Comment les faux airdrops volent l'accès aux portefeuilles

Les airdrops sont devenus un élément normal de la culture crypto parce que les vrais existent réellement. Des projets récompensent véritablement les premiers utilisateurs ou les détenteurs d'un token associé par des distributions gratuites, parfois d'une valeur significative. Cet historique légitime est précisément ce sur quoi s'appuient les faux airdrops. Comme le comportement sous-jacent, connecter un portefeuille pour réclamer quelque chose gratuitement, est parfaitement ordinaire, les victimes ne s'arrêtent souvent pas pour remettre en question une version frauduleuse avant qu'il ne soit trop tard.

Comment l'escroquerie est construite

Un faux airdrop commence généralement par une annonce qui se propage via les réseaux sociaux, un compte de projet compromis, un site cloné ou un message direct affirmant qu'un token nouveau ou existant distribue des pièces gratuites aux portefeuilles éligibles. Le site lié est généralement une copie visuelle fidèle de la page de réclamation d'un vrai projet, parfois construite à partir des mêmes bibliothèques de modèles que les vrais projets utilisent, ce qui rend un coup d'œil rapide quasiment inutile comme vérification.

La page demande au visiteur de connecter son portefeuille pour vérifier son éligibilité, une étape qui semble anodine car elle imite exactement ce à quoi ressemble un vrai processus de réclamation. Elle demande ensuite une signature pour finaliser la réclamation. Cette signature est la véritable attaque. Plutôt que d'autoriser la réception de tokens gratuits, elle autorise un smart contract, contrôlé par l'attaquant, à transférer des actifs hors du portefeuille connecté. Dans de nombreux cas, l'approbation couvre l'intégralité d'un token ou du solde complet du portefeuille pour un actif donné, et non seulement le petit montant réclamé.

Pourquoi le vol n'est pas toujours immédiat

Un détail qui rend cette escroquerie particulièrement dangereuse est que la transaction de drainage n'a pas besoin d'avoir lieu immédiatement. Un attaquant qui collecte des milliers d'approbations peut choisir de les exécuter par lot des semaines ou des mois plus tard, ce qui signifie qu'une victime peut connecter son portefeuille à un site d'airdrop malveillant, ne voir rien d'anormal se produire, et ne réaliser que des mois plus tard que ses fonds ont disparu sans activité récente pour l'expliquer. Ce délai explique aussi pourquoi vérifier régulièrement et révoquer les anciennes approbations compte même lorsque rien ne semble anormal sur le moment, un processus expliqué dans notre guide sur la révocation des approbations de tokens.

Pourquoi la signature peut sembler anodine dans votre portefeuille

Une partie de ce qui rend cette attaque efficace tient à une catégorie de signature appelée approbation sans gas, qui permet à un smart contract de recevoir une permission de dépense via un message signé plutôt que via une transaction on-chain que le propriétaire du portefeuille paie directement en frais de gas. Comme aucun frais de gas n'est facturé et que l'invite de signature peut être libellée avec presque n'importe quel texte choisi par le site, une version malveillante de ce type de signature apparaît souvent dans la fenêtre de confirmation d'un portefeuille avec un libellé vague et non alarmant, plutôt que quelque chose ressemblant à « accorder un accès illimité à vos tokens ». Certaines interfaces de portefeuille se sont améliorées pour décoder et afficher en langage clair l'effet réel de ces signatures, mais ce n'est pas le cas de toutes de manière constante, ce qui explique pourquoi se fier uniquement à la description par défaut du portefeuille ne constitue pas une protection complète.

Réclamer un faux airdrop, étape par étape

Un cas typique commence par une publication sur X provenant d'un compte stylisé pour ressembler à un projet de token légitime et modérément connu, annonçant un « airdrop communautaire surprise » pour récompenser les détenteurs de longue date. La publication comprend un lien et un graphique correspondant suffisamment étroitement à l'identité visuelle réelle du projet pour qu'un abonné qui parcourt rapidement ne remarque rien d'anormal. En cliquant, on atterrit sur une page avec le vrai logo du projet, sa palette de couleurs, et même des sections de texte réel copiées depuis la documentation du projet.

