Arnaques liées aux cryptomonnaies

Un appel téléphonique d’une personne se présentant comme un conseiller du service client, une opportunité d’investissement proposée par un visage familier, ou encore une récompense qui apparaît de manière inattendue dans votre portefeuille. Chaque situation peut sembler différente, mais elles peuvent toutes aboutir au même résultat : nous divulguons des informations sensibles, transférons des fonds ou validons une transaction sans en comprendre les implications réelles.

Nous ne pouvons pas nécessairement reconnaître une arnaque à partir du nom d’une cryptomonnaie ou de l’apparence d’une application. Ce qui importe davantage, c’est ce que l’autre partie nous demande de faire et quel accès ou contrôle nous lui accorderions. Les scénarios suivants mettent en évidence les moments où nous pouvons mettre fin à une arnaque avant qu’un préjudice ne soit causé.

Concentrez-vous sur ce que l’arnaque vous demande de faire

Un pirate peut commencer par nous faire craindre pour la sécurité de notre compte, en nous promettant des rendements exceptionnels ou en gagnant progressivement notre confiance. La pression du temps laisse alors moins de place à la vérification. Parfois, le pirate demande un nouveau dépôt après des semaines de communication ; d’autres fois, il veut que nous franchissions le pas décisif en quelques minutes. Un comportement professionnel et une volonté de répondre aux questions ne sont pas, en soi, la preuve qu’une offre est légitime.

Pour évaluer une situation, nous devons donc nous concentrer sur l’action spécifique qui nous est demandée. Nous demande-t-on de communiquer nos identifiants de connexion, d’autoriser un accès à distance à un appareil, de transférer de l’argent ou de signer quelque chose dans un portefeuille numérique ? L’expression « ce n’est qu’une étape de vérification » n’explique pas ce que cette confirmation va réellement entraîner. L’écart entre ce qui est promis et ce que l’action demandée permet de faire constitue souvent le signe avant-coureur le plus important.

Fausses offres d’assistance pour « protéger » votre compte

Quelqu’un vous appelle, connaît votre nom et se présente comme un représentant d’un service de cryptomonnaie. Il prétend que votre compte a été piraté. On vous demande d’installer un logiciel d’accès à distance et de transférer vos cryptomonnaies vers une nouvelle adresse qu’il vous fournira. Soi-disant, cela protégera vos fonds contre le vol.

Dans ce scénario, ce qui est présenté comme une mesure de sécurité devient en réalité un transfert de fonds effectué sur les instructions d’un inconnu. Le fait que l’appelant connaisse notre nom ou affiche un numéro de téléphone familier ne garantit pas son identité. Coinbase, par exemple, met en garde contre le fait que les escrocs peuvent usurper des numéros de téléphone authentiques et précise que son équipe d’assistance ne demande jamais de mots de passe, de codes de vérification ni de virements vers des adresses externes.

Nous mettons fin à l’appel et accédons au service par nos propres moyens via une application que nous connaissons déjà ou un site web vérifié. Nous vérifions s’il y a un problème et contactons le service client via un canal vérifié de manière indépendante. Nous n’utilisons pas le numéro de téléphone ni le lien fournis par l’appelant. Nous ne divulguons jamais de phrase de récupération ni de clé privée, même à quelqu’un qui promet simplement de « vérifier » notre portefeuille.

Un « conseiller en investissement » affiche des bénéfices à l’écran

Après avoir répondu à une annonce, nous sommes contactés par une personne se présentant comme un conseiller en investissement. Elle nous propose un service de trading automatisé de cryptomonnaies et nous aide à créer un compte. Dans cet exemple, nous déposons 20 000 CZK et, quelques jours plus tard, constatons un solde de 31 000 CZK. L’application semble convaincante, et le conseiller nous explique volontiers la marche à suivre.

Mais un chiffre affiché dans une application ne prouve pas que les actifs existent réellement. La police tchèque décrit des escroqueries dans lesquelles une plateforme affiche des bénéfices fictifs tandis que l’auteur de la fraude persuade progressivement la victime d’effectuer de nouveaux dépôts. Autoriser un petit retrait peut également contribuer à instaurer la confiance. Un tel versement ne prouve pas, en soi, que les fonds restants existent ou soient disponibles pour un retrait.

