Vous copiez une adresse de portefeuille, la collez dans le champ d’envoi et confirmez. Tout semble correct. Pourtant, un programme malveillant discret a remplacé l’adresse dès qu’elle a été copiée dans le presse-papiers, et vos fonds sont désormais perdus à jamais, envoyés à un inconnu. La plupart des attaques réussies contre les détenteurs de cryptomonnaies ne s’en prennent pas à la blockchain. Elles exploitent des comportements humains prévisibles : copier-coller des adresses sans les vérifier, télécharger des applications depuis les résultats de recherche et faire confiance à un numéro de téléphone comme moyen de récupération. L’auto-conservation signifie que vous êtes la dernière ligne de défense. Comprendre votre surface d’attaque est la première étape pour la protéger.
Hameçonnage : quand la menace prend un visage familier
Dans l’univers des cryptomonnaies, l’hameçonnage prend trois formes principales. Les courriels d’hameçonnage imitent les alertes des plateformes d’échange ou les notifications de portefeuille pour créer un sentiment d’urgence : compte suspendu, connexion suspecte ou retrait que vous n’avez pas effectué. Les annonces frauduleuses dans les résultats de recherche placent, au-dessus des résultats naturels, des publicités payantes qui imitent des sites de portefeuille ou de plateforme d’échange décentralisée. Le nom de domaine de l’annonce diffère subtilement du vrai (« metamask-app.io » au lieu de « metamask.io »). L’hameçonnage sur les réseaux sociaux se manifeste par des messages privés sur Discord envoyés par de faux robots d’assistance, ou par des groupes Telegram qui promettent des airdrops.
Dans tous les cas, le but est le même : obtenir votre phrase de récupération ou votre clé privée, ou vous inciter à approuver une transaction malveillante. Aucun service légitime ne vous demande votre phrase de récupération. Ni votre fournisseur de portefeuille, ni l’assistance d’une plateforme d’échange, ni un site proposant de vérifier votre compte.
L’hameçonnage par annonces dans les résultats de recherche est de plus en plus dangereux, car un faux site peut être visuellement identique à l’original, jusque dans les moindres détails. L’attaquant achète des annonces Google ou Bing pour des recherches révélant une forte intention, comme « télécharger MetaMask » ou « application Uniswap ». Les utilisateurs qui cliquent sur l’annonce au lieu de se rendre directement sur le site arrivent alors sur un site conçu pour vider leur portefeuille. Les signaux d’alerte — URL différente, demande d’importer votre portefeuille dès l’ouverture, urgence artificielle — passent facilement inaperçus quand vous êtes pressé.
Comment vous protéger : Ajoutez les URL officielles des portefeuilles à vos favoris et rendez-vous directement sur ces sites. Ne cliquez jamais sur des liens vers un portefeuille reçus par courriel ou affichés dans des annonces de recherche. Si possible, utilisez un portefeuille matériel pour signer les transactions : même un faux site convaincant ne pourra pas extraire vos clés, car l’appareil exige que vous appuyiez physiquement sur un bouton, sur son écran résistant aux manipulations.
Détournement du presse-papiers : le remplacement furtif d’une adresse
Un logiciel de détournement du presse-papiers (une catégorie de programme malveillant) surveille le presse-papiers de votre système à la recherche de chaînes correspondant à des adresses de portefeuilles crypto. Les adresses Bitcoin commencent par 1, 3 ou bc1 ; les adresses Ethereum commencent par 0x. Dès qu’une chaîne correspondante est détectée, le logiciel malveillant la remplace discrètement par une adresse contrôlée par l’attaquant, avant que vous ne la colliez.
Cette attaque est conçue pour passer inaperçue. Le champ d’envoi affiche l’adresse de l’attaquant, qui peut sembler correcte au premier coup d’œil, surtout si les premiers et derniers caractères ont été imités pour ressembler à la destination prévue.
Les vecteurs de diffusion de ce type de logiciel malveillant sont nombreux : extensions de navigateur malveillantes, applications de bureau piégées comme des outils de trading piratés ou de faux outils de suivi de portefeuille, et logiciels contrefaits fournis avec des portefeuilles matériels. La campagne GitVenom, documentée par Kaspersky fin 2024, a diffusé des logiciels de détournement du presse-papiers via de faux dépôts GitHub. Environ 5 BTC — soit quelque 485 000 $ à l’époque — ont été dérobés à des victimes au Brésil, en Turquie et en Russie. Le détournement du presse-papiers ne se limite pas à Windows. ClipXDaemon, identifié par Cyble en février 2026, cible les systèmes Linux en interceptant les sessions du presse-papiers X11.
