Principaux sujets du post :
Les DApps sont des applications basées sur la blockchain avec des backends propulsés par des contrats intelligents qui permettent des interactions décentralisées avec des cryptomonnaies, sans intermédiaires.
Le paysage des DApps offre une utilité sans précédent et possède un potentiel énorme, mais peut également exposer les utilisateurs à des risques. Les tactiques de fraude courantes dans cet espace incluent l'ingénierie sociale, le phishing d'approbation, le phishing de signature et les faux sites de rectification de blockchain visant les portefeuilles des utilisateurs.
Protégez-vous en vérifiant les DApps, en comprenant les permissions avant d'approuver, en utilisant les fonctionnalités de sécurité du portefeuille Binance et en ne partageant jamais votre phrase secrète ou vos clés privées.
Dans les applications décentralisées (DApps), vous êtes aux commandes – mais vous êtes également la dernière ligne de défense. Des protocoles DeFi et des marchés NFT aux jeux basés sur la blockchain, les DApps vous permettent de mettre des actifs à disposition pour des prêts, de négocier et de jouer avec des cryptomonnaies, sans intermédiaires.
Mais, sans service client et avec des contrats intelligents gérant chaque action, il n'y a souvent pas de bouton pour annuler une action après avoir approuvé une transaction ou signé un message.
Dans ce guide, nous allons vous aider à naviguer dans les DApps en toute sécurité et confiance – de l'identification des permissions à risque à la gestion des approbations de tokens – afin que vous puissiez explorer le Web3 sans perdre le sommeil (ou vos fonds).
Qu'est-ce que les DApps ?
Une application décentralisée (DApp) est une application qui fonctionne sur un réseau blockchain comme Ethereum ou BNB Chain, plutôt que de dépendre de serveurs centralisés. Pensez-y comme une application avec un backend public, transparent et immuable, alimentée par des contrats intelligents.
Dans le portefeuille Binance, vous pouvez vous connecter aux DApps via QR code, naviguer ou rechercher sur la page [Découvrez] ou toucher les DApps vérifiés dans le portefeuille.
Dangers des DApps
La nature ouverte du Web3 signifie que tout le monde peut déployer un contrat intelligent ou créer une interface de DApp. Les fraudeurs ont exploité cette liberté et le manque de support centralisé au client en créant des "DApps fausses" qui imitent de près les légitimes. Ces applications malveillantes sont soigneusement développées pour tromper les utilisateurs afin qu'ils signent des messages à risque ou approuvent des transactions nuisibles, mettant ainsi leurs actifs en danger.
Ingénierie sociale
L'ingénierie sociale est l'une des formes les plus courantes par lesquelles les fraudeurs trompent les utilisateurs pour connecter leurs portefeuilles à des DApps malveillants. Au lieu de dépendre uniquement d'exploitations techniques, ces fraudeurs manipulent la psychologie humaine – exploitant des émotions telles que la peur, la curiosité et l'urgence pour surmonter le bon sens. Voici comment se déroule généralement la séquence d'étapes dans une attaque d'ingénierie sociale.
Falsification d'identité : les fraudeurs se font souvent passer pour des représentants officiels de plateformes ou de projets fiables. Ils imitent des logos, adoptent des noms d'utilisateur convaincants et clonent même des groupes entiers de communautés sur Telegram, Discord ou Twitter pour sembler légitimes.
Établir la confiance : dans des messages privés ou au sein de ces groupes, les fraudeurs tenteront d'engager les utilisateurs dans des conversations amicales ou d'offrir une "aide" non sollicitée, construisant lentement une relation pour gagner leur confiance.
FOMO et promesses d'"enrichissement rapide" : une fois qu'un niveau de confiance de base est établi, les fraudeurs ne perdent pas de temps à créer un sentiment d'urgence. Ils vont promouvoir une opportunité à durée limitée – comme une "prévente exclusive", un "airdrop" ou un "accès facilité" à un "DApp à haut rendement". Les potentielles victimes sont poussées à agir rapidement et à interagir avec le DApp malveillant ou risquent de perdre l'opportunité.
Le piège : mais les seuls à s'enrichir sont les fraudeurs. Ces DApps sont généralement créés pour vider les portefeuilles au moment où un message d'approbation est signé ou pour donner au fraudeur un accès permanent à vos fonds sans votre connaissance.
Comment signer sans lire ce que vous signez peut entraîner des pertes
Phishing d'approbation
Dans le DeFi, les approbations sont une partie normale de l'interaction avec des contrats intelligents – elles permettent à un DApp de déplacer vos tokens en votre nom. Dans le phishing d'approbation, les DApps malveillants abusent de cette fonctionnalité en demandant aux utilisateurs d'approuver des dépenses de tokens exceptionnellement élevées ou illimitées.