• La page affiche un bouton « Vérifier l'éligibilité », et cliquer dessus déclenche une demande de connexion de portefeuille standard, identique en apparence à celle de n'importe quelle application décentralisée légitime
• Après connexion, la page affiche un résultat d'éligibilité fabriqué, souvent quelque chose comme « Félicitations, vous êtes éligible pour 4 500 tokens », adapté pour paraître personnel et spécifique plutôt que générique
• Un bouton « Réclamer maintenant » déclenche alors une seconde invite de portefeuille, cette fois une demande de signature plutôt qu'une simple connexion, décrite à l'écran en termes vagues comme « Confirmer la réclamation » ou « Signer pour continuer »
• Les données de la transaction sous-jacente, que la plupart des utilisateurs n'inspectent jamais, accordent en réalité au smart contract associé au site l'approbation de transférer des tokens depuis le portefeuille connecté, souvent pour un montant illimité plutôt que le petit chiffre annoncé à l'écran

Après la signature, la page peut afficher une animation de succès et une note indiquant que les tokens arriveront sous 24 à 48 heures, ce qui accorde à l'opération du temps avant que la victime ne commence à se poser des questions. Selon la stratégie de l'attaquant, le drainage peut avoir lieu quelques minutes après la signature, ou rester dormant, regroupé avec des milliers d'autres approbations collectées, jusqu'à ce que l'attaquant choisisse de toutes les exécuter en une seule transaction par lot.

Où ces campagnes sont diffusées

Comptes sociaux de projets compromis

L'une des méthodes de diffusion les plus efficaces consiste à prendre le contrôle du compte X ou Discord officiel d'un vrai projet, généralement via une attaque de phishing contre un membre de l'équipe, et à publier le lien de réclamation frauduleux directement depuis ce compte. Les abonnés qui voient l'annonce provenir d'une source qu'ils suivent et en laquelle ils ont déjà confiance n'ont pratiquement aucune raison de se méfier, car le compte lui-même n'a pas été falsifié, seulement compromis.

Communautés Discord et Telegram clonées

Les escrocs construisent également des serveurs Discord entièrement clonés qui reproduisent la structure de canaux, les messages épinglés et la configuration des bots d'un vrai projet de manière suffisamment fidèle pour être confondus avec l'original, puis invitent des utilisateurs via des messages directs prétendant être un « canal d'annonce officiel ». Comme le clone reproduit presque exactement le décor visuel d'une vraie communauté, les utilisateurs qui l'évaluent ont tendance à se concentrer sur son apparence plutôt que sur la question de savoir si le lien d'invitation correspond au lien officiel et vérifié publié par le projet.

Placement sur les moteurs de recherche et les magasins d'applications

Des pages de réclamation d'airdrop frauduleuses sont également apparues via des annonces de recherche payantes ciblant les noms de véritables lancements de tokens attendus, et dans un plus petit nombre de cas via de fausses applications mobiles brièvement répertoriées dans des magasins d'applications officiels avant d'être retirées, ce qui souligne qu'aucun canal de diffusion unique ne peut être automatiquement présumé sûr.

Comment l'escroquerie a évolué avec la crypto multichaîne

Alors que l'activité s'est répandue sur davantage de réseaux blockchain, les escroqueries d'airdrop ont suivi. Une seule page de réclamation frauduleuse prend désormais souvent en charge la connexion de portefeuilles depuis plusieurs chaînes différentes à la fois, et certains kits de drainer sont spécifiquement conçus pour détecter sur quelle chaîne un portefeuille connecté est le plus actif, puis demander des approbations uniquement pour les actifs les plus susceptibles d'avoir de la valeur sur ce réseau particulier. Ce ciblage multichaîne est l'une des raisons pour lesquelles un seul clic peut exposer des avoirs sur plus d'un réseau simultanément, une dynamique traitée plus en détail dans notre guide sur les ponts inter-chaînes, car certaines opérations de drainer déplacent immédiatement les fonds volés via des ponts spécifiquement pour compliquer tout effort de traçage ultérieur.