Comment vous protéger : Après avoir collé une adresse de portefeuille, vérifiez chaque caractère de la chaîne complète avant de confirmer. Un portefeuille matériel impose cette habitude de manière structurelle : il affiche la véritable adresse de destination sur son propre écran, indépendamment du contenu du presse-papiers de votre ordinateur. N’installez jamais d’extensions de navigateur en dehors des boutiques officielles et évitez d’exécuter des logiciels obtenus en dehors des canaux de distribution vérifiés par leurs développeurs.
Empoisonnement d’adresse : un seul caractère erroné peut tout faire perdre
L’empoisonnement d’adresse exploite un raccourci courant dans les interfaces des portefeuilles. La plupart n’affichent que les quatre à six premiers caractères et les quatre à six derniers d’une adresse de portefeuille. Les attaquants génèrent des adresses ressemblantes — des adresses personnalisées — qui reproduisent exactement les caractères visibles. Ils envoient ensuite de minuscules transactions « dust » (des montants faibles, presque sans valeur) depuis la fausse adresse vers le portefeuille de la victime, ajoutant ainsi l’adresse ressemblante à l’historique de ses transactions.
Lorsque la victime veut ensuite renvoyer des fonds à une adresse connue, elle parcourt l’historique de ses transactions, repère l’entrée familière, la copie et envoie les fonds au portefeuille de l’attaquant.
L’ampleur de ces attaques est considérable. Chainalysis a documenté une campagne qui, en 2024, a généré 82 031 fausses adresses, touché 2 774 victimes et causé environ 69,7 millions de dollars de pertes au total. En mai 2024, une attaque par empoisonnement d’adresse a failli coûter 68 millions de dollars à un détenteur de Wrapped Bitcoin (WBTC). Les fonds ont été rendus après négociation, mais l’attaquant a conservé environ 3 millions de dollars de gains liés à l’appréciation du cours pendant la période de négociation. En décembre 2025, un trader crypto a perdu 49 999 950 USDT en une seule transaction, envoyée à une adresse empoisonnée.
Ne copiez jamais d’adresses depuis l’historique de vos transactions. Utilisez un carnet d’adresses enregistré ou collez à nouveau l’adresse depuis sa source originale vérifiée chaque fois.
Comment vous protéger : Enregistrez les adresses que vous utilisez souvent dans le carnet d’adresses de votre portefeuille au lieu de les recopier depuis l’historique. Pour les montants importants, vérifiez chaque caractère de l’adresse de destination, pas seulement les premiers et derniers caractères. Les portefeuilles matériels affichent l’adresse complète à l’écran pour que vous puissiez la vérifier manuellement avant de signer.
Fausses applications de portefeuille : des logiciels malveillants cachés dans l’App Store
Les fausses applications de portefeuille reproduisent l’icône, le nom et l’interface de portefeuilles légitimes. Une fois installées, elles affichent soit un faux écran d’importation de phrase de récupération — pour dérober les phrases des utilisateurs qui restaurent un portefeuille existant —, soit exécutent discrètement des transactions destinées à vider les comptes connectés.
Ces applications circulent dans les boutiques officielles, ce qui les rend particulièrement crédibles. Check Point Research a documenté en 2024 une fausse application « WalletConnect — Crypto Wallet » sur Google Play. En cinq mois, elle a cumulé plus de 10 000 téléchargements, échappé totalement à la détection (aucune détection sur VirusTotal) et dérobé plus de 70 000 $ à plus de 150 victimes au moyen de l’outil MS Drainer. En 2025, Google a supprimé plus de 22 fausses applications de portefeuille crypto qui usurpaient l’identité de PancakeSwap, SushiSwap et Raydium ; beaucoup utilisaient de faux écrans d’importation pour dérober des phrases de récupération.
Les annonces dans les résultats de recherche et la manipulation du référencement font apparaître les fausses applications avant les versions légitimes, dans les résultats des boutiques d’applications comme dans ceux des moteurs de recherche, ce qui aggrave le problème.
Comment vous protéger : Avant d’installer une application de portefeuille, rendez-vous d’abord sur le site officiel du portefeuille et suivez le lien de téléchargement qui s’y trouve. Vérifiez le nom exact du développeur : une seule différence de caractère peut être le seul indice visible. Consultez les avis récents pour repérer d’éventuels signalements de pertes de fonds. Enfin, point essentiel : ne saisissez jamais une phrase de récupération dans une application fraîchement installée, sauf si vous y êtes arrivé par le canal de distribution officiel.
Échange de carte SIM : quand votre numéro de téléphone devient un risque
L’échange de carte SIM (aussi appelé détournement de carte SIM) est une attaque par ingénierie sociale dans laquelle un pirate convainc votre opérateur mobile de transférer votre numéro de téléphone vers une carte SIM qu’il contrôle. Il y parvient généralement en combinant des données personnelles recueillies lors de fuites de données, sur les réseaux sociaux et, dans certains cas, en soudoyant des employés de l’opérateur.