Une fois que l'approbation est accordée, les fraudeurs utilisent des fonctions de contrats intelligents, comme transferFrom(), ou effectuent plusieurs retraits de tokens en lot en utilisant multicall(), drainant votre portefeuille au fil du temps. Comme les approbations restent actives jusqu'à ce qu'elles soient révoquées manuellement ou jusqu'à ce que la limite de fonds définie soit atteinte, le fraudeur peut continuer à accéder à votre portefeuille, drainant les tokens approuvés longtemps après l'interaction initiale.
Phishing de signature
Le phishing de signature consiste généralement à tromper les utilisateurs pour qu'ils signent des données arbitraires ou illisibles en utilisant des méthodes telles que Permit, Permit 2 ou eth_sign. Contrairement à une transaction normale sur la blockchain, ces signatures se produisent hors chaîne, donc il n'y a pas de frais de gaz, d'enregistrement sur la blockchain ou d'alerte immédiate. Une fois qu'une signature valide est créée, les fraudeurs peuvent l'utiliser dans un contrat intelligent pour obtenir l'accès pour déplacer vos tokens – permettant parfois des transferts ou accordant des permissions larges sans que vous ne vous en rendiez compte.
Un exemple courant de cette fraude utilise Permit et Permit2 – des méthodes légitimes d'approbation hors chaîne développées pour simplifier les interactions avec les DApps.
Le permis permet aux utilisateurs d'approuver le mouvement de tokens via une signature plutôt qu'une transaction d'approbation sur la blockchain.
Permit2 étend cette fonctionnalité en permettant à une seule signature d'approuver plusieurs tokens, avec des limites personnalisables et des paramètres d'expiration.
Bien que ces outils soient pratiques, les fraudeurs les utilisent pour déguiser des demandes malveillantes de Permit ou Permit2 en prompts inoffensifs. Si une victime signe l'une de ces demandes, le fraudeur peut utiliser cette signature ultérieurement pour retirer des fonds – parfois longtemps après l'interaction. Comme aucune transaction n'est transmise lorsque la signature est créée, la violation passe souvent inaperçue jusqu'à ce que les tokens soient perdus.
Les fraudes basées sur les permissions sont dangereuses principalement parce qu'une seule signature compromise peut déverrouiller l'accès à plusieurs tokens, en fonction de ce que vous avez précédemment autorisé. Vérifiez toujours plus d'une fois ce que vous signez – si c'est illisible ou n'a pas de sens, ne signez pas.
Fraudes de rectification de blockchain
La rectification de blockchain est un type de fraude qui exploite les utilisateurs inexpérimentés du Web3. Ces sites frauduleux prétendent corriger des problèmes courants de portefeuille, comme des erreurs de slippage ou des transactions échouées, mais sont en réalité conçus pour voler votre phrase secrète ou vos clés privées. Voici comment cette fraude se déroule généralement.
La cible est les utilisateurs frustrés : les fraudeurs exploitent des utilisateurs stressés par des erreurs telles que des problèmes de migration de portefeuille et de slippage, offrant de fausses "solutions rapides" qui promettent des résolutions faciles.
Imitation : ces sites peuvent copier l'apparence de services fiables, utilisant des designs clairs ou des interfaces presque identiques pour réduire l'attention des utilisateurs.
Simulation d'erreurs : en accédant au site, les utilisateurs rencontrent de faux messages d'erreur créés pour sembler urgents et légitimes. Ils sont ensuite invités à se "connecter manuellement" et, avec cela, trompés pour entrer leur phrase secrète ou importer leur clé privée – donnant aux fraudeurs un accès total au portefeuille, leur permettant de drainer les fonds.
Comment se protéger
Prenez les avertissements au sérieux
Le portefeuille Binance dispose de protections intégrées, telles que des simulations de transaction et des filtres de signature, pour aider à garder vos actifs en sécurité. Il bloque également les approbations pour les comptes de propriété externe (EOAs), les demandes à haut risque, comme eth_sign, et les DApps malveillants connus. Mais, au final, c'est vous qui prenez la décision finale. Lisez toujours et faites attention aux avertissements du portefeuille avant de confirmer une transaction ou de signer un message.
Pratiques intelligentes d'approbation
Ne signez jamais ou n'approuvez de demandes sans vérification. Comprenez exactement quelles permissions un DApp demande – surtout en ce qui concerne les approbations de tokens.
Évitez la permission illimitée : accordez toujours la quantité minimale nécessaire plutôt qu'un accès illimité au token. Cela limite les dommages potentiels en cas de DApp malveillant.