L'ampleur réelle du phénomène

Les faux airdrops liés à des projets populaires, y compris des stratagèmes usurpant Hamster Kombat et d'autres lancements de tokens très médiatisés, ont contribué à un ensemble plus large de pertes liées aux escroqueries crypto que les estimations du secteur situent bien au-delà de 9 milliards de dollars à l'échelle mondiale sur 2024 et 2025. Une part importante de cette activité a été rendue possible par des kits de drainer prêts à l'emploi, comme le kit Inferno Drainer, à lui seul lié à plus de 80 millions de dollars de pertes en offrant à des escrocs peu qualifiés un moyen prêt à l'emploi de construire des pages de réclamation frauduleuses convaincantes et des contrats drainer exécutables sans écrire eux-mêmes le code sous-jacent.

Signaux d'alerte courants

• Aucune mention de l'airdrop sur le vrai site officiel du projet ou ses comptes sociaux vérifiés
• Un lien de réclamation partagé uniquement via un message direct, un commentaire ou une annonce de recherche plutôt que via un canal d'annonce officiel
• Un nom de domaine proche mais non identique au vrai domaine du projet
• Une pression pour réclamer dans une courte fenêtre de compte à rebours avant l'expiration de l'offre
• Une demande d'approuver une dépense illimitée sur un token plutôt qu'un montant fixe et spécifique
• Une grammaire médiocre, une identité visuelle incohérente, ou un site n'étant apparu que récemment malgré ses prétentions à représenter un projet établi

Comment réclamer de vrais airdrops en toute sécurité

• Vérifiez toute annonce d'airdrop directement sur le site officiel du projet et ses comptes sociaux vérifiés avant de cliquer sur quoi que ce soit
• Envisagez d'utiliser un portefeuille séparé avec un petit solde pour réclamer des airdrops, plutôt que votre portefeuille principal détenant l'essentiel de vos avoirs
• Lisez exactement ce qu'une transaction approuve avant de la signer, en utilisant un portefeuille ou un outil de navigateur qui décode la portée de la permission en langage clair
• N'approuvez jamais une dépense illimitée lorsqu'un montant spécifique et limité ferait tout aussi bien l'affaire pour une réclamation légitime
• Méfiez-vous particulièrement de tout site qui demande également une phrase de récupération ou une clé privée, car une vraie réclamation d'airdrop n'en exige jamais

Si vous pensez avoir déjà connecté votre portefeuille à un site d'airdrop malveillant, révoquez dès que possible toute approbation qui lui a été accordée et transférez les fonds restants vers un nouveau portefeuille si vous ne pouvez pas être certain que tout a été entièrement révoqué. Pour un aperçu plus large du fonctionnement des attaques de type drainer une fois l'accès accordé, consultez les attaques de drainage de portefeuille.

Après un drainage suspecté, quelle documentation compte

Si des tokens ont déjà quitté le portefeuille, résistez à l'envie de tout déplacer immédiatement dans la panique sans d'abord consigner ce qui s'est passé. Enregistrez le hash de la transaction de drainage, l'adresse du contrat avec lequel elle a interagi, et l'URL exacte du site qui a provoqué la signature initiale si vous pouvez encore vous en souvenir ou la retrouver. Ces informations comptent car elles permettent à un enquêteur ou à un outil d'analyse blockchain de retracer où les actifs volés se sont déplacés par la suite, qu'ils soient passés par un mixeur, un pont inter-chaînes, ou qu'ils aient atterri directement sur une adresse de dépôt de plateforme d'échange susceptible d'être un jour soumise à des vérifications d'identité. Rien de tout cela ne garantit une récupération, mais un vol sans aucune documentation est bien plus difficile à retracer qu'un vol accompagné ne serait-ce que d'un dossier basique de la transaction et du contrat impliqués.

Questions fréquentes

Sources et lectures complémentaires

• 10 signs an airdrop is a scam, and how to stay safe · Cointelegraph via TradingView
• Fake crypto AML checkers push users to approve wallet-draining transactions · Cryptopolitan

Articles liés