Le soir du 16 octobre, NanoBaiter, un YouTubeur spécialisé dans la traque des escrocs, a publié un long fil en 12 parties : un escroc de Kemi, à Abuja, au Nigeria, se faisait passer pour MrBeast, Airrack et lui-même, et ciblait des personnes qui s’étaient « déjà fait arnaquer une fois ». Des victimes avaient raconté dans les commentaires de ses vidéos qu’elles s’étaient fait escroquer. L’escroc leur répondait aussitôt : « Va sur Telegram et contacte @nanobaiter_team », puis leur vendait un prétendu « logiciel de récupération de fonds ». Le YouTubeur a fait semblant de tomber dans le piège. Pendant que l’escroc prenait le contrôle à distance, il a inversé la connexion, activé la webcam de l’escroc et découvert des cartes-cadeaux Google Play ainsi que des captures d’écran de paiements en bitcoins. Il a aussi constaté que l’argent volé était blanchi sur des plateformes d’échange de gré à gré, après avoir été converti à partir de cartes-cadeaux. Enfin, il a réussi à localiser l’escroc grâce au BSSID des réseaux Wi-Fi alentours, détectés par son ordinateur portable. Les preuves ont été transmises à l’EFCC nigériane. Le premier post a dépassé les 620 000 vues et suscité plus de 1 200 commentaires sur X en une demi-journée.
Ce que les escrocs craignent le plus, ce n’est pas la police, mais cette webcam de leur ordinateur portable qu’ils ont oublié de couvrir avec du ruban adhésif.
Quelques réflexions d’ordre technique :
1. Les transferts sur la blockchain n’ont pas de bouton d’annulation. Une fois la transaction confirmée, aucun « logiciel de récupération » ni « hacker de la blockchain » ne peut récupérer l’argent. Dans la pratique, il n’y a qu’un moyen d’en récupérer : si l’argent volé passe par une plateforme centralisée dotée d’une équipe chargée de la conformité, vous portez plainte et la police lui adresse une demande officielle de coopération pour faire geler les fonds. Quiconque vous demande d’abord des frais, une caution ou des « frais de déblocage » avant de récupérer l’argent vous porte un second coup.
2. Écrire dans un commentaire public « Je me suis fait arnaquer, voici l’adresse : xxx », c’est se mettre sur une liste toute prête : vous êtes désespéré, votre jugement vient d’être ébranlé et vous êtes prêt à payer pour garder espoir. Une véritable équipe officielle ne vous contactera pas d’abord en message privé, et encore moins pour vous demander de poursuivre la conversation sur Telegram. Les comptes dont le nom contient « team », « support » ou « official » peuvent généralement être bloqués sans hésiter.
3. Le contrôle à distance fonctionne dans les deux sens. Quand un escroc vous demande d’installer un logiciel de bureau à distance comme AnyDesk pour « vérifier les transactions sur la blockchain », l’installer revient à lui donner accès à tout votre ordinateur, aux extensions de portefeuille de votre navigateur et à vos sessions ouvertes sur les plateformes d’échange. Cette fois, l’escroc s’est fait piéger de la même façon : même le BSSID des routeurs à proximité est devenu un indice. Il suffit d’obtenir l’adresse matérielle de quelques routeurs proches pour consulter les bases de données publiques de géolocalisation Wi-Fi ; on peut souvent ainsi localiser une rue.
4. Les cartes-cadeaux et la conversion de devises en dehors des plateformes officielles sont des moyens de sortie classiques pour ce genre de groupes. Si quelqu’un vous demande de payer des « frais de récupération » avec une carte-cadeau, cela suffit à prouver qu’il s’agit d’une arnaque.
Ce que je fais : après une arnaque, ma première réaction est d’exporter le hash de la transaction, l’adresse de l’escroc et des captures d’écran de la conversation, puis de porter plainte. Je contacte aussi le service client de la plateforme sur laquelle les fonds volés ont été transférés et passe par son canal officiel d’assistance. Je ne publie pas d’adresse dans des commentaires publics pour demander de l’aide ; je refuse systématiquement d’installer un logiciel de contrôle à distance à la demande d’un inconnu ; et quand je reçois un message privé proposant de « récupérer mon argent », je pars du principe qu’il s’agit du prochain escroc.
Ce que les escrocs craignent le plus, ce n’est pas la police, mais cette webcam de leur ordinateur portable qu’ils ont oublié de couvrir avec du ruban adhésif.
Quelques réflexions d’ordre technique :
1. Les transferts sur la blockchain n’ont pas de bouton d’annulation. Une fois la transaction confirmée, aucun « logiciel de récupération » ni « hacker de la blockchain » ne peut récupérer l’argent. Dans la pratique, il n’y a qu’un moyen d’en récupérer : si l’argent volé passe par une plateforme centralisée dotée d’une équipe chargée de la conformité, vous portez plainte et la police lui adresse une demande officielle de coopération pour faire geler les fonds. Quiconque vous demande d’abord des frais, une caution ou des « frais de déblocage » avant de récupérer l’argent vous porte un second coup.
2. Écrire dans un commentaire public « Je me suis fait arnaquer, voici l’adresse : xxx », c’est se mettre sur une liste toute prête : vous êtes désespéré, votre jugement vient d’être ébranlé et vous êtes prêt à payer pour garder espoir. Une véritable équipe officielle ne vous contactera pas d’abord en message privé, et encore moins pour vous demander de poursuivre la conversation sur Telegram. Les comptes dont le nom contient « team », « support » ou « official » peuvent généralement être bloqués sans hésiter.
3. Le contrôle à distance fonctionne dans les deux sens. Quand un escroc vous demande d’installer un logiciel de bureau à distance comme AnyDesk pour « vérifier les transactions sur la blockchain », l’installer revient à lui donner accès à tout votre ordinateur, aux extensions de portefeuille de votre navigateur et à vos sessions ouvertes sur les plateformes d’échange. Cette fois, l’escroc s’est fait piéger de la même façon : même le BSSID des routeurs à proximité est devenu un indice. Il suffit d’obtenir l’adresse matérielle de quelques routeurs proches pour consulter les bases de données publiques de géolocalisation Wi-Fi ; on peut souvent ainsi localiser une rue.
4. Les cartes-cadeaux et la conversion de devises en dehors des plateformes officielles sont des moyens de sortie classiques pour ce genre de groupes. Si quelqu’un vous demande de payer des « frais de récupération » avec une carte-cadeau, cela suffit à prouver qu’il s’agit d’une arnaque.
Ce que je fais : après une arnaque, ma première réaction est d’exporter le hash de la transaction, l’adresse de l’escroc et des captures d’écran de la conversation, puis de porter plainte. Je contacte aussi le service client de la plateforme sur laquelle les fonds volés ont été transférés et passe par son canal officiel d’assistance. Je ne publie pas d’adresse dans des commentaires publics pour demander de l’aide ; je refuse systématiquement d’installer un logiciel de contrôle à distance à la demande d’un inconnu ; et quand je reçois un message privé proposant de « récupérer mon argent », je pars du principe qu’il s’agit du prochain escroc.