Guide anti-arnaques Web3
Sur la blockchain, aucun service client ne peut vous aider à annuler une transaction. La plupart des gens ne perdent pas leur argent parce que leur mot de passe a été piraté, mais parce qu’ils ont confirmé eux-mêmes une transaction, copié une mauvaise adresse ou fait confiance à la mauvaise personne.
Même les habitués peuvent cliquer par erreur. Les habitudes ci-dessous sont plus utiles que de retenir le nom de cent projets.
Retenez d’abord ces quatre règles : tout le reste en découle.
Ne communiquez jamais votre phrase de récupération ni votre clé privée à qui que ce soit. Ni aux officiels, ni au service client, ni à votre partenaire, ni à une IA, ni à votre patron. Quiconque vous les demande cherche à vous voler.
Face à une signature que vous ne comprenez pas, refusez d’abord. Être pressé, croire que la page est bloquée et cliquer plusieurs fois : ce sont les erreurs les plus fréquentes.
Vérifiez l’adresse complète, pas seulement ses premiers et derniers caractères, ni son nom. Le nom du jeton peut être falsifié, tout comme ses quatre premiers et ses quatre derniers caractères.
Si l’on vous demande de payer pour récupérer votre argent, arrêtez-vous. Que ce soit pour réclamer un gain, retirer des fonds, récupérer de l’argent, mettre à niveau ou débloquer un compte, c’est toujours la même arnaque.
Séparez vos grosses économies de l’argent dont vous vous servez au quotidien. Pour les opérations risquées, les airdrops et les nouveaux projets, utilisez un petit portefeuille et changez-en régulièrement. Gardez votre épargne sur un portefeuille matériel ou une grande plateforme d’échange comme Binance, et évitez de le connecter à des sites au quotidien.
1. Commencez par les personnes : proches, service client, rencontres et recrutement
Un proche vous demande soudain de l’argent ou vous propose un partenariat : sur Telegram ou WeChat, un ami vous demande soudain de lui transférer des U ou vous parle d’un projet urgent. Son compte a peut-être été piraté, ou il peut s’agir d’une imitation : la photo, le nom et le style d’écriture se copient facilement. Appelez la personne vous-même pour vérifier ; si elle refuse un appel vocal, arrêtez-vous. Si elle vous presse en disant « n’en parle à personne » ou « on ne peut pas en parler dans le groupe », méfiez-vous davantage encore. Une fois votre compte piraté, les escrocs peuvent aussi s’en servir pour envoyer des messages en masse. Alors, avant même qu’on vous contacte, évitez de devenir la personne qui relaie des liens.
Faux service client : surtout lorsqu’un problème survient sur une plateforme d’échange ou avec un projet, quelqu’un peut vous contacter spontanément en prétendant représenter le service officiel. Il vous demande un code de vérification, votre phrase de récupération ou un partage d’écran, ou vous demande de transférer vos fonds vers une « adresse sécurisée ». Le véritable service client ne vous contacte pas spontanément par message privé et ne vous demandera jamais votre phrase de récupération. Pour contacter le service officiel, utilisez l’aide dans l’application ou le site officiel depuis vos favoris. N’ouvrez pas les liens reçus par message privé, dans des commentaires ou par e-mail.
Arnaque sentimentale et financière : l’escroc discute avec vous pendant plusieurs semaines sur une application de rencontre ou Telegram, puis vous dirige vers une « plateforme d’investissement ». Vous pouvez retirer de petites sommes, mais au moment d’un retrait important, on vous demande des impôts ou une caution. Puis le site disparaît. Si l’on vous demande de payer davantage avant un retrait, ne payez pas. Peu importe la durée de vos échanges ou l’authenticité apparente des captures de gains : cela ne change rien.
Faux cadeaux et hypertrucages : des comptes de célébrités ou de responsables de projets sont usurpés ou contrefaits, ou des vidéos et des voix générées par IA servent à prétendre en direct que vous recevrez deux jetons si vous en envoyez un. Une vidéo ou une voix réaliste ne prouve pas que la personne est réellement en train de parler.
