lien correspond, caractère par caractère, au domaine indiqué dans la documentation officielle. Notre guide sur comment vérifier qu’un site est bien le site officiel du projet propose une méthode pas à pas.
- 4Attendez. Les vrais claims et les vraies migrations exigent rarement d’agir en quelques minutes. Attendre une heure coûte peu ; se précipiter peut tout coûter.
- 5Cherchez des messages signés. Certains projets publient des déclarations signées cryptographiquement. Lisez comment vérifier un message signé par un projet.
Comment vous protéger dans la durée
- Ajoutez les sites et applications officiels à vos favoris et n’utilisez que ces favoris.
- Utilisez un portefeuille « burner » séparé avec de petits soldes pour les claims et les mints.
- Activez la simulation de transactions ou le clear signing si votre portefeuille le propose.
- Révoquez régulièrement les autorisations inutilisées.
- Suivez les projets sur plus d’un canal afin de pouvoir recouper rapidement.
Que faire si vous vous êtes fait piéger
- Vous avez seulement visité le site : fermez-le et ne téléchargez rien de ce qu’il proposait.
- Vous avez connecté et signé : révoquez les autorisations et transférez vos actifs vers un portefeuille sûr.
- Vous avez saisi votre phrase de récupération : créez un nouveau portefeuille et transférez immédiatement les fonds restants.
Notre guide sur ce qu’il faut faire immédiatement si votre portefeuille est compromis détaille chaque étape. Conservez le post, le lien et les hashs de transaction, et signalez le faux site via notre formulaire de signalement d’arnaque. Pour les étapes suivantes auprès des plateformes et des autorités, lisez comment signaler une arnaque crypto et ce qui se passe ensuite.
En résumé
Un compte Twitter crypto piraté ressemble exactement au vrai, parce que c’est le vrai, temporairement entre de mauvaises mains. Considérez tout post qui vous demande de connecter un portefeuille comme non vérifié tant que vous ne l’avez pas confirmé sur le site officiel ou sur un autre canal officiel. Quelques minutes de vérification bloquent la façon la plus courante dont ces prises de contrôle se transforment en pertes.
Questions fréquentes
Comment les comptes de projets crypto sont-ils piratés ?
Les voies courantes sont les messages de phishing envoyés aux membres de l’équipe, comme de faux avis de droits d’auteur ou de vérification, les SIM swaps qui détournent les codes de connexion par téléphone, les applications tierces compromises disposant d’un droit de publication, les mots de passe réutilisés et, parfois, des initiés. Une fois aux commandes, les attaquants publient de faux liens pendant que la vraie équipe est bloquée hors du compte.
Comment savoir si l’annonce d’un projet est fausse ?
Vérifiez si la même annonce figure sur le site officiel, dans la documentation, sur le blog et sur les autres canaux du projet. Méfiez-vous des airdrops surprises, des mints urgents, des migrations de tokens et des liens vers des domaines inconnus, surtout si les réponses sont désactivées ou si le post est inhabituellement insistant.
Que faire si j’ai cliqué sur un lien publié par un compte piraté ?
Si vous avez seulement visité le site, fermez-le et supprimez tout téléchargement. Si vous avez connecté un portefeuille et signé quelque chose, révoquez les autorisations et transférez vos actifs vers un portefeuille sûr. Si vous avez saisi une phrase de récupération, considérez le portefeuille comme compromis, transférez immédiatement les fonds vers un nouveau portefeuille, puis signalez l’incident.
Un badge de vérification peut-il me protéger des fausses annonces ?
Non. Quand un compte est piraté, c’est le vrai compte vérifié qui publie l’arnaque : le badge, le nombre d’abonnés et l’historique ont donc l’air authentiques. La vérification indique seulement à qui appartient le compte, pas si le post actuel a été publié par son propriétaire légitime.