La plupart des vols de cryptomonnaie ne résultent pas d'un piratage sophistiqué d'une blockchain ou d'une plateforme d'échange. Ils résultent d'une personne convaincue, en l'espace de quelques secondes, de cliquer sur un lien, de saisir une phrase ou d'approuver une transaction qu'elle n'a pas pleinement comprise. C'est cela, le phishing, et les organismes de suivi du secteur constatent année après année qu'il s'agit de la première cause de perte individuelle de cryptomonnaie, même si les techniques précises évoluent.
La société de sécurité blockchain Scam Sniffer a rapporté que le phishing par drainer de portefeuille avait causé environ 84 millions de dollars de pertes sur plus de 106 000 portefeuilles en 2025, en forte baisse par rapport aux 494 millions de dollars perdus sur plus de 332 000 portefeuilles l'année précédente. Cette baisse des pertes totales est encourageante, mais le maintien d'un nombre élevé d'incidents distincts raconte une histoire plus importante : les outils qui alimentent les attaques de phishing sont désormais bon marché, automatisés et largement accessibles, si bien que les attaquants sont passés de gains occasionnels mais importants à des campagnes à plus fort volume visant des détenteurs particuliers ordinaires. La perte moyenne par victime en 2025 s'élevait à environ 790 dollars, un montant suffisamment faible pour que de nombreuses victimes ne prennent pas la peine de le signaler, ce qui laisse penser que les chiffres réels sont probablement encore plus élevés.
Ce que signifie réellement le phishing dans le contexte crypto
Dans la banque traditionnelle, le phishing consiste généralement à piéger quelqu'un pour qu'il saisisse un mot de passe sur une fausse page de connexion. Le phishing crypto reprend cette même idée, mais dispose de davantage de moyens pour l'exécuter, car un portefeuille crypto peut être compromis par un mot de passe, une phrase de récupération, une clé privée ou une simple signature malveillante. Comprendre lequel de ces éléments un attaquant recherche aide à expliquer pourquoi les messages se présentent de la manière dont ils se présentent.
Le phishing d'identifiants et de phrases de récupération
La forme la plus ancienne consiste simplement à demander des informations. Une fausse page de connexion à une plateforme d'échange, une application de portefeuille clonée ou un formulaire de support qui vous demande de saisir votre phrase de récupération pour vérifier votre identité cherchent toutes à vous faire remettre directement la clé maîtresse de vos fonds. Pour une analyse complète de ce mécanisme précis, consultez notre guide sur le vol de phrase de récupération.
Le phishing par approbation malveillante
La technique la plus moderne, et désormais la plus courante, ne demande absolument pas votre phrase de récupération. À la place, une fausse page de réclamation d'airdrop, un mint de NFT ou un outil d'échange de tokens vous demande de connecter votre portefeuille et d'approuver une transaction. Cachée dans cette transaction se trouve une permission de smart contract qui donne à l'attaquant le droit de déplacer des tokens hors de votre portefeuille quand bon lui semble, parfois immédiatement, parfois des jours ou des semaines plus tard, une fois que vous avez oublié avoir visité le site. Comme vous avez techniquement signé l'approbation vous-même, cela est plus difficile à annuler et à poursuivre en justice qu'un vol pur et simple de mot de passe. Notre guide sur les approbations de tokens malveillantes traite ce mécanisme plus en détail.
Une attaque de phishing n'a pas toujours besoin de votre phrase de récupération. Une seule transaction approuvée sur un faux site peut donner à un attaquant une permission permanente pour vider votre portefeuille plus tard.
Une attaque de phishing, du début à la fin
Il est utile de parcourir un exemple réaliste plutôt que de traiter le phishing comme une catégorie abstraite, car chaque étape prise isolément paraît anodine. C'est seulement leur enchaînement qui aboutit à un vol.
Étape un : une alerte qui semble routinière
La cible reçoit un e-mail qui ressemble, à première vue, exactement aux notifications de sécurité que sa véritable plateforme d'échange envoie régulièrement. L'objet mentionne une connexion depuis un nouvel appareil dans un lieu inconnu, le nom de l'expéditeur correspond à la plateforme, et le corps du message contient le logo réel de la plateforme ainsi qu'un pied de page copié directement d'un message authentique. Un bouton indique « Sécuriser mon compte » et renvoie vers un domaine qui diffère du domaine réel par un seul caractère, comme une lettre en trop, une extension de domaine différente ou un trait d'union inséré entre deux mots.
