Un jeton non fongible, généralement abrégé en NFT, est un enregistrement blockchain représentant la propriété d'un objet numérique, ou parfois physique, précis. La technologie elle-même est neutre, mais le marché construit autour d'elle a attiré une quantité disproportionnée de fraude, en partie parce que créer un nouveau jeton est rapide, peu coûteux, et ne nécessite aucune vérification que le créateur possède réellement l'œuvre, la marque ou le contenu tokenisé. Une grande place de marché a publiquement déclaré que plus de 80 % des objets créés via son outil de création gratuit étaient faux, plagiés ou du spam, ce qui donne une idée de la part de l'activité visible dans cet espace qui n'est pas ce qu'elle semble être.
Les rug pulls
Un rug pull est un projet qui lève des fonds via une création ou une prévente, construit une communauté d'apparence active autour d'une feuille de route de fonctionnalités futures, puis disparaît une fois suffisamment de fonds collectés. Certains rug pulls sont un simple abandon, l'équipe cesse de répondre et la feuille de route promise ne se concrétise jamais. D'autres sont intégrés directement dans le contrat intelligent lui-même, avec des fonctions cachées permettant aux développeurs de vider la trésorerie d'un projet ou de désactiver entièrement les échanges une fois qu'ils choisissent de sortir.
Signaux d'alerte d'un rug pull
- Une équipe anonyme sans historique vérifiable dans aucun projet précédent
- Une feuille de route lourde en promesses futures et légère sur tout ce qui a déjà été livré
- Une tarification de prévente ou de création agressive conçue pour maximiser les fonds collectés avant le lancement
- Aucun audit indépendant du contrat intelligent sous-jacent
- Un silence soudain sur les réseaux sociaux ou une suppression de compte après une création réussie
Une poursuite documentée pour rug pull
En mars 2022, des procureurs fédéraux du district sud de New York ont inculpé deux personnes pour un projet NFT appelé Frosties, les accusant d'avoir mené un rug pull ayant levé environ 1,1 million de dollars via une prévente en janvier 2022. Selon le ministère de la Justice, peu après la clôture de la prévente, les opérateurs ont fait transiter les fonds levés à travers une série de portefeuilles de cryptomonnaies distincts, supprimé le site web du projet, et disparu des réseaux sociaux, coupant ainsi les liens avec la communauté qui venait de les financer. Les deux accusés ont été inculpés de complot en vue de commettre une fraude électronique et de complot en vue de commettre du blanchiment d'argent. Les enquêteurs ont noté que le duo préparait déjà la prévente d'un second projet NFT au moment où les accusations ont été déposées, illustrant la rapidité avec laquelle un opérateur peut passer d'un rug pull au suivant une fois le premier terminé. Cette affaire est l'un des exemples les plus clairs de la façon dont le schéma décrit ci-dessus se déroule en pratique, et de la manière dont il a été poursuivi lorsque les enquêteurs sont parvenus à retracer les fonds.
Collections fausses et contrefaites
Comme la création ne nécessite aucune vérification de propriété, les escrocs tokenisent régulièrement des œuvres d'art, des photographies ou des collections entières appartenant à quelqu'un d'autre, puis mettent en vente le jeton contrefait comme s'il s'agissait de l'objet original et authentique. Les acheteurs qui ne vérifient pas le statut vérifié d'une collection ou ne la comparent pas aux propres canaux du créateur original peuvent finir par payer de l'argent réel pour un jeton n'ayant aucun lien avec l'œuvre qu'il prétend représenter.
Le wash trading
Le wash trading implique qu'un opérateur contrôle secrètement plusieurs portefeuilles et vende et revende à répétition un jeton entre eux. Cela fabrique un historique de trading gonflé et une apparence de véritable demande, ce qui peut convaincre un acheteur extérieur qu'une collection est plus populaire et précieuse qu'elle ne l'est réellement. Cette tactique est difficile à détecter à partir d'une simple annonce sur une place de marché, puisque les transactions sont réellement enregistrées sur la chaîne, elles ne reflètent simplement aucun véritable acheteur indépendant.
