Les arnaques crypto les plus courantes et comment les éviter

En 2023, une retraitée en Californie a matché avec un inconnu charmant sur une application de rencontres. Pendant quatre mois, ils ont échangé des centaines de messages — recettes, photos de famille, projets pour enfin se rencontrer. Puis est venu le conseil d'investissement : une plateforme de trading crypto « privée » avec des gains réguliers et magnifiques. Elle a déposé 10 000 $ et a vu le tableau de bord grimper. Elle a déposé davantage. Le jour où elle a tenté de retirer ses « profits », le site avait disparu, les messages s'étaient arrêtés, et 1,2 million de dollars d'économies de toute une vie s'étaient évaporés dans un portefeuille qu'elle ne pourrait jamais retracer. Il n'y avait pas d'inconnu charmant. Il y avait un entrepôt d'escrocs faisant tourner le même scénario sur mille personnes à la fois.

Ce n'est pas une histoire d'horreur rare. L'Internet Crime Complaint Center du FBI a enregistré 5,6 milliards de dollars de pertes liées à la fraude en cryptomonnaie en 2023 — en hausse de 45% sur un an — tandis que Chainalysis estimait la criminalité liée à la crypto au sens large à plus de 14 milliards de dollars. Et ce ne sont que les cas signalés. La honte fait taire la plupart des victimes, donc le chiffre réel est presque certainement plus élevé.

Les arnaques crypto exploitent les mêmes leviers ancestraux que toutes les escroqueries avant elles — l'avidité, la peur, la solitude et la confiance — mais elles sont démultipliées par trois propriétés propres à cette technologie : les transactions sont irréversibles, les adresses sont pseudonymes, et la culture célèbre véritablement des actifs qui font x100 en une semaine. Quand un jeton peut légitimement s'envoler du jour au lendemain, la ligne entre « opportunité incroyable » et « fraude évidente » se brouille volontairement. Ce brouillage est le modèle d'affaires même de l'escroc.

Ce qui suit n'est pas une encyclopédie exhaustive. C'est la poignée d'attaques qui drainent réellement le plus d'argent — expliquées avec suffisamment de détails mécaniques pour que vous puissiez reconnaître chacune avant qu'elle n'atteigne votre portefeuille, et une pile de défense concrète que vous pouvez mettre en place cet après-midi.

Le hameçonnage (phishing) cause plus de pertes individuelles que tout autre vecteur d'attaque en crypto, et le mécanisme est brutalement simple : un faux site web identique à un vrai — même logo, mêmes polices, même mise en page, une URL décalée d'un seul caractère. Vous connectez votre portefeuille, vous approuvez une transaction que vous supposez routinière, et un contrat intelligent malveillant vide chaque jeton auquel vous venez de donner l'autorisation d'accès.

Les versions amateures ont des fautes de frappe et des images cassées. Les versions dangereuses sont impeccables. Des publicités Google ont diffusé des liens de hameçonnage pour « Uniswap » et « MetaMask » qui se classaient au-dessus des résultats réels. Des comptes sur X usurpent l'identité de Vitalik Buterin ou de comptes officiels de protocoles et publient de faux liens de largage auprès de millions d'abonnés. Des bots Discord envoient des messages privés avec des liens de « frappe exclusive » dès que vous rejoignez un serveur NFT. Début 2024, une campagne de hameçonnage imitant un email de « migration de plateforme » a volé plus de 1,7 million de dollars de NFT à des utilisateurs d'OpenSea — des personnes qui pensaient simplement confirmer une mise à jour de compte.

L'évolution la plus insidieuse est le vidangeur de portefeuille (wallet drainer) — un code malveillant préconstruit désormais louable sous forme de « Drainer-as-a-Service », permettant même à des criminels non techniques de déployer un kit de vol de qualité professionnelle. Le drainer n'a pas besoin de votre phrase de récupération. Il lui suffit que vous signiez une transaction sur une page convaincante, et la signature fait le reste.

La défense est ennuyeuse, et c'est précisément pourquoi elle fonctionne :

• Mettez en favoris les vraies URL et naviguez uniquement à partir de vos favoris — jamais depuis une publicité de recherche, un message privé, ou une publication sur les réseaux sociaux.
• Vérifiez l'URL caractère par caractère avant de connecter votre portefeuille. Surveillez les lettres inversées (rn contre m), les tirets supplémentaires et les domaines ressemblants.
• Lisez ce que vous signez. Une invite de portefeuille qui demande d'« approuver tout » ou qui accorde des dépenses sur un jeton que vous ne tradez pas activement est un signal d'alarme.
• Utilisez un navigateur ou un profil dédié à la crypto, avec un portefeuille matériel ou MPC pour tout ce qui a de la valeur.