Lorsque nous tentons un retrait plus important, on peut nous demander de payer un montant supplémentaire au titre d’une prétendue taxe, de frais d’assurance ou de frais de déblocage de compte. Dans cet exemple, on nous demande d’envoyer 8 000 CZK supplémentaires pour accéder aux gains déjà affichés. Des demandes de plus en plus élevées ne font qu’accroître nos pertes. Le fait de qualifier un paiement de « taxe » ne le rend pas légitime.

Avant d’effectuer le premier dépôt, nous vérifions l’identité réelle de l’opérateur et son autorisation à fournir le service réglementé dans les registres officiels. Nous vérifions également que l’identité de l’entreprise correspond au site web et aux coordonnées par lesquelles nous communiquons. Un escroc peut usurper le nom d’une entreprise authentique ; la Banque nationale tchèque (CNB) recommande donc de vérifier à la fois la licence du prestataire et son identité réelle. Une photo d’un document d’autorisation ou un lien vers un registre fourni par la partie adverse ne remplace pas une vérification indépendante.

Si nous nous retrouvons déjà dans une telle situation, nous n’envoyons pas davantage d’argent dans le seul but de « récupérer » notre dépôt initial. Nous vérifions la demande indépendamment du soi-disant conseiller. La pression exercée pour contracter un emprunt ou dissimuler l’investissement à la famille et aux amis est une autre raison de prendre du recul et de reconsidérer la situation.

Un site web familier nous demande de nous reconnecter

Nous recherchons un portefeuille ou un service que nous utilisons régulièrement. Nous ouvrons un résultat affichant un logo familier, et le site web nous demande de nous connecter. Il nous demande ensuite notre phrase de récupération, soi-disant pour mettre à jour ou vérifier le portefeuille.

Il s’agit d’une forme typique de hameçonnage : un site web frauduleux usurpe l’identité d’un service de confiance pour obtenir des informations sensibles. L’attaque ne commence pas nécessairement par un e-mail suspect. Coinbase met également en garde contre les publicités frauduleuses dans les moteurs de recherche, les messages sur les réseaux sociaux et les fausses applications décentralisées. Un bon classement dans les résultats de recherche ne garantit donc pas l’authenticité d’un site web.

Avant de saisir la moindre information, nous vérifions le nom de domaine réel et l’origine de l’application. Nous ne nous fions pas à un lien provenant d’un message non sollicité ou d’une publicité comme seul moyen de vérification. Nous ne saisissons jamais de phrase de récupération dans un formulaire ouvert en réponse à une demande inattendue. Si nous avons réellement besoin de restaurer notre propre portefeuille, nous suivons les instructions vérifiées du fournisseur du portefeuille.

Une demande similaire peut même provenir d’un compte appartenant à une personne que nous connaissons. Nous vérifions les messages inhabituels via un autre canal de communication. Une expression fluide, une voix familière ou une vidéo convaincante ne constituent pas une preuve d’identité suffisante ; l’intelligence artificielle peut également être utilisée pour les imiter.

Un portefeuille demande la confirmation d’une prétendue vérification

Un site web promet une récompense si nous y connectons notre portefeuille. Une fois connectés, il prétend qu’il suffit de signer une simple demande de vérification. Or, le portefeuille affiche en réalité une demande d’autorisation d’accès aux tokens que nous possédons déjà.

Pour certains tokens et certaines applications blockchain, ce que l’on appelle une « autorisation de token » permet à une adresse ou à un contrat intelligent désigné de transférer les tokens spécifiés jusqu’à une limite convenue. Il s’agit d’un mécanisme technique normal, mais qui peut également faire l’objet d’abus. Une autorisation illimitée n’est pas, en soi, une preuve de fraude, mais elle peut considérablement aggraver les conséquences d’une autorisation accordée à la mauvaise partie.