Hameçonnage et liens de vidage de portefeuille
Peut-être la catégorie la plus dommageable financièrement implique de faux sites web, des messages directs, ou des comptes de réseaux sociaux compromis qui incitent un utilisateur à connecter son portefeuille à un contrat malveillant ou à approuver une transaction accordant une large autorisation de dépense sur le contenu du portefeuille. Une seule transaction malveillante approuvée peut suffire à vider un portefeuille entier, pas seulement le NFT censé être réclamé ou acheté. Ces liens sont fréquemment promus via des comptes piratés sur les plateformes sociales ou via des offres à durée limitée d'apparence urgente conçues pour court-circuiter tout examen attentif. Les mécanismes recoupent étroitement les attaques par approbation malveillante de jetons de manière plus générale, l'hameçonnage NFT n'étant qu'une voie de diffusion courante de cette technique sous-jacente.
Ne connectez jamais votre portefeuille à un site vers lequel vous avez été dirigé via un message non sollicité, et vérifiez toujours un lien de création via le canal officiel d'un projet plutôt qu'un lien qui vous a été envoyé directement.
Places de marché clonées
Au-delà des fausses collections individuelles, les escrocs clonent parfois l'apparence entière d'une place de marché NFT connue sur un domaine similaire, copiant sa mise en page, ses annonces, et même de véritables images de collections tirées du site authentique. Un visiteur qui arrive via une publicité de recherche ou un lien partagé plutôt qu'un signet peut parcourir ce qui semble être une place de marché authentique, sélectionner un NFT réel et désirable, et effectuer un achat qui envoie les fonds directement à l'escroc plutôt qu'au propriétaire réel, sans qu'aucun NFT ne soit jamais transféré à l'acheteur. Comme les annonces sous-jacentes sont copiées d'une véritable place de marché, les prix et les images semblent entièrement plausibles, ce qui rend cette version de l'arnaque efficace contre des acheteurs qui reconnaîtraient normalement une annonce manifestement fausse.
La défense ici est la même discipline qui protège plus généralement contre les fausses plateformes d'échange, n'atteignez une place de marché qu'en tapant directement son adresse ou en utilisant un signet enregistré, et vérifiez soigneusement le domaine avant de connecter un portefeuille ou de saisir des informations de paiement, car une interface clonée peut être visuellement indiscernable de la vraie.
Faux giveaways et usurpation d'identité
Les escrocs usurpent fréquemment l'identité du fondateur d'un projet légitime ou de son compte officiel, annonçant un giveaway ou un airdrop surprise nécessitant de connecter un portefeuille ou d'envoyer une petite somme de cryptomonnaie pour recevoir une récompense plus importante en retour. Aucun giveaway légitime n'exige un paiement ou une connexion de portefeuille pour réclamer une récompense réellement gratuite.
Vérifier une création avant de connecter un portefeuille
Confirmer le lien via un canal officiel
Avant de connecter un portefeuille à une page de création quelconque, n'y accédez qu'via un lien publié sur le site web officiel vérifié du projet ou son compte social vérifié, idéalement un lien atteint en tapant vous-même l'adresse plutôt qu'en cliquant sur un lien envoyé dans un message direct ou un commentaire. Les escrocs publient régulièrement de faux liens de création dans les commentaires de l'annonce officielle d'un projet légitime, choisissant leur moment pour apparaître pendant l'excitation d'un véritable lancement, comptant sur le fait que les gens cliqueront sur le premier lien vu plutôt que de vérifier s'il provient réellement du projet.