Fausses offres d’emploi : le poste et l’entretien semblent réels, mais à la fin on vous demande de télécharger un « devoir », un logiciel de réunion interne ou un « portefeuille d’évaluation ». Le téléchargement peut installer un cheval de Troie. Faites les exercices sur un appareil isolé, qui ne contient ni portefeuille ni compte de plateforme d’échange. Si l’on vous demande de verser une « contribution à la formation » ou une « caution pour le matériel », considérez que le recrutement est terminé.
Fausse récupération de fonds : juste après une arnaque, quelqu’un vous propose de retrouver vos actifs contre des frais ou des honoraires d’avocat. C’est un deuxième coup. Considérez d’abord comme des escrocs les personnes qui vous contactent spontanément dans les commentaires ou par message privé en prétendant offrir une « aide judiciaire » ou être un « cabinet de traçage sur blockchain ». Les voies officielles ne demandent pas d’abord des cryptomonnaies et ne garantissent pas une récupération. La plupart du temps, les jetons transférés sur la blockchain ne peuvent pas être récupérés. Commencez par limiter les dégâts : remplacez le portefeuille compromis, révoquez les autorisations et changez les mots de passe de votre e-mail et de votre compte d’échange. Ne donnez pas aussi l’argent qu’il vous reste pour « tenter encore une fois ».
2. Examinez d’abord les appareils et les fichiers : chevaux de Troie, accès à distance et presse-papiers
Archives et fichiers inconnus : si quelqu’un vous envoie une archive pour consulter des documents, signer un contrat ou lire des informations, en vous demandant de l’ouvrir sur votre ordinateur, celui-ci peut être contrôlé à distance. L’attaquant peut ensuite dérober votre portefeuille, remplacer les adresses dans votre presse-papiers et envoyer d’autres messages en masse depuis votre compte. Même si le fichier vient d’un proche, appelez-le d’abord pour vérifier. Ne le téléchargez pas et ne le transférez pas. Pour les documents professionnels, demandez un lien de stockage en ligne en lecture seule ou utilisez un outil de collaboration fiable que vous connaissez. Ne double-cliquez pas sur des archives, des documents avec macros ou des installateurs provenant d’une source inconnue.
Logiciels infectés : si vous installez des extensions, des robots de trading, des outils de traduction ou des logiciels de réunion depuis un résultat de recherche ou une publicité, votre ordinateur peut être contrôlé à distance. L’adresse correcte que vous avez copiée peut alors être remplacée par celle d’un escroc au moment du collage. Téléchargez les logiciels uniquement depuis leurs sites officiels. Lors d’un transfert, vérifiez l’adresse complète sur l’écran de votre portefeuille matériel ou de votre téléphone, pas seulement la ligne affichée dans le navigateur de l’ordinateur.
Réunions et assistance à distance : l’autre partie vous propose une collaboration et vous demande d’installer un logiciel précis, ou AnyDesk, TeamViewer ou Sunlogin, en prétendant vouloir vous aider à vérifier votre portefeuille à distance. Pendant le partage d’écran, votre phrase de récupération et vos codes de vérification sont visibles. N’ouvrez pas votre portefeuille pendant une session à distance avec quelqu’un d’autre. Ne vous connectez pas à votre plateforme d’échange pendant un partage d’écran et ne dictez aucun code de vérification. Si l’autre partie insiste en disant « on ne peut pas continuer sans accès à distance », mettez fin à la collaboration.
Détournement du presse-papiers : un cheval de Troie remplace discrètement l’adresse de destination au moment où vous la collez. Vous avez copié la bonne adresse, mais vous collez la mauvaise. Avant un transfert, vérifiez l’adresse complète, pas seulement ses premiers et derniers caractères. La vérifier une nouvelle fois sur un portefeuille matériel ou un téléphone est plus utile que de la vérifier deux fois sur le même ordinateur infecté.
