Un faux site crypto peut copier la page d’un exchange, d’un wallet ou d’une distribution de tokens tout en utilisant un domaine ressemblant à l’original. Vérifiez le domaine complet à partir d’une source officielle indépendante avant de vous connecter, de télécharger un logiciel, d’associer un wallet ou de signer. La présence d’un cadenas ne prouve pas que le site est légitime.
Comprendre ce que recherche la fausse page#
Les pages de phishing crypto poursuivent plusieurs objectifs. Certaines capturent les identifiants d’exchange et les codes à usage unique. D’autres réclament une phrase de récupération sous prétexte de « synchroniser » le wallet. Un drainer Web3 peut vous laisser connecter le wallet normalement, puis afficher une autorisation ou une signature permettant de déplacer des actifs.
La qualité visuelle constitue un indice médiocre. Les attaquants peuvent copier logos, textes, systèmes graphiques et même articles du centre d’aide. Les preuves fiables résident dans le domaine, l’éditeur du logiciel, le contenu de la transaction et le parcours utilisé pour atteindre la page.
Lire le nom d’hôte de droite à gauche#
Dans support.example.com, le domaine enregistrable est example.com ; « support » est un sous-domaine. Dans example.com.security-check.net, le domaine contrôlé est security-check.net, et non example.com.
Méfiez-vous notamment :
- des fautes d’orthographe, caractères remplacés et mots ajoutés ;
- des extensions nationales ou génériques inhabituelles ;
- d’une marque placée dans le sous-domaine d’un site sans rapport ;
- des raccourcisseurs d’URL qui masquent la destination ;
- des annonces de recherche apparaissant au-dessus du vrai résultat ;
- des caractères internationaux ressemblant à des lettres latines.
HTTPS signifie seulement que la connexion au domaine affiché est chiffrée. Un escroc peut obtenir un certificat TLS valide pour son propre faux domaine. Les alertes de certificat sont graves, mais l’absence d’alerte ne constitue pas une approbation.
Vérifier le site officiel par un parcours indépendant#
Ne vérifiez pas un lien à partir des informations contenues dans le message qui vous l’a envoyé. Ouvrez un favori enregistré, saisissez une adresse déjà vérifiée, utilisez l’application mobile officielle ou recoupez le domaine dans plusieurs canaux établis du projet.
Pour une alerte de sécurité relative à un exchange, ouvrez l’exchange séparément et consultez les notifications dans le compte. Le FBI conseille aux utilisateurs recevant un appel ou un message urgent prétendument envoyé par une plateforme crypto de mettre fin au contact et de joindre l’entreprise via son numéro ou son site officiel, plutôt que par le lien de l’expéditeur.
S’arrêter lorsque le site réclame un secret impossible à justifier#
Aucune application décentralisée normale n’a besoin de votre phrase de récupération ni de votre clé privée brute. Ces secrets restaurent ou contrôlent le wallet ; ce ne sont pas des identifiants de connexion.
Parmi les autres demandes à haut risque :
- installer un logiciel de bureau à distance pour le « support » ;
- désactiver l’antivirus ou les alertes du navigateur ;
- télécharger une mise à jour non signée depuis un service de partage de fichiers ;
- saisir plusieurs codes MFA successifs ;
- envoyer un « transfert de vérification » pour protéger le compte ;
- signer immédiatement un message illisible afin d’éviter une suspension.
L’urgence fait partie de l’attaque. Une procédure de sécurité légitime doit vous laisser le temps de la vérifier indépendamment.
Examiner la demande du wallet séparément du site#
Un domaine authentique peut être compromis, et une fausse interface peut transmettre une transaction techniquement valide. Avant de signer, lisez la demande du wallet et identifiez la chaîne, le contrat, l’actif, le montant et la permission.
Refusez tout Approve, Permit, SetApprovalForAll, changement de propriétaire ou demande de signature étendue que vous n’attendiez pas. Utilisez un wallet d’interaction à faible solde sur les sites inconnus. Si vous souhaitez seulement consulter un solde, préférez un explorateur de blocs ne nécessitant aucune connexion du wallet.
Que faire après avoir visité une page de phishing présumée#
Le simple chargement d’une page ne transfère normalement pas d’actifs, mais téléchargements, identifiants, signatures et autorisations créent des expositions différentes.
- Fermez la page et ne revenez pas par le lien suspect.
- Si vous avez saisi des identifiants, sécurisez l’e-mail de récupération, changez le mot de passe depuis le site officiel et révoquez les sessions.
- Si vous avez saisi un code MFA, considérez la session comme potentiellement compromise et contactez le support officiel.
- Si le wallet a signé une autorisation, examinez et révoquez l’allowance.
- Si vous avez saisi une phrase de récupération, créez un wallet avec une nouvelle phrase et déplacez les actifs restants.
- Conservez l’URL, les messages, le hash de transaction et les adresses de destination pour le signalement.
Questions fréquentes#
HTTPS signifie-t-il qu’un site crypto est sûr ?
Non. HTTPS protège les données en transit vers le domaine affiché dans la barre d’adresse. Il ne prouve pas que ce domaine appartient à la véritable entreprise.
Un wallet peut-il être vidé dès sa connexion ?
La connexion révèle normalement l’adresse publique. Une perte nécessite généralement une signature, une autorisation, une clé exposée ou une vulnérabilité du wallet ou du logiciel. Déconnectez-vous néanmoins et contrôlez les permissions si le site était suspect.
Le premier résultat de recherche est-il toujours officiel ?
Non. Des publicités, des classements manipulés et des extraits copiés peuvent placer une fausse page en évidence. Vérifiez le nom d’hôte indépendamment.
Faut-il utiliser un outil indiquant l’âge du domaine ?
Il peut fournir un indice, mais un ancien domaine peut être compromis et un projet légitime récent utiliser un domaine neuf. L’âge ne doit pas remplacer la vérification directe ni l’examen de la transaction.
Sources#
- CISA: Phishing Guidance
- FBI IC3: Scammers Impersonating Cryptocurrency Exchanges
- Ethereum.org: Security and Scam Prevention
- Trezor: Common Scams and Phishing
Avertissement sur les risques : les contrôles de domaine réduisent le risque sans pouvoir prouver qu’un site, son interface ou un smart contract est sûr. Vérifiez à la fois le parcours suivi et l’autorité demandée.
Règles éditoriales
Ce guide est éducatif et fondé sur des sources. Les mesures de sécurité, règles des plateformes et exigences légales peuvent évoluer ; vérifiez les étapes importantes auprès des sources officielles.