Étape deux : une page de connexion qui demande un élément supplémentaire
La page clonée est visuellement identique à l'écran de connexion réel, souvent construite en copiant le code source de la vraie page, si bien qu'il n'y a rien de visible qui pourrait éveiller les soupçons. La cible saisit son e-mail et son mot de passe comme d'habitude. La fausse page demande ensuite un code d'authentification à deux facteurs, exactement comme le ferait le vrai site, et transmet discrètement le mot de passe et le code, en temps réel, à la propre session de l'attaquant sur la vraie plateforme d'échange, une technique parfois appelée attaque de l'adversaire au milieu. Comme le code est utilisé en quelques secondes, la courte fenêtre de validité qui protège normalement l'authentification à deux facteurs n'offre ici aucune défense.
Étape trois : le retrait silencieux
Avec une session authentifiée active, l'attaquant modifie l'adresse de retrait du compte ou, si la plateforme le permet, initie simplement un retrait vers un portefeuille qu'il contrôle. Dans un flux de portefeuille auto-hébergé, l'étape équivalente est une demande de signature plutôt qu'une connexion, où la cible est invitée à approuver ce qui semble être une transaction routinière mais qui est en réalité une approbation de token ou un transfert dissimulé derrière un nom de fonction trompeur. Dans tous les cas, au moment où la cible remarque quelque chose d'anormal, les fonds ont généralement déjà quitté le compte et commencé à circuler à travers plusieurs portefeuilles intermédiaires.
Aucune de ces trois étapes ne paraît spectaculaire prise isolément. Un e-mail, une page de connexion, un champ de saisie de code. Ce qui rend le phishing efficace, c'est que chaque étape reproduit une interaction parfaitement normale que la cible a déjà effectuée des dizaines de fois, si bien que rien dans la séquence ne déclenche le type d'hésitation qu'une demande plus manifestement suspecte provoquerait.
Les canaux de diffusion privilégiés par les escrocs
Le mécanisme du vol n'est que la moitié de l'histoire. L'autre moitié concerne la manière dont le lien de phishing vous parvient en premier lieu, et c'est là que les attaquants ont fait preuve de bien plus de créativité.
- Des annonces sur les moteurs de recherche qui devancent le vrai site du portefeuille ou de la plateforme d'échange pour sa propre marque, redirigeant les internautes vers un clone parfaitement fidèle
- De fausses extensions de navigateur répertoriées dans les magasins d'applications officiels, imitant des portefeuilles réputés
- Des messages directs sur X, Telegram ou Discord provenant de comptes se faisant passer pour du personnel de support ou des équipes de projet
- Des campagnes d'e-mails usurpant des alertes de sécurité de plateformes d'échange, avertissant d'une tentative de connexion nécessitant une vérification immédiate
- Des comptes de réseaux sociaux compromis ou clonés de véritables projets crypto, publiant de faux liens d'airdrop ou de mint
- Des SMS affirmant qu'un retrait a été bloqué et demandant au destinataire de confirmer son identité via un lien
Pourquoi les moteurs de recherche sont devenus un canal privilégié
Le placement publicitaire payant est attrayant pour les opérations de phishing car il ne dépend pas de la capacité à tromper un filtre anti-spam ou à contourner la vérification de compte d'une plateforme : il suffit de payer un emplacement publicitaire. Une recherche du nom d'un portefeuille connu peut faire apparaître un résultat sponsorisé au-dessus du vrai site, et comme le visiteur a lui-même tapé le nom de la marque plutôt que de cliquer sur un lien non sollicité, il suppose souvent que le premier résultat doit être légitime. Les plateformes publicitaires suppriment bien ces annonces une fois signalées, mais de nouvelles ont tendance à réapparaître via d'autres comptes en quelques jours, ce qui signifie que le canal continue de produire des victimes même lorsque des publicités individuelles sont retirées.
Pourquoi Telegram et Discord restent particulièrement exploitables
Les communautés crypto sont bien plus présentes sur Telegram et Discord que dans la plupart des autres secteurs, et ces deux plateformes rendent trivial la création d'un compte avec un nom d'affichage et une photo de profil qui imitent étroitement une véritable équipe de support de projet. Un escroc peut rejoindre un serveur public, surveiller le canal à la recherche de toute personne décrivant un problème, et envoyer un message direct en quelques secondes, sans avoir besoin de compromettre quoi que ce soit. Comme les serveurs eux-mêmes sont officiels et remplis de participants authentiques, ce cadre confère à l'usurpateur une forme de crédibilité empruntée qu'un e-mail non sollicité n'obtiendra jamais.
