Points clés
Les escrocs exploitent les portefeuilles multi-signatures en trompant les victimes pour leur donner un contrôle partiel ou une pleine propriété, ce qui transforme une caractéristique de sécurité en point faible.
Les méthodes courantes incluent les pièges de la phrase de départ - la phrase secrète - la phrase de récupération qui incitent les victimes à financer des portefeuilles contrôlés par des escrocs, et la prise de contrôle qui exclut les victimes en ajoutant des escrocs comme copropriétaires ou propriétaires.
Protégez-vous en n’importing jamais la phrase initiale — la phrase secrète — la phrase de récupération fournie par d’autres, en ne partageant jamais votre propre phrase initiale — la phrase secrète — la phrase de récupération, en examinant toujours les transactions avant de signer, en vérifiant soigneusement les sites et en contrôlant régulièrement les autorisations de votre portefeuille.
« Plus il y a de signatures, plus la sécurité est élevée ». Mais que se passe-t-il si l’une d’elles tombe maintenant entre les mains d’un escroc ?
La fonctionnalité de signature multiple (MultiSig) est conçue pour renforcer la sécurité des cryptomonnaies en exigeant plusieurs signatures via la clé privée afin d’approuver une transaction. Au lieu d’avoir un point de défaillance unique, le contrôle est réparti — de sorte que même si une clé est compromise, le pirate ne devrait pas pouvoir transférer des fonds sans les autres clés.
Mais cette couche de protection supplémentaire est devenue récemment une arme à double tranchant sur TRON. Les escrocs exploitent le système d’autorisations flexible du réseau, qui permet aux utilisateurs de contrôler précisément qui peut accéder à leurs comptes et les gérer. Dans ce blog, nous expliquerons comment MultiSig a été détourné d’un bouclier vers une arme — et sur quoi les utilisateurs de TRON doivent faire attention.
Structure des autorisations sur TRON
Les comptes TRON utilisent un système d’autorisations qui permet un contrôle précis des actions que différentes clés peuvent exécuter. Pour nos besoins, les deux types d’autorisations suivants sont les plus pertinents :
Autorisation du propriétaire : contrôle des actions de haut niveau, comme la modification des autorisations du compte ou le transfert de propriété.
Autorisation active : gère les opérations courantes, comme le transfert de fonds ou l’interaction avec des contrats intelligents.
Pour effectuer une exécution, toute transaction sur le réseau TRON doit être signée par une clé privée ou un ensemble de clés au sein d’une configuration multi-signatures qui dispose de l’autorisation appropriée et qui satisfait au seuil requis pour cette action spécifique.
Comment MultiSig est exploité
Dans une escroquerie typique via MultiSig, l’attaquant trouve un moyen de devenir l’un des signataires requis — soit en trompant la victime pour qu’elle lui accorde un accès, soit en exploitant des failles de contrats intelligents ou des autorisations particulières de la plateforme. Sur le réseau TRON, cette approche prend deux formes.
1. Les pièges de la phrase initiale — la phrase secrète — la phrase de récupération et des clés privées
Ces opérations frauduleuses phrases initiales — phrases secrètes — phrases de récupération ou des clés privées sont diffusées sur plusieurs plateformes comme YouTube et X, dans l’espoir d’attirer des utilisateurs inattentifs à interagir avec elles.
Configuration : les escrocs prétendent qu’ils ne sont pas sûrs de la façon de transférer des fonds hors du portefeuille. Ils partagent publiquement la phrase initiale — la phrase secrète — la phrase de récupération, demandant aux autres de l’importer et d’aider à transférer les fonds — et parfois même avec la promesse d’une récompense.
Appât : le portefeuille semble être chargé avec une grande quantité de jetons ou de USDT, ce qui pousse les victimes à transférer rapidement des fonds hors de celui-ci.
Le piège : bien que le portefeuille contienne beaucoup de jetons, il ne dispose pas de suffisamment de TRX — la monnaie de base requise pour payer les frais de transaction. Les victimes envoient souvent, par désir de transférer les fonds, leur propre TRX pour couvrir ces frais.
La prise de conscience : après avoir financé le portefeuille avec des TRX, les victimes découvrent qu’elles ne peuvent effectuer aucune transaction car le portefeuille est en réalité sous le contrôle de l’escroc. Ensuite, l’escroc transfère les TRX que la victime a envoyés — entraînant une perte pour l’utilisateur.
Étant donné que la configuration du portefeuille multi-signatures nécessite plusieurs signatures — des signatures que les victimes ne possèdent pas — les utilisateurs qui envoient de petits montants de TRX pour couvrir les frais de transaction se retrouvent incapables de transférer quoi que ce soit. Les escrocs publient ces portefeuilles piégés avec la phrase initiale — la phrase secrète — la phrase de récupération sur les réseaux sociaux, dans l’espoir que beaucoup tomberont dans le piège et enverront des TRX sans interaction directe. Avec le temps, les escrocs accumulent passivement de grandes quantités de TRX tout en conservant un contrôle verrouillé à fond.
