Dans le monde Web3, que vous soyez un joueur ordinaire, un investisseur fortuné ou un porteur de projet, l'un des risques incontournables est l'escroquerie.
Selon le rapport de Chainalysis (The Chainalysis 2025 Crypto Crime Report), le montant total des crimes en chaîne dans le monde en 2024 s'élève à 24 milliards de dollars, dont :
Les transactions liées à la fraude atteignent 9,9 milliards de dollars, avec des cas fréquents de 'pig butchering', de sites de phishing et de projets d'investissement fictifs.
Le montant volé dépasse 2,2 milliards de dollars, plus de 60 % provenant de la divulgation de clés privées et de phishing par ingénierie sociale.
Les activités criminelles telles que les ransomwares et la manipulation de marché sont également courantes.
Mais en examinant ces cas, vous remarquerez une caractéristique commune à surveiller : peu importe à quel point la technologie évolue, la faille finale réside dans la nature humaine elle-même.
En effet, l'"arsenal standard" du crime en chaîne est précisément ce que Portal Labs va aborder : les attaques d'ingénierie sociale.
Qu'est-ce qu'une attaque d'ingénierie sociale ?
La réalité nous dit que ce qui est le plus facilement exploitable n'est pas la technologie, mais la nature humaine.
C'est le cœur des attaques d'ingénierie sociale (Social Engineering Attack).
Les attaques d'ingénierie sociale ne dépendent pas des vulnérabilités au niveau du code, mais trompent, induisent en erreur et manipulent pour vous amener à donner volontairement des informations sensibles ou à effectuer des opérations dangereuses.
Comparé aux attaques techniques à haute barrière, les attaques d'ingénierie sociale sont peu coûteuses et ont un taux de réussite élevé. Que ce soit pour l'escroquerie, le vol de fonds ou le chantage, la première étape de la plupart des cas consiste à vous faire cliquer sur "confirmer".
En résumé, tous les stratagèmes d'ingénierie sociale reposent en fait sur ces trois approches :
Se déguiser en autorité. Usurper des agents du service client, des représentants officiels ou des partenaires, en utilisant une identité "apparemment fiable" pour diminuer votre méfiance.
Créer un sentiment d'urgence. Anomalies de compte, airdrops de tokens, opportunités d'investissement exclusives... vous amenant à penser "si je n'agis pas maintenant, je vais perdre".
Établir un cycle de confiance. Vous amener dans de faux groupes, se faire passer pour des amis ou des KOL, un lavage de cerveau en groupe, vous induisant progressivement dans le piège.
Il convient de noter que les attaques d'ingénierie sociale évoluent vers une systématisation et une professionnalisation.
Chainalysis a également souligné que, ces trois dernières années, les groupes d'escroquerie ont progressivement commencé à utiliser des deepfakes AI, des portraits de big data et des techniques de diffusion automatisées pour concevoir des discours et des processus adaptés à différents groupes d'utilisateurs.
À l'avenir, peut-être que la seule vigilance personnelle ne suffira pas à prévenir tous les risques. Les solutions de sécurité systématiques, la gestion des risques inter-chaînes et l'isolement des autorisations clés deviendront une "configuration standard" pour les joueurs fortunés et les porteurs de projets.
Scénarios typiques et cas réels
Contrairement aux attaques techniques, les attaques d'ingénierie sociale ont des cibles précises, généralement dirigées contre des individus ou des personnes spécifiques au sein d'une organisation. Les hackers personnalisent leurs discours et conçoivent des scénarios en fonction des habitudes de comportement des différentes populations dans Web3 pour récolter avec précision. Les stratagèmes courants incluent les catégories suivantes :
Pour les joueurs ordinaires
Le stratagème le plus courant consiste à "se faire passer pour le service client officiel", vous envoyant un message privé, prétendant qu'il y a un problème avec votre compte, que des fonds sont gelés, et vous demandant de valider votre phrase de récupération ou d'effectuer une opération pour débloquer, après quoi vos actifs sont instantanément transférés.
Récemment, les autorités australiennes ont mené des actions contre un groupe d'escrocs se faisant passer pour l'échange de crypto-monnaies Binance, ces escrocs incitant les victimes à composer un faux numéro d'assistance, transférant des fonds vers des portefeuilles contrôlés par des hackers.
De plus, des liens de phishing tels que "airdrop gratuit" ou "redemption NFT" sont courants. Les 'Crypto Drainers' mentionnés dans le rapport de Chainalysis appartiennent souvent à cette catégorie, et il est particulièrement déroutant qu'un incident d'attaque ait eu lieu en janvier 2024. À l'époque, les escrocs avaient piraté le compte des réseaux sociaux de la SEC américaine, publiant un faux airdrop pour inciter les utilisateurs à connecter leur portefeuille et obtenir de faux tokens, résultant en un vol d'actifs.
Il existe également des "faux groupes de trading" couramment rencontrés, surtout actifs sur Telegram et Discord. Les attaquants se font généralement passer pour des agents officiels ou piratent des comptes d'amis pour vous inviter dans un groupe, où vous êtes presque entouré de fraudeurs ou de bots, qui pousseront fréquemment de faux projets et des opportunités de rendement élevées, attendant que vous mordiez à l'hameçon.
