Ne cliquez pas sur l’avertissement concernant la carte de paiement : Comment déterminer si un « expéditeur réel » est sûr, ce soir.

Avant de cliquer sur le lien dans la boîte de dialogue de sécurité du portefeuille, ouvrez plutôt votre navigateur de portefeuille et ne faites rien. Le premier pas est de ne pas cliquer sur l’alerte ; le premier pas est de déterminer d’où les fonds peuvent en réalité partir. Car une arnaque qui ressemble à une urgence liée à un compte financier a un seul but : transformer une pause en un clic. Le reste de cet article constitue alors la liste des étapes nécessaires pour protéger cette pause.

L’avertissement qui parle à la voix du véritable expéditeur

Arrêtez de croire dans le champ « expéditeur ». Il existe deux techniques différentes qui permettent de croire que l’objet est authentique ; elles trompent celui qui les utilise pour des raisons opposées.

Le premier problème concerne le poisonage des adresses sur la chaîne blockchain. Un escroc observe les adresses auxquelles vous payez réellement, puis crée une chaîne de caractères presque identique à celle-ci.Partage les caractères de début et de fin.Ensuite, il vous envoie une transaction sans valeur ou de valeur nulle provenant de cette imitation. Comme les portefeuilles et les outils d’exploration sont triés par date d’émission, cette imitation se retrouve donc en haut de votre historique des transactions – ce qui correspond au concept de “expéditeur réel” sur ordinateur. La prochaine fois que vous copiez un destinataire depuis vos dernières transactions, plutôt que de vérifier l’intégralité du texte, vous copiez simplement cette imitation. Le portefeuille de confirmation indique même : “Vous avez déjà envoyé des messages à cet adresse”.

Le deuxième cas concerne les e-mails qui passent l’authentification. Les escrocs achètent un domaine qui ressemble à celui réel, ou ils manipulent le champ de nom d’utilisateur, ou bien ils utilisent un compte compromis dont l’adresse de base est authentique. Le mail est donc valide.SPF, DKIM et DMARCCes vérifications que votre client effectue avec un signe vert… avec un signal valide, puis il affiché un message d’alerte “Vérifiez maintenant”. Ce message dépense tout ce que votre portefeuille peut signer. Un passe cryptographique n’est pas une vérification d’identité ; il prouve simplement que le courrier a suivi un chemin, mais pas que ce chemin est fiable.

Les deux partagent un même moteur : l’envoi irréversible. Le simple poison d’adresse suffisait pour provoquer cela.Au moins 83,8 millions de dollars en pertes confirmées sur Ethereum et BNB Chain.Entre la mi-2022 et la mi-2024, environ 270 millions de tentatives ont été menées contre 17 millions de victimes distinctes. Voici l’arithmétique simple qui explique pourquoi cela persiste : bien moins d’un décimètre sur 10 000 réussit, mais les groupes qui effectuent ces activités à grande échelle reçoivent encore 10 à 20 fois leurs coûts en infrastructure et frais. Dans une campagne suivie par Chainalysis, un pirate informatique a été piraté…68 millions de Bitcoins ont été envoyés à un adresse qui diffère de celle du destinataire réel.Grâce à quelques caractères utilisés, cette tactique permettait au opérateur de gagner, même après que la victime avait réussi à reprendre la plupart des gains. Le groupe de victimes impliquées dans cette campagne avait en moyenne un solde sur leur compte supérieur à 338 900 dollars – il s’agissait de utilisateurs expérimentés et actifs, et non de nouveaux utilisateurs.

Lisez les denominateurs avant de paniquer.

La mesure est là où le folklore dépasse la réalité ; donc, fixez les unités. Les Américains ont rapporté…Plus de 11 milliards de dollars en pertes liées à des escroqueries en matière de cryptomonnaies pour l’FBI en 2025– C’est le plus grand montant recouvert par une escroquerie de toute la catégorie suivie par Chainalysis. Chainalysis indique ainsi le volume total des escroqueries et fraudes liées aux cryptomonnaies à l’échelle mondiale.Environ 17 milliards de dollars pour l’année, avec des escroqueries liées à la simulation d’identité qui ont augmenté d’environ 1 400 % par an.La plupart de cela relève de la fraude d’investissement et de pratiques trompeuses… Les fonds circulent via les systèmes bancaires, et non par votre portefeuille numérique.