Une fois qu’il contrôle votre numéro, le pirate intercepte les mots de passe à usage unique envoyés par SMS (SMS OTP). Il peut ainsi réinitialiser le mot de passe de votre compte de messagerie, puis celui de votre compte sur une plateforme d’échange, avant de vider votre portefeuille crypto. Comme les transactions sur la blockchain sont irréversibles, les cryptomonnaies constituent une cible idéale : contrairement à un virement bancaire, il n’y a ni possibilité d’annulation ni procédure de contestation.
L’ampleur du problème est documentée et augmente. Dans son rapport annuel 2024, l’Internet Crime Complaint Center (IC3) du FBI a recensé 982 plaintes pour échange de carte SIM aux États-Unis, pour environ 26 millions de dollars de pertes déclarées. Le service britannique de lutte contre la fraude Cifas a signalé une hausse de 1 055 % des cas en 2024, avec près de 3 000 incidents contre 289 l’année précédente. En mars 2025, T-Mobile a été condamné à verser 33 millions de dollars à l’issue d’un arbitrage après qu’un seul échange de carte SIM a permis le vol des avoirs en cryptomonnaies d’un client.
Les détenteurs de cryptomonnaies sont ciblés de manière disproportionnée : leurs avoirs sur la blockchain sont visibles publiquement, les réseaux sociaux révèlent souvent leurs investissements, et l’irréversibilité des transactions exclut toute annulation.
Comment vous protéger : Retirez votre numéro de téléphone des facteurs d’authentification à deux facteurs (2FA) sur toutes vos plateformes d’échange, vos comptes de messagerie et vos services cloud. Remplacez les SMS OTP par une application d’authentification TOTP (comme Aegis ou Raivo) ou une clé de sécurité matérielle FIDO2. Définissez un code PIN ou un mot de passe pour votre compte auprès de votre opérateur mobile. Utilisez une adresse e-mail dédiée aux connexions à vos plateformes d’échange, qui ne soit pas liée à vos comptes sur les réseaux sociaux. Évitez d’annoncer publiquement que vous détenez des cryptomonnaies.
La seule habitude qui déjoue la plupart des attaques : vérifier avant de confirmer
Toutes les attaques abordées ici exploitent la même faille : l’écart entre ce qui s’affiche à l’écran et ce qui est réellement signé, envoyé ou approuvé. Le but du pirate est toujours de vous faire confirmer une opération avant que vous ne l’ayez vérifiée.
La meilleure défense consiste à marquer une pause à chaque étape de confirmation :
- Vérifiez l’adresse de destination dans son intégralité, caractère par caractère, et pas seulement ses premiers et derniers caractères.
- Vérifiez le montant et l’actif avant de signer.
- Assurez-vous que l’URL du site ou de l’application correspond exactement à celle de votre favori.
Les portefeuilles matériels imposent cette habitude par conception. Les détails de la transaction s’affichent sur un écran inviolable que l’ordinateur hôte ne peut pas modifier, et la signature nécessite d’appuyer sur un bouton physique. Cela ne rend pas les portefeuilles matériels invulnérables, mais élimine toute une catégorie d’attaques qui reposent sur la manipulation de ce que vous voyez sur un écran compromis.
Pour sécuriser vos comptes, remplacez l’authentification à deux facteurs par SMS par TOTP ou FIDO2 sur toutes les plateformes qui le prennent en charge. Pour protéger votre phrase de récupération, ne la saisissez jamais dans un onglet de navigateur ou une fenêtre de discussion ; ne la faites jamais apparaître dans une capture d’écran ni dans une sauvegarde cloud, quelle que soit la demande d’un « agent d’assistance ».
À retenir
- L’hameçonnage, les logiciels malveillants qui détournent le presse-papiers, les fausses applications et les échanges de carte SIM sont les principaux vecteurs d’attaque contre les détenteurs de cryptomonnaies en auto-conservation ; aucun ne nécessite de casser la cryptographie.
- L’empoisonnement d’adresse ajoute des adresses similaires à votre historique de transactions ; ne copiez jamais une adresse de destination depuis cet historique.
- Les logiciels malveillants qui détournent le presse-papiers remplacent discrètement les adresses copiées ; vérifiez toujours l’adresse complète après l’avoir collée, avant de confirmer un envoi.
- De fausses applications de portefeuille circulent dans les boutiques officielles sans être détectées par aucun antivirus ; accédez toujours au lien de téléchargement depuis le site officiel du portefeuille.
- L’authentification à deux facteurs par SMS présente un risque : remplacez-la par TOTP ou une clé de sécurité matérielle FIDO2 sur chaque compte qui protège l’accès à vos cryptomonnaies.
- Un portefeuille matériel impose la vérification au moment de signer et élimine la principale catégorie d’attaques reposant sur la tromperie à l’écran.