Faux portefeuilles matériels : un appareil acheté auprès d’un vendeur non officiel peut avoir une phrase de récupération préinstallée. Certains e-mails vous demandent aussi de saisir votre phrase de récupération existante pour une « mise à jour du micrologiciel ». Achetez votre portefeuille matériel uniquement sur le site officiel. Toute personne qui vous demande une phrase de récupération que vous possédez déjà cherche à vous voler. Si un nouvel appareil affiche une phrase de récupération dès son premier démarrage, ne l’utilisez pas et renvoyez-le.
3. Signatures et autorisations : un simple clic peut suffire à tout perdre
Connecter un portefeuille permet généralement au site de connaître votre adresse, mais cela ne signifie pas en soi que vous lui cédez vos jetons. Le vrai danger vient de la signature qui suit ou de l’autorisation que vous accordez.
Signatures en série : la première sert à réclamer quelque chose ou à se connecter normalement, puis une deuxième et une troisième fenêtre apparaissent aussitôt. En les confirmant machinalement, vous avez déjà accordé une autorisation illimitée. Examinez chaque fenêtre séparément et fermez la page dès qu’une autre apparaît. Parfois, on croit que ça bloque et on clique plusieurs fois ; en réalité, ça ne bloque pas, l’autre partie attend que vous cliquiez par erreur.
Confirmer une signature incompréhensible : la fenêtre affiche une longue chaîne en anglais ou en hexadécimal. Pressé, vous cliquez sur confirmer, alors que vous venez peut-être de signer une autorisation qui donne votre portefeuille à quelqu’un d’autre. Si vous ne comprenez pas, refusez d’abord. Une opération légitime peut attendre que vous ayez compris. Arrêtez-vous en particulier si vous voyez les termes suivants :
approve, surtout si le montant est illimité
setApprovalForAll
Permit, Permit2
increaseAllowance
Signature d’un message brut, par exemple eth_sign : le portefeuille n’affiche qu’une suite de données incompréhensibles
Les signatures de type Permit ou Permit2 ne coûtent souvent pas de Gas et ne font pas apparaître immédiatement de transfert dans l’historique. Vous pourriez vous dire : « Je n’ai rien payé. » Avec votre signature, l’autre partie peut payer le Gas plus tard et transférer vos fonds. Certaines personnes ne se rendent compte du vol que plusieurs mois après, car cette signature semblait n’entraîner aucune perte sur le moment.
Il existe aussi des signatures qui regroupent plusieurs opérations : en apparence, il s’agit de réclamer une récompense, mais elles modifient aussi les autorisations du compte. Si votre portefeuille peut simuler « ce qui va se passer après la signature », examinez d’abord le résultat. Si la simulation n’est pas claire, ou si le portefeuille n’affiche qu’un hash, refusez.
Révoquez les autorisations après usage : les autorisations illimitées accordées par le passé à des plateformes d’échange décentralisées, à d’anciens projets ou à des sites inconnus restent actives jusqu’à leur révocation. Si l’interface d’un projet est piratée, ou si vous avez cliqué une fois sur une page d’hameçonnage, un attaquant peut effectuer un transfert bien plus tard. De temps en temps, utilisez la page de gestion des autorisations d’un explorateur de blockchain ou un outil de vérification fiable pour révoquer celles dont vous n’avez plus besoin. Accédez à ces outils depuis vos propres favoris, jamais depuis un lien dans un groupe qui prétend « vérifier vos autorisations ». La révocation coûte un peu de Gas : c’est normal.