Un développeur lance un jeton. Il en fait la promotion sans relâche sur X et Telegram. Le prix grimpe à mesure que les acheteurs s'accumulent. Puis, en une seule transaction, le développeur retire toute la liquidité du pool du DEX et disparaît. Le prix tombe instantanément à zéro. Chaque acheteur se retrouve avec un jeton qu'il ne peut physiquement pas vendre, car il ne reste aucune liquidité pour vendre dans. C'est le « tapis » (rug) qui est tiré sous vos pieds.

Chainalysis a suivi plus de 2,8 milliards de dollars de produits d'arnaques à la sortie en 2021 seulement. Le jeton Squid Game (SQUID) est le cas d'école : il a grimpé de 75 000% avant que les développeurs ne disparaissent avec 3,3 millions de dollars, après avoir écrit un code rendant impossible pour les détenteurs ordinaires de vendre dès le départ. La plupart des arnaques à la sortie sont bien plus petites et rapides — des meme coins sur des launchpads qui vivent quelques heures avant que le déployeur ne retire le pool.

Les arnaques à la sortie se présentent sous trois formes mécaniques, et il est utile de savoir les distinguer :

• Vol de liquidité (rug dur). L'équipe amorce un pool de liquidité pour paraître légitime, laisse les acheteurs y ajouter leur argent, puis retire tout d'un coup. Zéro instantané.
• Vente massive de jetons (rug doux). L'équipe détient secrètement la majorité de l'offre, gonfle le récit, et vend discrètement dans vos ordres d'achat jusqu'à ce que le graphique s'effondre. Plus lent, mais tout aussi définitif.
• Le piège du jeton invendable. Le contrat contient une fonction cachée — un « pot de miel » (honeypot) — qui bloque tout le monde sauf les développeurs à la vente. Vous pouvez acheter toute la journée ; vous ne pouvez jamais sortir.

Les signaux d'alerte se regroupent. Aucun seul n'est une preuve, mais deux ou trois devraient vous arrêter net :

• Équipe anonyme sans historique vérifiable.
• Liquidité non verrouillée dans un contrat à verrou temporel (timelock) (pour que le dev puisse la retirer à tout moment).
• Une fonction de frappe (mint) dans le contrat, permettant au dev d'imprimer des jetons nouveaux illimités.
• Détentions concentrées — quelques portefeuilles possèdent la majorité de l'offre.
• Marketing qui vend le prix, pas le produit — tout en battage « x100 », aucune utilité fonctionnelle.

Vous pouvez vérifier presque tout cela vous-même en cinq minutes. Sur un explorateur de blocs comme Etherscan, confirmez que le contrat est vérifié (le code source est public) et inspectez les principaux détenteurs. Passez le jeton dans un filtre comme Token Sniffer ou Rug Doc pour signaler le code de type honeypot et la liquidité non verrouillée. Si un jeton ne survit pas à cet audit de cinq minutes, il ne mérite pas votre argent.

Le nom grotesque vient de la méthode : les escrocs « engraissent » une victime avec de l'affection et de petits faux gains avant l'« abattage » — prendre tout d'un coup. C'est désormais la plus grande catégorie d'arnaque par revenus en crypto, et Binance a rapporté que les cas de pig butchering ont doublé (+100,5%) entre 2022 et 2023. Contrairement à un drainer qui frappe en quelques secondes, cette attaque se déroule sur des semaines ou des mois, ce qui est précisément ce qui la rend si dévastatrice : au moment où l'argent entre en jeu, la victime fait véritablement confiance à la personne à l'autre bout.

Elle se déroule en quatre étapes, et reconnaître le schéma est votre meilleure défense :

• 1. Contact. Un SMS de « mauvais numéro », un match sur une application de rencontres, un message privé amical. L'ouverture est toujours chaleureuse et jamais liée à l'argent.
• 2. Préparation (grooming). Des semaines de vraie conversation — des messages quotidiens, des récits de vie, une intimité émotionnelle. L'escroc est patient, encourageant et attachant. Pas encore de discussion financière.
• 3. Engraissement. Il mentionne avec désinvolture une plateforme d'investissement « privée » qui lui a bien profité. Vous déposez un petit montant et le tableau de bord affiche de jolis gains. Il vous laisse même retirer un peu pour prouver que c'est réel. Ce seul retrait réussi est l'appât.
• 4. Abattage. Encouragé, vous déposez vos économies. Quand vous tentez de retirer, on vous dit que vous devez d'abord des « taxes » ou des « frais » — encore plus d'argent pour poursuivre un argent qui n'a jamais existé. Puis la plateforme et la personne disparaissent ensemble.