Les chercheurs ont également signalé une forte hausse du contenu de phishing généré par IA, une analyse de 2025 constatant une augmentation d'environ 70 % des e-mails de phishing rédigés par IA, qui se lisent de manière plus naturelle et sont plus difficiles à repérer, aussi bien pour les filtres anti-spam que pour les lecteurs humains, comparés aux messages plus maladroits et truffés de fautes d'il y a quelques années. Les outils d'IA ont également rendu bien moins coûteuses la production de sites web clonés convaincants, les campagnes de phishing traduites ciblant des utilisateurs non anglophones, et les messages personnalisés faisant référence à l'activité réelle d'une cible, comme un achat récent de NFT ou la détention d'un token spécifique extraite de données blockchain publiques.
Pourquoi le phishing fonctionne encore sur des utilisateurs expérimentés
Il est tentant de supposer que le phishing ne piège que les débutants, mais ce n'est pas ce que montrent les données. Des traders chevronnés ont perdu des sommes à six ou sept chiffres à cause d'une seule approbation cliquée par erreur, souvent parce que la pression d'un lancement de token en direct ou d'une fenêtre d'airdrop limitée dans le temps pousse les gens à agir avant de lire attentivement. Les escrocs fabriquent délibérément un sentiment d'urgence, un compte à rebours, une affirmation selon laquelle seuls les mille premiers portefeuilles sont éligibles, un avertissement que votre compte sera suspendu dans les 24 heures, car l'urgence court-circuite la prudence qui permettrait autrement de repérer un nom de domaine inhabituel ou une demande de permission inhabituelle.
Le faux support client est une variante particulièrement efficace de ce schéma, car il exploite un moment où la victime est déjà anxieuse au sujet de ses fonds et cherche activement de l'aide. Cette approche est suffisamment courante pour mériter sa propre explication, traitée dans notre article sur les escroqueries au faux support client.
Comment le phishing est devenu une activité industrialisée
Une part significative de la raison pour laquelle le volume de phishing reste élevé, même si les pertes individuelles ont diminué, tient au fait que lancer une campagne de phishing ne nécessite plus beaucoup de compétences techniques. Les kits de phishing et les kits de drainer de portefeuille, dits « phishing kits », sont vendus ou loués sur des forums clandestins sous forme de packages prêts à l'emploi, comprenant des modèles de sites web clonés, des smart contracts préécrits conçus pour demander des approbations aussi larges que possible, et des tableaux de bord permettant à l'acheteur de suivre combien de portefeuilles se sont connectés et combien de fonds ont été siphonnés. Certains de ces kits fonctionnent selon un modèle d'affiliation, où le développeur original du kit prélève une commission, souvent entre 10 et 20 %, sur tout ce qu'un client vole à l'aide de l'outil, une structure similaire à celle d'une entreprise légitime de logiciel en tant que service.
- Des sites web clonés préfabriqués pour des plateformes d'échange et des portefeuilles populaires, ne nécessitant de l'acheteur que d'y insérer une adresse de portefeuille pour recevoir les fonds volés
- Des smart contracts drainer conçus pour demander par défaut la permission de dépense la plus large possible, maximisant ce qui peut être prélevé à partir d'une seule signature
- Des bots Telegram automatisés qui alertent l'opérateur dès qu'un nouveau portefeuille se connecte, permettant un siphonnage rapide et sensible au facteur temps
- Des canaux de type support client au sein même de la place de marché criminelle, où les acheteurs de kits peuvent obtenir de l'aide pour configurer leurs pages d'escroquerie
Cette industrialisation explique un schéma qui semblerait sinon déroutant : pourquoi les pages de phishing ciblant les mêmes marques de portefeuilles réapparaissent-elles sans cesse quelques jours après avoir été retirées. L'acheteur d'un kit n'a pas construit la page depuis zéro et n'a pas besoin de connaissances techniques approfondies pour la relancer sur un nouveau domaine une fois l'ancien mis sur liste noire.