Révoquez les anciennes approbations : faites-en une habitude, en accédant périodiquement à l'onglet [Actifs] > [Approbations] de votre portefeuille pour révoquer toutes les approbations de tokens dont vous n'avez plus besoin.
Déconnectez les DApps non utilisés : dans [Plus] > [DApps connectés], retirez l'accès aux DApps que vous n'utilisez plus. Les laisser connectés augmente les risques.
Revue des simulations
Utilisez un portefeuille avec une fonction de simulation intégrée, comme le portefeuille Binance. La simulation aide à prévoir ce qui se passera avant qu'une transaction ne soit réellement envoyée à la blockchain. C'est comme obtenir un aperçu du résultat – ainsi, vous pouvez identifier des erreurs ou des fraudes avant qu'elles ne coûtent cher.
Pour les transferts simples de portefeuille à portefeuille, les simulations aident à identifier des adresses suspectes ou des erreurs potentielles, comme l'envoi vers une destination connue comme une fraude. En interagissant avec des contrats intelligents – lors de swaps, de staking ou d'autres actions dans le secteur DeFi – le portefeuille Binance effectue des simulations pour montrer la quantité attendue des tokens, les valeurs et les risques potentiels. Cela offre une vision claire des informations avant que vous ne confirmiez la transaction.
Faites toujours vos propres recherches (DYOR)
Avant d'interagir avec tout DApp, prenez le temps de l'évaluer soigneusement. Les projets légitimes sont souvent audités par des entreprises de sécurité indépendantes et ces rapports sont souvent disponibles sur le site officiel du projet. Renseignez-vous sur l'équipe derrière le projet – si elle est anonyme ou difficile à vérifier, cela peut être un signe d'alerte. Considérez également la communauté. Une base d'utilisateurs solide, engagée et transparente est généralement un bon signe, tandis que le manque d'activité ou des réponses vagues peuvent indiquer des risques sous-jacents.
Faites confiance aux sources officielles
Lorsque vous accédez à un DApp, commencez toujours par des liens vérifiés sur le site officiel du projet ou sur des plateformes fiables comme CoinMarketCap. Les fraudeurs créent souvent de faux sites en modifiant subtilement des noms de domaine ou en remplaçant des caractères similaires, ce qui peut être difficile à percevoir au premier abord (par exemple, uniswap.com contre unίswap.com). Évitez de cliquer sur des annonces de recherche, car les sites de phishing paient fréquemment pour apparaître en haut des résultats. Pour plus de sécurité, tapez l'URL manuellement plutôt que de cliquer sur des annonces ou de coller des liens fournis par des tiers.
Ne partagez jamais votre phrase secrète ou votre clé privée
Si quelqu'un demande votre phrase secrète ou votre clé privée, arrêtez immédiatement – vous êtes en train d'être trompé. Aucun DApp, service ou agent de support légitime ne demandera ces informations. Au moment où vous les partagerez, votre portefeuille sera vide dans l'instant suivant. Fermez l'onglet, éloignez-vous et ne regardez pas en arrière.
Éduquez-vous et restez informé
La connaissance est votre première ligne de défense dans l'espace Web3. Comprendre les fraudes courantes et connaître les pratiques intelligentes d'approbation est essentiel pour se protéger. Restez informé des dernières menaces en suivant des sources fiables comme Binance Academy, notre série Découvrez les Fraudes et la série sur la sécurité. Ces ressources vous aideront à rester en avance sur les fraudes émergentes, permettant une prise de décision éclairée pour protéger vos actifs.
Considérations finales
Le monde des DApps est riche en innovation et en possibilités. Que ce soit en utilisant des outils DeFi, en explorant les NFTs ou en découvrant un nouveau jeu basé sur la blockchain, il y a beaucoup de choses à découvrir.
Même si une maison bien construite a des serrures sécurisées, elles deviennent inutiles si vous laissez la porte ouverte ou perdez les clés. Le portefeuille Binance propose des fonctionnalités de sécurité avancées – des simulations et des alertes de fraude aux approbations restreintes – mais dépend encore de vous pour les utiliser judicieusement. Les approbations, les signatures et les connexions aux DApps font partie du quotidien dans le Web3 et les comprendre est essentiel pour protéger vos fonds. Si quelque chose semble suspect, arrêtez-vous, vérifiez et ne vous précipitez pas. Le Web3 récompense ceux qui restent vigilants et posent des questions. Avec les bonnes habitudes et une dose saine de prudence, vous pouvez explorer en toute confiance tout en gardant vos cryptomonnaies SAFU.