Pièges liés aux portefeuilles multisignatures et à la délégation de compte : sous prétexte de « renforcer la sécurité », on vous demande d’ajouter votre portefeuille à un portefeuille multisignature ou de signer une délégation de compte. L’adresse de l’autre partie figure aussi parmi les signataires ; une fois la signature effectuée, elle peut transférer vos actifs. Un portefeuille multisignature n’a de sens que si vous connaissez chaque signataire et avez vérifié son identité hors ligne. Ne signez jamais les propositions d’inconnus du type « mise à niveau de sécurité », « la garde est plus sûre » ou « je vais ajouter une protection ».
Faux airdrops : des jetons inconnus apparaissent soudain dans votre portefeuille, ou quelqu’un vous envoie un lien en prétendant que vous avez gagné ou qu’un airdrop vous attend. Le lien mène à un site d’hameçonnage ; une seule signature suffit à faire vider votre portefeuille. Si vous ne vous êtes pas inscrit, ne cliquez pas et n’accordez aucune autorisation. Les liens de réclamation qui apparaissent soudain dans des publications, en commentaire épinglé ou par message privé relèvent souvent de cette arnaque.
Même chose pour les e-mails : ils peuvent sembler venir du projet, avec un objet comme « Un airdrop vous attend » ou « La période de réclamation se termine bientôt ». Le logo et la mise en page peuvent être très convaincants. Ne cliquez pas sur les boutons de l’e-mail ; rendez-vous sur le compte officiel du projet et accédez à son site depuis vos propres favoris. Méfiez-vous aussi des demandes du type « cliquez sur Verify » après avoir rejoint un serveur Discord : une vérification ne devrait pas vous rediriger vers un site inconnu qui demande de connecter votre portefeuille et de signer. La vérification officielle se fait généralement directement dans Discord.
Jetons et NFT-poussière publicitaires : n’importe qui peut vous envoyer un jeton ou un NFT dont le nom contient une adresse web, pour vous inciter à le réclamer, à le vendre ou à le transférer vers une autre blockchain. N’échangez pas les jetons inconnus, ne leur accordez aucune autorisation et ne cliquez pas sur les liens contenus dans leur nom. Si un solde apparaît soudain dans votre portefeuille, considérez-le comme un appât, pas comme un coup de chance. Contentez-vous de le masquer, sans interagir avec lui.
4. Adresses et faux jetons : les noms peuvent tromper, tout comme les premiers et les derniers caractères
Faux jetons : sur Ethereum, BSC et d’autres blockchains, on peut acheter des jetons dont le nom est simplement BTC, ETH ou USDT. Certains sont des contrefaçons ; d’autres sont des pièges qui permettent d’acheter, mais pas de vendre. Beaucoup de personnes voient un prix élevé, essaient de vendre et se font piéger. Le nom est faux, et le prix peut l’être aussi. Vérifiez l’adresse du contrat, pas le nom. Copiez l’adresse depuis le site officiel du projet ou la page du jeton sur un explorateur fiable, jamais depuis un historique de discussion, une capture d’écran d’un graphique ou un message transféré.
Piège à achat : le contrat vous permet d’acheter, mais pas de vendre, ou impose une taxe à la vente si élevée qu’elle engloutit tout votre argent. Avant d’acheter, essayez de revendre une somme minuscule. Si vous n’y arrivez pas, arrêtez-vous ; n’ajoutez pas de fonds sous prétexte que « vous avez déjà acheté ».
Empoisonnement d’adresse : un attaquant crée une adresse dont les premiers et derniers caractères ressemblent à ceux d’une adresse que vous utilisez souvent, puis envoie un transfert minuscule pour qu’elle apparaisse dans votre historique. Si vous la copiez depuis cet historique, vous envoyez votre argent à la mauvaise adresse. Ne copiez jamais une adresse depuis l’historique. Pour une somme importante, envoyez d’abord un petit montant, puis le reste une fois qu’il est arrivé. Vérifiez l’adresse complète à chaque fois, y compris la longue partie du milieu. Enregistrez vos adresses habituelles dans votre carnet d’adresses et sélectionnez-les lors des transferts, au lieu de les choisir dans les transactions récentes. Si l’autre partie vous envoie une nouvelle adresse, demandez-lui de la confirmer une seconde fois par le moyen convenu au préalable ; ne vous fiez pas à un simple message.