2. Le détournement des autorisations de compte
Toutes les escroqueries via des portefeuilles multi-signatures ne sont pas de simples pièges reposant sur l’appât et l’attente. Certaines sont plus complexes et plus sournoises — conçues pour vous tromper afin d’ajouter l’escroc comme co-propriétaire ou co-signataire de votre portefeuille. Une fois qu’ils ont pied dans le système, ils peuvent soit geler vos fonds, soit, dans certains cas, prendre le contrôle total de votre portefeuille et l’assécher entièrement.
Configuration : les escrocs redirigent les utilisateurs vers des sites Web malveillants, soit en usurpant le rôle de membres du support de la plateforme d’échange, soit en faisant la promotion de fausses opportunités de distribution gratuite via les réseaux sociaux.
Appât : on vous demande de réclamer une distribution gratuite ou de connecter votre portefeuille pour participer à une offre promotionnelle. Quel est l’objectif ? Vous pousser à signer une transaction qui semble inoffensive.
Le piège : la transaction n’est pas ce qu’elle paraît. Au lieu de réclamer une récompense, vous acceptez — sans le savoir — de mettre à jour les autorisations du compte. Les détails sont dissimulés dans une terminologie déroutante — ou derrière un bouton « Approve » ambigu.
La prise de conscience : une fois la transaction signée, les autorisations de votre portefeuille changent. Dans certains cas, les droits du propriétaire sont transférés intégralement à l’escroc. Dans d’autres, l’escroc s’ajoute lui-même comme signataire coparticipant, se fixant comme signataire requis pour toutes les transactions futures.
Et comme le portefeuille exige désormais plusieurs signatures pour transférer le moindre fonds — des signatures que vous ne contrôlez plus — vous vous retrouvez, en pratique, en dehors du dispositif.
Remarque : des tactiques similaires ont également été observées sur Solana. Là aussi, les escrocs trompent les utilisateurs pour qu’ils signent des transactions qui transfèrent des autorisations sur des comptes de jetons, ou qui accordent de larges droits d’exécution, aboutissant au même résultat : la perte du contrôle.
Comment vous protéger contre les escroqueries via des portefeuilles multi-signatures
Protégez la phrase initiale — la phrase secrète — la phrase de récupération : la phrase initiale — la phrase secrète — la phrase de récupération est la clé principale de votre portefeuille. Ne la partagez jamais avec qui que ce soit, et n’importez jamais les clés privées ou la phrase initiale — la phrase secrète — la phrase de récupération fournie par d’autres, quelle qu’en soit la raison.
Arrêtez-vous et réfléchissez avant de signer : vérifiez toujours, une nouvelle fois, ce que vous vous apprêtez à approuver. Qu’il s’agisse d’une transaction ou d’un message, prenez un instant pour comprendre ce que vous signez.
Vérifiez les URL des sites : surveillez des indices subtils, comme des fautes d’orthographe, des polices inhabituelles ou des mises en page non familières. Cela peut indiquer des sites de phishing conçus pour imiter les plateformes réelles.
Vérifiez les autorisations de votre portefeuille : utilisez un explorateur de blocs comme tronscan.org pour consulter les paramètres des autorisations de n’importe quel portefeuille :
Collez l’adresse du portefeuille dans la barre de recherche.
Sur la page du compte du portefeuille, repérez tout signe distinctif d’autorisations indiquant des changements.
Cliquez sur le bouton [View Account Permission] ou sur la section [Account Permission] de la page pour voir les détails complets sur qui contrôle le portefeuille et sur le niveau d’accès dont il dispose.
Restez vigilant et informé : sur Web3, le meilleur moyen de défense n’est pas seulement un mot de passe solide, mais aussi de rester informé. Des pièges de la phrase initiale — la phrase secrète — la phrase de récupération au détournement des autorisations de compte, les escrocs inventent de nouvelles méthodes pour exploiter des fonctionnalités comme MultiSig sur TRON. Ne les laissez pas vous surprendre. Tenez-vous au courant des escroqueries en évolution en suivant des sources fiables comme Binance Academy, notre série Know Your Scams, et les blogs security. Plus vous apprenez, plus votre tromperie sera difficile. La connaissance n’est pas une option. C’est votre bouclier.
Dernières réflexions
Les portefeuilles multi-signatures sont conçus pour renforcer la sécurité, mais entre de mauvaises mains, ils peuvent se transformer en arme contre vous. La bonne nouvelle, c’est que vous n’avez pas besoin d’être un expert technique pour rester en sécurité : restez simplement vigilant et posez des questions sur tout. Ne partagez jamais la phrase initiale — la phrase secrète — la phrase de récupération, n’importez pas de clés auprès d’étrangers et ne signez jamais des transactions sans vérification. Faites de la revue des autorisations de votre portefeuille une habitude — et surtout, continuez à apprendre, car dans Web3, la connaissance n’est pas seulement un pouvoir : c’est votre couche de protection la plus robuste !
Pour aller plus loin
Veuillez noter : des différences peuvent exister entre ce contenu source en anglais et toute version traduite (ces versions peuvent être produites par une IA). Veuillez consulter la version anglaise originale pour obtenir les informations les plus exactes, en cas de divergences.