Le type de phishing lié au « wallet-drainer » dont il s’agit réellement est une forme de phishing plus mineure et distincte : les pertes liées aux signatures de phishing.Il a diminué de 83 % en 2025, pour atteindre environ 84 millions de dollars, contre 494 millions de dollars.L’année précédente… Cette baisse est réelle, et ce n’est pas une suspension temporaire. Cela montre que les victimes identifient plus rapidement les arnaques, plutôt que les escrocs qui arrêtent de commettre ces actes. Les avertissements liés aux plateformes comme Coinbase ne sont qu’une façade ; l’empoisonnement des adresses est un problème à part entière. Enfin, il y a aussi ceux qui provoquent des pertes financières… Ce sont trois groupes de personnes qui ne forment pas un ensemble cohérent. Traiter ces groupes comme si c’était un seul nombre, c’est juste comment quelqu’un peut se sentir confortable.

Le test de ce soir pour toute alerte

Donnez un nom à l’issue avant de faire confiance à l’entrée. En termes de sécurité : déterminez où se déroule une transaction.nonPermis de partir avant que vous ne ouvriez quoi que ce soit.

1. Ne naviguez jamais depuis le message. Ouvrez l’application de messagerie ou de portefeuille depuis votre marque-page ou l’icône de l’application sur votre téléphone. Vous trouverez alors les alertes concernées. Les avertissements d’une plateforme réelle se trouvent dans votre compte, et non dans votre boîte de réception.
2. Lisez tout le texte d’adresse, pas seulement les quatre premiers et derniers caractères. Le « poison d’adresse » survit grâce à une vérification partielle de la chaîne de caractères ; cette vérification consiste en l’examen de chaque caractère une fois, sur le appareil où vous signez.
3. Envoyez un paiement de test pour tout ce qui dépasse votre « risque de perte ». L’affaire de 68 millions de dollars s’est terminée en échec, juste parce qu’un paiement important a été envoyé avant que un paiement plus petit ne confirme que l’adresse était valide.
4. Vérifiez l’adresse de destination sur l’écran du portefeuille physique, et non sur le téléphone ou l’ordinateur qui affiche cette page. Le but du système d’affichage sur écran froid est justement que la page que vous voyez peut être trompeuse.
5. Cacher et ignorer les transactions ayant une valeur nulle ou des transactions liées au “dust”. Les portefeuilles qui suppriment automatiquement ces transactions, ou l’habitude de faire rouler manuellement l’adresse pour les expéditeurs fréquents, empêchent ainsi que le historique des transactions malveillantes nécessaire au scam ne soit enregistré.

Le régime qui abandonne son schéma de jeu

La liste de vérification ne vaut rien tant que vous vous considérez comme le garant. C’est là que réside la véritable décision d’investissement qui se cache derrière une histoire de sécurité. Sur une plateforme financière, vous louez une assurance : la plateforme prend en charge les risques liés aux attaques de type phishing, en échange elle conserve vos clés, ses propres erreurs de sécurité, et bloque les retraits effectués. Dans le cas du self-custody, vous êtes vous-même le service de fraude – il n’y a pas de personne qui puisse annuler un retrait effectué, car la caractéristique fondamentale de la blockchain est que un envoi confirmé ne peut être annulé.

Donc, le slogan “pas vos clés, pas vos pièces de monnaie” n’est pas une vertu, mais plutôt un moyen de gagner de l’argent. Le prix à payer, c’est justement cette friction liée au retrait des fonds, les erreurs opérationnelles, et le fardeau de sécurité que les banques imposent aujourd’hui, ce qui entraîne une industrie de la contrefaçon valant plusieurs milliards de dollars. Le retrait des fonds depuis une plateforme de trading est logique lorsque le détenteur a vérifié toutes les étapes nécessaires cette nuit et les a passées… Pas lorsqu’un e-mail d’avertissement demande qu’on agisse rapidement. Tout message qui vous oblige à agir…maintenantIl a donné un nom à son propre “tell”. Le plan d’action expire le jour où une partie de celui-ci ne correspond plus à ce que montre l’écran du portefeuille. Vérifiez à nouveau avant chaque envoi de valeurs en six chiffres, et non avant l’e-mail.