Examinez enfin la chaîne complète de caractères qui va être envoyée, idéalement sur l’écran de votre portefeuille matériel.
Faux sites d’hameçonnage : le nom de domaine peut différer d’une seule lettre ou utiliser des caractères étrangers qui se ressemblent. Les pièges se trouvent souvent dans les annonces des moteurs de recherche, les commentaires de publications, les annonces Discord ou les e-mails. Ils servent à vous faire vous connecter, connecter votre portefeuille ou saisir votre phrase de récupération. Ne prenez pas le premier résultat de recherche ni ceux marqués « Annonce » pour des sites officiels. Même si le site officiel figure dans vos favoris, vérifiez de temps en temps que son nom de domaine est toujours le bon.
Faux ponts inter-chaînes, faux services d’échange et faux réseaux principaux : des pages presque identiques aux vrais ponts ou services d’échange vous incitent à échanger ou à accorder une autorisation, puis transfèrent vos actifs. Il existe un piège plus subtil : l’attaquant crée un faux réseau dont l’identifiant Chain ID et le nom ressemblent à ceux du réseau officiel, puis un faux pont qui vous fait y transférer vos jetons. Ceux-ci arrivent alors sur sa blockchain, pas sur le véritable réseau principal. Avant d’ajouter un nouveau réseau à votre portefeuille, vérifiez le Chain ID et le RPC dans la documentation officielle, pas dans un message de groupe que vous avez reçu.
5. Projets et rendements : si ça semble trop stable pour être vrai, considérez d’abord qu’il y a un problème
Rug pull : après avoir fait monter le prix du projet, ses responsables retirent les liquidités et le prix s’effondre ; ou bien l’équipe vend progressivement ses propres jetons. Vérifiez si les liquidités sont verrouillées et pour combien de temps, et si le contrat permet de créer de nouveaux jetons, de mettre des adresses sur liste noire ou de modifier le taux de taxe. Si l’équipe du projet contrôle toutes ces autorisations, un prix attrayant ne signifie pas que vous pourrez vendre. Si vous ne comprenez pas le contrat, limitez votre investissement et partez du principe que sa valeur pourrait tomber à zéro.
Systèmes pyramidaux à rendement élevé : trading quantitatif, nœuds, pools de minage, staking… ils promettent des gains fixes chaque jour ou chaque semaine. Les retraits des premiers participants sont souvent payés avec l’argent des suivants. Si les rendements sont trop stables pour être crédibles, considérez qu’il s’agit d’un système pyramidal. Le vrai trading et le minage peuvent entraîner des pertes et leurs rendements varient. Si tout se passe bien pour entrer, mais que les retraits sont bloqués et qu’on vous demande de recruter d’autres personnes, la structure parle d’elle-même.
Arnaques au trading de gré à gré : le vendeur encaisse d’abord la monnaie fiduciaire sans envoyer les jetons, ou envoie d’abord les jetons puis fait bloquer votre paiement en monnaie fiduciaire. Les intermédiaires dans les groupes n’offrent aucun séquestre, et les rencontres en personne présentent aussi des risques physiques. Si possible, passez par une plateforme d’échange réglementée. Si vous devez absolument faire une transaction de gré à gré, commencez par un petit montant, n’envoyez pas vos jetons à l’adresse privée d’un prétendu « service de séquestre » et ne rencontrez pas un inconnu dans un lieu isolé : le compte de séquestre de l’autre partie peut appartenir au même groupe que le vendeur.