La plateforme était une fiction dès le premier écran. Les « gains » étaient des chiffres dans une base de données que l'escroc contrôlait. Toute l'architecture était conçue pour fabriquer de la confiance puis la retourner en arme.

Certaines arnaques ne se cachent pas dans un contrat intelligent — elles se cachent dans une feuille de calcul. Un schéma de Ponzi paie les investisseurs existants avec l'argent des nouveaux investisseurs, pas avec un vrai profit. Tant que les dépôts continuent de croître, les premiers « rendements » paraissent réels et les témoignages sont élogieux. Dès que les flux entrants ralentissent, tout s'effondre, et tous ceux qui sont encore dedans perdent tout.

La crypto démultiplie ce phénomène car des rendements scandaleux peuvent sembler plausibles. Quand un meme coin fait véritablement x50, une promesse de « 2% de rendement quotidien, garanti » ne se lit pas immédiatement comme un fantasme — même si cela se compose à plus de 137 000% par an, un taux qu'aucune entreprise honnête sur Terre ne peut soutenir. Le plus grand Ponzi crypto à ce jour, BitConnect, promettait environ 1% par jour, a attiré des milliards, et a explosé en 2018, vaporisant les économies de dizaines de milliers de personnes.

Les indices sont mathématiques, et ils ne mentent pas :

• Des rendements « garantis ». Tout investissement réel comporte un risque. Le mot « garanti » à côté d'un chiffre de rendement est le plus grand signal d'alarme en finance.
• Des rendements suspicieusement lisses. Les vrais marchés fluctuent. Un graphique qui monte du même montant chaque jour est un chiffre fabriqué, pas un résultat de trading.
• La pression du parrainage. Si votre récompense dépend du recrutement d'autres personnes, le « rendement » n'est que le dépôt de la prochaine victime. C'est une pyramide, pas un produit.
• Stratégie vague. Un « bot d'arbitrage IA propriétaire » sans activité on-chain vérifiable signifie qu'il n'y a aucune stratégie — seulement votre argent qui paie la personne arrivée avant vous.

Appliquez un filtre à chaque opportunité de rendement : d'où vient réellement le rendement ? Si vous ne pouvez pas nommer la source économique réelle — frais de trading, intérêts de prêt, récompenses de staking vérifiables on-chain — alors la source est probablement le prochain investisseur, et vous êtes la liquidité de sortie.

Toutes les arnaques ne sont pas élaborées. Certaines sont bruyantes et grossières et fonctionnent tout de même, car elles ciblent un moment d'inattention. Les arnaques d'usurpation et de cadeaux (giveaways) sont classiques : un compte à l'apparence vérifiée promet que si vous « envoyez 1 ETH à cette adresse, vous en récupérerez 2 ». Personne ne double votre argent gratuitement — jamais. Le calcul est toute l'arnaque. L'IA n'a fait que l'aiguiser : des vidéos deepfake d'Elon Musk ou de fondateurs crypto « animent » désormais des cadeaux en direct produits de façon professionnelle.

Deux cousines plus discrètes causent des dégâts plus durables :

• Largages malveillants. Vous vous réveillez avec des jetons mystérieux dans votre portefeuille. Les réclamer vous envoie sur un site qui vous demande de vous connecter et de signer — et cette signature est le piège. Un largage légitime ne vous demande jamais de payer ou de signer une approbation douteuse pour le « débloquer ». Traitez les jetons inattendus comme un appât, pas un cadeau.
• Empoisonnement d'adresse. Un escroc vous envoie une transaction minuscule depuis une adresse conçue pour ressembler presque exactement à une que vous utilisez souvent — mêmes premiers et derniers caractères. Plus tard, quand vous copiez une adresse récente depuis votre historique pour payer quelqu'un, vous prenez la leur par erreur et envoyez des fonds directement à l'attaquant. Vérifiez toujours l'adresse complète, pas seulement les extrémités.

Puis il y a la menace au ralenti qui se trouve dans votre portefeuille en ce moment même : les autorisations de jetons. Chaque fois que vous tradez sur un DEX, vous accordez à un contrat intelligent l'autorisation de déplacer un jeton pour votre compte — et la plupart des interfaces sont par défaut sur une approbation illimitée. Cette autorisation n'expire pas. Si ce contrat est ultérieurement exploité, ou s'il était malveillant depuis le début, il peut drainer le jeton approuvé des mois après que vous avez oublié que l'interaction ait jamais eu lieu. Les anciennes autorisations sur des contrats abandonnés ou compromis sont des trappes dormantes sous vos fonds.

