Arnaques d'Ingénierie Sociale sur les Smart Contracts

Tactiques courantes

• • Créer des sites web répliques convaincants de plateformes DeFi légitimes comme Uniswap ou OpenSea, avec la marque volée et des URL presque identiques (par exemple, « uniswap-swap.net » au lieu de « uniswap.org »), puis intégrer du code malveillant de smart contract dans l'interface.
• • Envoyer des messages ciblés sur Discord ou Telegram en se faisant passer pour des modérateurs de projet, offrant des allocations exclusives de tokens ou un accès anticipé à des préventes nécessitant la connexion du portefeuille via une fausse dApp, déclenchant automatiquement la signature d'approbations de contrats.
• • Générer des vidéos YouTube ou des espaces Twitter créés par IA mettant en scène des deepfakes d'influenceurs crypto promouvant de fausses stratégies de yield farming avec des rendements APY supérieurs à 500 %, dirigeant les spectateurs vers des contrats frauduleux en quelques minutes.
• • Utiliser des contrats pièges (honeypots) qui semblent générer des profits lors de transactions tests (montrant de petits gains de 10 à 50 $) avant que la victime ne signe le contrat réel de vidage, exploitant la croyance psychologique qu'elle a validé l'opportunité.
• • Intégrer du code malveillant dans des pages de minting NFT apparemment légitimes, où les utilisateurs autorisent des limites de dépenses de tokens (souvent illimitées) en croyant ne payer que des frais de gaz, puis voir leur portefeuille vidé plusieurs semaines plus tard.
• • Pratiquer l'ingénierie sociale inversée en piratant les comptes officiels de réseaux sociaux de projets légitimes et en publiant des annonces de retraits ou d'échanges de tokens renvoyant vers des contrats frauduleux, tirant parti de la confiance établie de la communauté.

Comment l'identifier

• Le portefeuille connecté affiche des transactions que vous n'avez jamais initiées, ou vous recevez des notifications d'approbations de tokens que vous ne vous souvenez pas d'avoir autorisées, indiquant qu'un contrat avec des fonctions cachées de vidage a été exécuté.
• Une « opportunité » nouvellement découverte est arrivée via un message non sollicité d'une personne prétendant être un responsable de projet, offrant un accès exclusif contournant les canaux publics habituels comme les sites officiels.
• L'URL du site web contient de légères fautes d'orthographe ou utilise des extensions de domaine similaires mais différentes (.net au lieu de .org, ou inclut des tirets à des endroits inhabituels) par rapport au site officiel du projet légitime.
• En consultant le contrat sur des explorateurs blockchain comme Etherscan, le code source n'est pas vérifié, ou les fonctions du contrat incluent des permissions suspectes comme « transferFrom » avec des allocations illimitées alors qu'il prétend seulement faciliter des échanges de tokens.
• L'opportunité promet des rendements mathématiquement impossibles ou largement supérieurs aux taux du marché (rendements APY supérieurs à 400 %), combinés à une pression temporelle extrême indiquant que l'offre expire en quelques heures.
• Le solde de votre portefeuille diminue de montants inattendus peu après avoir autorisé ce que vous croyiez être une interaction contractuelle inoffensive, avec des enregistrements blockchain montrant des transferts de tokens vers des adresses inconnues.

Comment se protéger

• Naviguez toujours vers les plateformes DeFi en tapant directement l'URL officielle complète dans votre navigateur ou en utilisant des favoris, ne cliquez jamais sur des liens provenant des réseaux sociaux, e-mails ou messages, quelle que soit la crédibilité de la source.
• Avant de connecter votre portefeuille à une dApp ou de signer une interaction contractuelle, consultez l'adresse du contrat sur Etherscan ou PolygonScan, vérifiez qu'elle correspond à la documentation officielle du projet, et examinez le code source pour détecter des transferts vers des adresses inconnues.
• Utilisez des outils d'approbation de contrats comme Revoke.cash ou la page d'approbations de tokens d'Etherscan pour limiter les permissions de dépense de tokens à des montants ou nombres de transactions spécifiques plutôt que d'accorder des approbations illimitées.
• Créez des portefeuilles cryptographiques séparés dédiés uniquement aux interactions DeFi avec des fonds limités, en conservant la majorité de vos avoirs dans des portefeuilles matériels sécurisés ou des portefeuilles de stockage dédiés qui ne se connectent jamais aux dApps.
• Activez les outils de simulation de transactions disponibles via les fonctionnalités de sécurité de MetaMask ou des services indépendants comme Tenderly pour prévisualiser exactement ce qu'un smart contract fera avant de signer, en surveillant les transferts non autorisés de tokens.
• Vérifiez toute annonce majeure via les canaux officiels du projet (site principal, comptes Twitter vérifiés avec coche bleue, Discord/Telegram officiels) avant d'agir, et recoupez les informations sur des sites indépendants de sécurité blockchain comme CertiK ou Trail of Bits.

Cas réels

Questions fréquentes

Où signaler — France

Canaux officiels de votre région pour signaler cette escroquerie.