6. Vos comptes : phrases de récupération, API et numéro de téléphone
Phrase de récupération stockée au mauvais endroit : capture d’écran dans la galerie, copie synchronisée dans le cloud, note dans une application ou un carnet, ou envoi à quelqu’un… Si l’appareil est infecté par un virus, votre portefeuille entier peut être vidé. Même résultat si votre compte cloud est piraté. Écrivez votre phrase de récupération à la main et conservez-la hors ligne. Si vous devez en faire une copie, recopiez-la et stockez-la séparément. Ne la photographiez pas et ne l’envoyez dans aucune conversation, même à votre propre « assistant de transfert de fichiers ».
Ne confiez pas votre clé privée à une IA et ne la téléversez pas sur GitHub : si vous collez votre clé privée dans un chatbot ou l’inscrivez dans un fichier de configuration que vous poussez vers un dépôt de code, des robots spécialisés risquent de détecter la clé dès sa publication. Considérez toute phrase de récupération divulguée comme compromise : transférez vos actifs vers un nouveau portefeuille. Pour les opérations risquées, utilisez aussi un petit portefeuille et changez-en régulièrement. L’IA peut vous aider à examiner une adresse de contrat publique ou à comprendre une transaction, mais elle ne peut pas « conserver », « vérifier » ni « récupérer » votre phrase de récupération. Fermez tout outil qui vous demande de la saisir pour continuer.
Faux portefeuilles et fausses extensions : des imitations de Binance Wallet, MetaMask et d’autres portefeuilles sont installées depuis des publicités ou des liens extérieurs aux boutiques d’applications, puis vous demandent d’importer votre phrase de récupération. Installez les portefeuilles uniquement depuis leurs sites officiels. Pour les extensions de navigateur, vérifiez le nom du développeur et le domaine officiel, pas la ressemblance de l’icône. Si vous avez déjà saisi votre phrase de récupération dans une fausse extension, considérez-la comme compromise et transférez immédiatement vos actifs.
Autorisations API trop étendues : pour copier des transactions ou utiliser un robot, vous donnez à un programme inconnu une clé API qui permet de trader et de retirer des fonds. Si la clé fuit, votre compte peut être utilisé pour passer des ordres ou transférer vos fonds. Par défaut, une API doit être en lecture seule. Si vous avez réellement besoin de trader, créez une clé distincte sans autorisation de retrait et associez-la à une adresse IP. N’envoyez pas votre clé dans un groupe, un ticket d’assistance ou une capture d’écran. N’utilisez pas un robot de trading qui exige l’autorisation de retirer des fonds.
Détournement du numéro par échange de carte SIM : votre numéro est transféré sur la carte SIM de quelqu’un d’autre, vos comptes e-mail et de plateforme d’échange sont réinitialisés, et les codes de vérification arrivent chez l’attaquant. Utilisez une application d’authentification ou une clé matérielle comme deuxième facteur, pas les SMS comme unique protection. Activez auprès de votre opérateur les protections supplémentaires contre le transfert de numéro et le remplacement de carte SIM. Sur votre plateforme d’échange, activez la liste blanche de retrait et imposez un délai avant l’activation de nouvelles adresses. Utilisez un mot de passe fort et distinct pour votre e-mail, différent de celui de votre compte d’échange.
7. Quelques autres arnaques courantes
Codes QR : un code de paiement peut être remplacé, et un code de connexion peut vous rediriger vers un site d’hameçonnage. Avant de scanner, vérifiez le nom de domaine ; après le scan, vérifiez ce que le portefeuille vous demande de signer. Pour un paiement en personne, vérifiez l’adresse complète, pas la chaîne tronquée affichée à l’écran.
Annonces de groupe et messages épinglés : les comptes des responsables ou des administrateurs peuvent être piratés. Un simple changement de lien épinglé peut pousser tout un groupe à signer une autorisation malveillante. Considérez les annonces comme de simples indications ; accédez toujours au site depuis vos favoris officiels.
Commentaires et comptes populaires piratés : certains répondent exprès sous des publications très consultées avec des messages comme « réclamation officielle ». Un compte populaire piraté peut aussi publier des messages qui ressemblent beaucoup à ceux qu’il publiait auparavant. Vérifier la présence d’un badge ne suffit pas : ouvrez le profil et vérifiez le domaine des liens. Ne signez jamais rien depuis les commentaires.