La solution est de la maintenance, pas du génie : auditez périodiquement vos autorisations avec un outil comme revoke.cash ou le vérificateur d'approbations d'Etherscan, et révoquez tout ce que vous n'utilisez plus activement. Là où c'est possible, n'approuvez que le montant spécifique dont vous avez besoin plutôt que d'accorder un accès illimité.

Vous ne battez pas les escrocs en étant plus intelligent qu'eux sur le moment — ils conçoivent des moments où personne n'est à son plus vigilant. Vous les battez avec une structure mise en place à l'avance, de sorte que même votre pire clic ne puisse pas vous coûter beaucoup. Voici la pile, par ordre d'impact.

1. Séparez vos portefeuilles. Gardez un portefeuille « chaud » avec des fonds minimes pour les interactions quotidiennes — se connecter à des dApps, réclamer des largages, frapper des NFT. Gardez le gros de votre portefeuille dans un portefeuille matériel ou un portefeuille MPC qui ne touche jamais de contrats intelligents aléatoires. Si votre portefeuille chaud est hameçonné, vous perdez de la monnaie de poche au lieu de votre patrimoine net. Cette seule habitude limite votre exposition plus que toute autre.

2. Pratiquez la discipline des URL. Mettez en favoris chaque vrai site que vous utilisez et naviguez uniquement à partir des favoris. N'atteignez jamais une plateforme crypto via une publicité de recherche, un message privé, ou un lien de « support » que quelqu'un vous a envoyé. Vérifiez les domaines caractère par caractère avant de connecter.

3. Gardez vos autorisations propres. Révoquez régulièrement les anciennes autorisations de jetons et préférez des limites de dépenses spécifiques aux limites illimitées. Une liste d'autorisations propre signifie qu'un contrat exploité n'a rien à saisir.

4. Lisez chaque signature. Ralentissez avant de signer. Si une invite demande d'« approuver tout », accorde un accès à un jeton que vous ne tradez pas, ou arrive avec un compte à rebours, arrêtez-vous et vérifiez. L'urgence est fabriquée.

La plupart des pertes crypto catastrophiques remontent à l'une de deux défaillances : une phrase de récupération volée, divulguée, ou hameçonnée — ou un dépositaire centralisé qui a discrètement mal géré des fonds, à la façon FTX. GaiaEx est architecturé pour retirer ces deux points de défaillance unique de la table.

Sécurité des clés MPC — aucune phrase de récupération à voler. Votre clé privée n'est jamais assemblée en un seul endroit. Grâce au calcul multipartite (MPC), elle est divisée en fragments chiffrés détenus par des parties indépendantes, de sorte qu'aucun serveur, appareil ou personne unique ne détient jamais la clé complète. Il n'y a aucune phrase de récupération maîtresse qu'une page de hameçonnage puisse vous soutirer, et aucun fichier unique qu'un attaquant puisse exfiltrer. La cause la plus courante de perte totale — une seed compromise — n'existe simplement pas dans ce modèle.

Non-custodial par conception — aucun scénario FTX. Vous gardez le contrôle de vos actifs. GaiaEx n'est pas un coffre centralisé où un dirigeant peut déplacer l'argent des clients derrière des portes closes, car il n'y a pas de porte close — le règlement se fait on-chain où n'importe qui peut le vérifier.

Exécution on-chain que vous pouvez auditer. Les trades se règlent sur Hyperliquid L1 avec une finalité inférieure à la seconde, sur un registre public. La confiance ne réside pas dans la tenue de livres internes honnêtes par GaiaEx-l'entreprise ; elle réside dans les garanties mathématiques de la chaîne elle-même.

Rien de tout cela ne vous rend invincible. Aucune plateforme et aucune technologie ne peut vous empêcher de signer une transaction malveillante ou de virer vos économies vers la plateforme d'investissement d'un inconnu « romantique ». La pile de défense de la section précédente reste votre responsabilité — séparation des portefeuilles, discipline des URL, hygiène des autorisations, et le test du 0 $. Ce que GaiaEx fait, c'est réduire la surface de défaillance catastrophique aux décisions que vous contrôlez réellement, et éliminer celles auxquelles vous ne devriez pas avoir à penser. Voilà le pacte honnête : la plateforme gère la cryptographie pour que vous ne puissiez pas perdre une phrase de récupération que vous n'avez jamais eue, et vous gérez les jugements qu'aucun logiciel ne peut faire à votre place.