Supposons que nous détenions 1 000 jetons USDC sur Ethereum et qu’un site web propose une récompense de 25 USDC. Au lieu de se contenter de verser la récompense attendue, il demande l’autorisation d’accéder à l’ensemble de nos USDC. Ce décalage constitue le principal signal d’alerte. Nous n’approuvons pas la demande ; nous vérifions plutôt pourquoi une telle autorisation serait nécessaire pour l’action promise.

Se connecter à un site web, signer un message et accorder une autorisation de jeton ne sont pas des actions interchangeables.

L’absence de frais de réseau ne signifie pas qu’une signature ne peut pas mettre des fonds en danger. Certains mécanismes permettent d’accorder des autorisations sur des jetons via un message signé qui peut ensuite être utilisé sur la blockchain. Une telle signature ne doit pas être automatiquement considérée comme une simple demande de connexion inoffensive.

Si nous ne comprenons pas les conséquences, nous rejetons la demande. Fermer la page ou se déconnecter du portefeuille ne révoque pas une autorisation déjà accordée. MetaMask fait explicitement la distinction entre la déconnexion d’une application et la révocation d’une autorisation de jeton.

Une récompense inconnue apparaît dans notre portefeuille

Nous trouvons dans notre liste d’actifs un token que nous n’avons jamais acheté. Son nom ou un message qui l’accompagne renvoie vers un site web où nous sommes censés pouvoir réclamer une récompense. Le site nous demande alors de connecter un portefeuille, de signer un message ou d’effectuer un paiement initial.

Le fait de recevoir un token inconnu ne signifie pas, en soi, que quelqu’un contrôle nos clés privées. Cependant, ce token peut être un leurre destiné à nous inciter à agir davantage. Coinbase met en garde contre les airdrops frauduleux ainsi que contre les jetons dont les transferts ou les ventes sont restreints par des règles cachées de contrats intelligents. Le nom ou la valeur affichés d’un jeton ne garantissent donc pas que l’actif puisse effectivement être vendu contre de l’argent.

Nous ne visitons pas de site web intégré au nom d’un token non sollicité et ne signons rien à ce sujet. Si nous ne pouvons pas établir l’origine du token, nous pouvons l’ignorer ou le masquer dans l’application. Une demande de transfert préalable pour « vérification d’adresse » ou pour débloquer une récompense est une raison suffisante pour ne pas donner suite. Des frais de réseau légitimes existent bel et bien, mais le simple fait de les mentionner ne rend pas une offre authentique.

Un «expert en recouvrement» promet de restituer les fonds perdus

Après une perte antérieure, une personne se présentant comme un spécialiste ou un représentant légal nous contacte. Elle affirme avoir retracé les fonds, connaître les détails de l’affaire et être en mesure de récupérer l’argent. Mais elle exige d’abord un paiement anticipé, des frais pour débloquer les fonds ou l’accès à notre portefeuille.

Il peut s’agir d’une fraude de suivi, communément appelée « arnaque à la récupération ». Le FBI met en garde contre les entreprises qui promettent de récupérer des cryptomonnaies volées, perçoivent des frais initiaux, puis cessent de répondre ou exigent des paiements supplémentaires. Les escrocs peuvent même se faire passer pour des personnes associées aux autorités judiciaires ou aux forces de l’ordre.

Retracer les mouvements de fonds ne revient pas à en avoir le contrôle ni à pouvoir en exiger la restitution. Un rapport répertoriant des adresses et des transactions ne prouve donc pas que son auteur contrôle l’argent. Nous ne vérifions pas la véracité d’une promesse non sollicitée de récupération garantie en effectuant un nouveau paiement. Nous fournissons les documents pertinents au service concerné et à la police, et conservons les coordonnées du nouveau contact dans le cadre de l’enquête.

Vérifiez à la fois la source et les conséquences avant de confirmer

Les scénarios décrits ci-dessus obéissent à une règle simple : vérifiez un message ou une offre par un canal indépendant de la personne qui sollicite l’action. Un autre contact fourni par cette même personne ne constitue pas nécessairement une vérification indépendante.

Avant d’effectuer un paiement, d’installer un logiciel ou de signer quoi que ce soit, nous devons nous poser quelques questions :

Avons-nous pris cette initiative nous-mêmes, ou répondons-nous à une demande non sollicitée ?