Signaux, conseils et prétendus experts : les captures d’écran de gains garantis sont faciles à fabriquer. Si quelqu’un vous demande de lui donner le droit de retirer des fonds via votre API ou de déposer de l’argent sur une plateforme qu’il a choisie, revenez aux deux règles précédentes : limitez les autorisations et arrêtez si l’on vous demande de payer davantage avant un retrait.
Utiliser le même ordinateur pour travailler et stocker de grosses sommes : des installateurs inconnus, des logiciels piratés ou des « scripts de lancement multiple » douteux peuvent n’avoir qu’un seul but : remplacer le contenu de votre presse-papiers. Ne gardez pas un portefeuille contenant de grosses sommes sur le même appareil que ces outils.
8. Avant un transfert ou une signature, prenez 30 secondes pour vérifier
Suis-je arrivé sur cette page depuis mes favoris ? Si non, fermez-la.
Me demande-t-on ma phrase de récupération, un code de vérification ou un accès à distance, ou me demande-t-on d’effectuer d’abord un transfert ? Si oui, arrêtez-vous.
Puis-je expliquer cette signature en une phrase ? Si non, refusez.
Une autre demande de signature est-elle apparue juste après la première ? Si oui, fermez la page.
Ai-je vérifié l’adresse complète ? Vérifier seulement les premiers et derniers caractères ne suffit pas.
Le montant est-il important ? Si oui, envoyez d’abord un petit montant et transférez le reste une fois qu’il est arrivé.
Cette autorisation est-elle illimitée ? Si oui, réduisez-la au montant nécessaire et révoquez-la après usage.
L’autre partie me presse-t-elle ? Plus on vous presse, plus vous devez prendre votre temps. Un transfert légitime ne disparaîtra pas parce que vous avez pris 30 secondes pour le vérifier.
9. Vous avez déjà cliqué ? Suivez ces étapes dans l’ordre
Ne cherchez pas d’abord quelqu’un qui vous propose de « récupérer » vos fonds par message privé. Commencez par ceci :
Déconnectez-vous du réseau : si votre ordinateur est infecté, si vous avez installé un logiciel inconnu ou activé un accès à distance, ne saisissez plus aucune phrase de récupération sur cet appareil.
Utilisez un autre appareil sain ou un portefeuille matériel pour transférer les actifs qui n’ont pas encore été déplacés vers un tout nouveau portefeuille. Si vous avez saisi votre ancienne phrase de récupération sur un site, l’avez envoyée à quelqu’un ou l’avez stockée dans le cloud, ne l’utilisez plus.
Depuis un appareil sain, révoquez les autorisations de jetons de l’ancienne adresse. La révocation nécessite une signature de l’ancien portefeuille : vérifiez que vous avez ouvert l’outil depuis vos favoris.
Plateforme d’échange : changez immédiatement votre mot de passe, déconnectez toutes les sessions, réinitialisez vos clés API et vérifiez la liste blanche de retrait ainsi que l’historique récent des retraits. Si votre application d’authentification a pu être compromise, remplacez-la.
Changez aussi les mots de passe de votre e-mail et de votre compte mobile, et vérifiez qu’aucune règle de transfert suspecte n’a été ajoutée. Si les SMS ne sont pas votre seul moyen de vérification, retirez-les de vos comptes importants.
Considérez cette adresse comme compromise. N’y déposez plus jamais d’argent.
Conservez les hash des transactions et les dates afin de pouvoir les communiquer à une plateforme d’échange ou aux autorités. Les chances de blocage sont faibles, mais cela reste plus raisonnable que de verser le reste de votre argent à un prétendu « service de récupération ».
J’espère que cet article vous aidera à éviter certains pièges. N’hésitez pas à le partager avec vos amis. Merci de votre lecture !