Des mesures concrètes pour réduire votre exposition
- Enregistrez en favori les vraies adresses URL des plateformes d'échange et des portefeuilles que vous utilisez, et n'y accédez jamais via un résultat de moteur de recherche ou un lien dans un message
- Considérez chaque demande de connexion de portefeuille comme une décision méritant une pause, en particulier tout ce qui implique une approbation plutôt qu'un simple transfert
- Utilisez une interface de portefeuille ou une extension de navigateur qui décode et affiche ce que fait réellement une transaction avant de la signer
- Vérifiez et révoquez périodiquement les anciennes approbations de tokens à l'aide d'un outil de révocation fiable, car les permissions oubliées sont un point d'entrée courant
- Considérez par défaut tout message direct non sollicité provenant de comptes de support comme un signal d'alarme, car les vraies équipes de support n'entament généralement pas le contact
- Activez un portefeuille matériel pour tout avoir dépassant ce dont vous avez besoin pour le trading actif, car un appareil matériel impose une étape de confirmation physique qu'un attaquant à distance ne peut pas reproduire
- Vérifiez les détails du certificat et l'orthographe exacte d'un domaine, caractère par caractère, avant de saisir des identifiants, en particulier lorsque vous êtes arrivé sur la page via un lien plutôt qu'en le tapant vous-même
Une vérification rapide avant de connecter un portefeuille
Avant de connecter un portefeuille à un site, il vaut la peine de passer en revue une brève liste de vérification mentale : êtes-vous arrivé sur cette page en tapant vous-même l'adresse ou via un favori, plutôt que via un lien. Le domaine correspond-il exactement au domaine officiel, sans caractère supplémentaire ni lettre substituée. Une forme d'urgence est-elle appliquée, un compte à rebours, une affirmation de disponibilité limitée, un avertissement que le temps presse. Si une demande de signature apparaît, votre interface de portefeuille affiche-t-elle une description en langage clair de ce qu'elle fait, et cette description correspond-elle à ce que vous attendiez. L'échec de l'une quelconque de ces vérifications est une raison de s'arrêter et de vérifier indépendamment avant de continuer.
Si vous avez déjà approuvé une transaction que vous regrettez, notre guide sur la révocation des approbations de tokens explique comment vérifier et annuler des permissions en cours avant qu'elles ne soient utilisées contre vous.
Si vous pensez avoir été victime de phishing
La rapidité est essentielle. Si vous soupçonnez qu'un portefeuille a été compromis par un lien de phishing, transférez immédiatement tous les fonds restants vers un nouveau portefeuille avec une phrase de récupération nouvellement générée, plutôt que d'essayer de nettoyer l'ancien. N'interagissez plus avec le site ou le contrat concerné, et documentez chaque hash de transaction, horodatage et message reçu, car ce dossier est ce dont dépendra toute enquête ultérieure ou plainte auprès d'une plateforme d'échange. Des cabinets comme Coin Trace travaillent avec les victimes pour retracer où les fonds volés se sont déplacés après un incident de phishing et pour préparer la documentation généralement exigée par les plateformes d'échange et les forces de l'ordre, bien qu'aucun enquêteur légitime ne puisse garantir que les fonds seront récupérés.
Questions fréquentes
Oui. Un faux site d'airdrop ou de mint peut vous demander d'approuver une permission de smart contract plutôt que de demander directement votre phrase de récupération. Une fois cette approbation signée, l'attaquant peut déplacer des tokens hors de votre portefeuille sans jamais connaître votre phrase de récupération, parfois longtemps après votre visite du site d'origine.
Vérifiez l'orthographe exacte du domaine, caractère par caractère, car les clones utilisent souvent des caractères ressemblants ou des mots supplémentaires. Confirmez le site via un compte de réseau social officiel ou un favori plutôt que via un résultat de recherche ou un lien, et méfiez-vous de tout site vous poussant à connecter rapidement votre portefeuille.
Les attaquants ont automatisé une grande partie du processus, rendant peu coûteux le lancement d'un grand nombre de campagnes de plus petite ampleur plutôt que quelques grosses opérations. Les données rapportées montrent que les pertes par incident ont diminué, mais le nombre total d'incidents reste élevé, ce qui suggère un ciblage large et à faible coût plutôt qu'un déclin de la menace sous-jacente.
Aucune transaction sur une blockchain publique ne peut être annulée une fois confirmée. Ce qui est possible, c'est de retracer où les fonds se sont déplacés par la suite, ce qui peut parfois conduire au gel d'un compte si les fonds atterrissent sur un compte soumis à une vérification d'identité.
Sources et lectures complémentaires
- Wallet Drainer Phishing Losses Fall to $84M in 2025, Down 83% · Cryptonews
- Scam Sniffer 2025: Crypto Phishing Losses Fall 83% to $84 Million · Scam Sniffer
- Cryptocurrency and AI Scams Bilk Americans of Billions · Federal Bureau of Investigation