Que divulguerions-nous exactement à l’autre partie ou que lui permettrions-nous de faire ?

L’effet de l’action demandée correspond-il à ce que nous cherchons à obtenir ?

Avons-nous vérifié l’identité et les conditions indépendamment des liens et des coordonnées fournis ?

Pouvons-nous reporter la décision et prendre le temps de vérifier les informations ?

Un seul signal d’alerte ne prouve pas nécessairement qu’il s’agit d’une fraude. Mais nous n’avons pas besoin d’établir l’intention criminelle avant de refuser une demande ambiguë. Il suffit que nous ne puissions pas vérifier son origine ou expliquer de manière raisonnable pourquoi l’accès à nos fonds est nécessaire.

Si nous avons déjà répondu

Nous cessons d’envoyer de l’argent et de suivre les instructions de la personne suspecte. Si l’incident concerne un virement bancaire, une carte de paiement ou l’accès à la banque en ligne, nous contactons immédiatement notre banque. Nous contactons également le prestataire de services de cryptomonnaie concerné via ses canaux officiels. Agir rapidement peut limiter les dommages supplémentaires, même si le résultat ne peut être garanti.

La suite de notre intervention dépend des mesures déjà prises. Si un mot de passe ou un code de vérification a été divulgué, nous sécurisons le compte à l’aide d’un appareil de confiance et vérifions les appareils connectés ainsi que l’adresse e-mail de récupération. Si un ordinateur a été compromis, nous n’utilisons pas ce même appareil potentiellement dangereux ni ce même moyen d’accès pour modifier les informations du compte.

Si nous avons accordé une autorisation par jeton, nous devons vérifier et, le cas échéant, révoquer cette autorisation spécifique sur le réseau concerné. Pour les messages signés, la solution dépend du type de signature : une révocation standard de l’autorisation peut ne pas couvrir toutes les demandes signées. Nous consultons la documentation vérifiée du portefeuille que nous utilisons plutôt que de suivre un lien de « récupération » nouvellement fourni.

Si une phrase de récupération ou une clé privée a été exposée, changer le mot de passe de l’application ne suffit pas. Il peut être nécessaire de sécuriser les fonds restants à l’aide de nouvelles clés générées de manière indépendante dans un environnement de confiance, et nous devons cesser d’utiliser le portefeuille compromis. Si les fonds entrants disparaissent immédiatement, nous n’envoyons pas aveuglément davantage de cryptomonnaie pour couvrir les frais de transaction : un programme automatisé contrôlé par le pirate pourrait être en train de vider le portefeuille.

Nous conservons les messages, les adresses de sites web et les détails de paiement, y compris les identifiants de transactions en cryptomonnaie. Nous signalons toute activité criminelle présumée à la police de la République tchèque. Nous n’attendons pas un remboursement promis ni une réponse du soi-disant conseiller. La gêne ne doit pas retarder les mesures susceptibles d’empêcher de nouvelles pertes.

Conclusion

Les escroqueries liées aux cryptomonnaies aboutissent souvent lorsque quelqu’un accepte l’explication d’un pirate sans examiner les conséquences de ses propres actes. Une prétendue protection de compte peut signifier transférer de l’argent à un inconnu ; une promesse de rendements peut mener à une fausse plateforme ; et une vérification de portefeuille apparemment courante peut accorder des autorisations dangereuses.

La défense la plus efficace consiste à marquer une pause avant de passer à l’action et à vérifier les faits de manière indépendante. Un logo familier, une voix convaincante ou un solde en hausse à l’écran ne suffisent pas. Nous devons savoir qui est réellement à l’origine de la demande et ce que nous autorisons en y donnant suite.

Si nous avons déjà partagé des informations ou envoyé des fonds, les mesures à prendre ensuite doivent tenir compte de la nature du risque encouru. Sécuriser rapidement son compte, contacter la banque ou le prestataire de services et conserver les preuves sont des démarches bien plus utiles que de payer des frais supplémentaires pour une récupération promise.