Pour les investisseurs fortunés
Pour les personnes fortunées, les stratagèmes d'attaque sont généralement plus personnalisés.
Les attaquants se déguisent en KOL connus, partenaires de bureaux de famille ou gestionnaires de fonds via LinkedIn, Twitter et d'autres canaux, lançant des appâts tels que "financement exclusif" ou "opportunités d'investissement internes", accompagnés de faux comptes de réseaux sociaux et de documents d'investissement, créant un "cercle de confiance" fermé.
Le rapport de Chainalysis mentionne particulièrement qu'en 2024, les équipes de 'pig butchering' ont utilisé des escroqueries de faux bureaux de famille pour tromper de nombreux investisseurs fortunés, le montant total impliqué s'élevant à des dizaines de millions de dollars.
De plus, les attaques par échange de SIM sont également courantes : les escrocs persuadent les opérateurs de télécommunications de transférer un numéro de téléphone, permettant ainsi de réinitialiser le mot de passe de votre compte d'échange et de contrôler les fonds.
Pour les porteurs de projets Web3
Les équipes de projet sont souvent confrontées à des escroqueries liées à des invitations à des collaborations, à l'expansion commerciale et à des intégrations techniques.
Par exemple, les hackers peuvent se faire passer pour des responsables de CEX bien connus ou des partenaires écologiques, en invitant à des réunions en ligne, tout en envoyant de faux liens vidéo Zoom ou des fichiers de contrats malveillants.
En 2024, Slow Mist a révélé plusieurs cas de liens de vidéoconférences falsifiés par des hackers, ciblant directement les autorisations de multisignature du projet et la gestion des clés privées. La plateforme Huione Guarantee mentionnée dans le rapport de Chainalysis fournit aux groupes d'escroquerie des services tels que le deepfake AI et le faux KYC, les aidant à falsifier des vidéos d'images de PDG, de CTO, pour obtenir des autorisations financières.
De plus, les attaquants utilisent souvent des termes comme "package de mise à niveau SDK" ou "documentation API" pour diffuser des liens de code malveillant auprès des équipes de développement, les incitant à télécharger.
Pour les chercheurs d'emploi dans Web3
Les attaques d'ingénierie sociale apparaissent également fréquemment dans des informations sur les "recrutements" ou les "emplois à temps partiel".
Les attaquants se déguisent en RH de projets, en recruteurs de grandes plateformes, ou falsifient des sites de recrutement pour publier des offres d'emploi bien rémunérées, attirant les chercheurs d'emploi à soumettre leur CV. Une fois la confiance établie, ils les dirigent souvent vers des liens d'entretiens falsifiés, leur font télécharger des fichiers malveillants, voire les amènent sur une prétendue "plateforme de tâches" pour les escroquer en leur faisant recharger de l'argent.
Le rapport de Chainalysis indique qu'en 2024, les équipes de 'pig butchering' ont déjà utilisé de fausses offres d'emploi comme nouvelle ligne de business, incitant les victimes à investir continuellement jusqu'à ce qu'elles ne puissent plus retirer d'argent. De plus, Slow Mist a également détecté plusieurs cas d'escroqueries liées à l'emploi, où les attaquants envoient des liens malveillants à travers de fausses invitations à des recrutements pour voler des autorisations de portefeuille ou des informations sensibles.
Comment se prémunir contre les attaques d'ingénierie sociale ?
Vous ne pouvez jamais empêcher les escrocs de s'approcher de vous, mais vous pouvez leur refuser toute opportunité.
Il n'y a qu'une seule idée clé : augmenter la sensibilité aux tentations, aux intimidations et aux cercles de confiance, tout en mettant en place des protections techniques.
Ne croyez que les informations officielles. Assurez-vous de valider par croisement via les e-mails, comptes Twitter et groupes Discord publiés sur le site officiel.
Installez des plugins anti-phishing. Des plugins anti-phishing comme Wallet Guard, PhishFort peuvent efficacement bloquer les sites de phishing et les liens malveillants déjà signalés.
Ne donnez jamais votre clé privée, soyez prudent avec les signatures d'autorisation. Aucune plateforme ou porteur de projet légitime ne demandera vos clés privées ou phrases de récupération. Avant de signer un contrat, assurez-vous de la source et des permissions d'appel du contrat.
Les porteurs de projets et les membres clés doivent contrôler strictement les interactions commerciales. Il est conseillé d'activer la protection anti-phishing pour les e-mails des membres clés, d'utiliser un environnement sandbox pour la réception de fichiers, et de refuser les invitations SDK/API non vérifiées.
Stratifier les portefeuilles, diversifier les actifs. Il est recommandé de combiner un portefeuille froid et un portefeuille matériel, en isolant les portefeuilles d'opération quotidienne, d'investissement et de stockage, tout en utilisant des protections multisignatures.
Développez l'habitude de "faire une pause de 5 minutes" en cas de réaction. Pour toute opération impliquant un transfert ou une opération urgente, imposez-vous une pause de 5 minutes pour vérifier avant d'agir. Les escroqueries d'ingénierie sociale craignent le plus votre calme.
La première étape de l'investissement Web3 n'est pas de rechercher des profits, mais d'apprendre à protéger son capital.
Ne donnez aucune opportunité aux escrocs.