Lire la transaction avant de l'approuver
Lorsqu'un portefeuille demande une approbation, lisez ce qui est réellement demandé plutôt que de cliquer automatiquement. Une véritable transaction de création demande généralement une action précise et limitée, comme le paiement d'un prix de création fixe pour un nombre défini de jetons. Une demande d'approbation large et illimitée sur une collection entière de jetons ou de NFT dans votre portefeuille n'est pas une demande de création normale, et l'approuver peut exposer bien plus que le seul objet que vous vouliez acquérir.
Utiliser un portefeuille séparé à faible solde pour les nouvelles créations
De nombreux collectionneurs expérimentés conservent un portefeuille séparé ne contenant qu'une petite somme de fonds spécifiquement pour interagir avec des pages de création nouvelles ou non vérifiées, plutôt que de connecter leur portefeuille principal où se trouvent des avoirs de plus grande valeur. Cela limite les dégâts qu'un contrat malveillant peut causer même si une création s'avère frauduleuse, puisqu'il y a peu de valeur dans ce portefeuille pour qu'un drainer puisse l'atteindre.
- N'accédez aux pages de création qu'via le site web officiel vérifié d'un projet ou son compte social, pas un lien issu d'un commentaire ou d'un message direct
- Lisez exactement ce que demande une demande d'approbation de portefeuille avant de confirmer, et refusez les approbations de dépense larges ou illimitées
- Utilisez un portefeuille séparé à faible solde pour interagir avec des créations nouvelles ou non vérifiées
- Méfiez-vous d'un lien de création publié dans les commentaires de l'annonce d'un véritable projet, car c'est un emplacement courant pour de faux liens
- Traitez tout compte à rebours ou toute affirmation d'offre limitée comme une tactique de pression plutôt qu'une raison d'éviter la vérification
Se protéger en tant qu'acheteur
Vérifiez une collection via le propre site web officiel et les comptes sociaux du projet plutôt que de faire confiance à un résultat de recherche ou un lien reçu directement, vérifiez si la collection porte un badge de vérification sur la place de marché, et renseignez-vous sur l'historique de l'équipe avant de participer à une création. Ignorez les tactiques d'urgence comme les comptes à rebours, car elles existent spécifiquement pour décourager le type de vérification attentive qui autrement permettrait de repérer la plupart de ces arnaques.
Si vous avez déjà connecté un portefeuille à un site suspect ou approuvé une transaction que vous regrettez désormais, révoquez cette approbation le plus rapidement possible à l'aide d'un vérificateur d'approbation de jetons réputé, car une approbation non révoquée peut être utilisée pour vider des avoirs supplémentaires du portefeuille à tout moment ultérieur, pas seulement au moment où elle a été accordée. Notre guide sur comment révoquer une approbation de jeton détaille ce processus pour les portefeuilles et chaînes les plus courants, et il vaut la peine de le faire même si rien ne semble avoir été pris pour l'instant, car une approbation malveillante dormante peut être exercée à tout moment dans le futur.
Les créateurs qui mettent en vente leur propre travail sont exposés à un risque connexe mais distinct, voir leur art ou leur marque tokenisés et vendus par quelqu'un d'autre sans autorisation. Rechercher périodiquement sur les places de marché son propre nom, sa marque ou son œuvre distinctive est une habitude raisonnable pour quiconque publie publiquement du contenu créatif ou de marque, car les annonces contrefaites sont souvent signalées et retirées une fois signalées directement à la place de marché, mais seulement si quelqu'un remarque leur existence.
Questions fréquentes
Très courante selon certaines mesures. Une grande place de marché a publiquement déclaré que plus de 80 % des objets créés via son outil de création gratuit étaient faux, plagiés ou du spam, et les pertes liées à la fraude NFT ont été estimées à plus de 100 millions de dollars au cours d'une seule année récente selon les données de plaintes des consommateurs.
Un rug pull est un projet NFT ou crypto qui lève des fonds via une création ou une prévente, construit une communauté autour de fonctionnalités futures promises, puis abandonne le projet ou vide ses fonds une fois suffisamment d'argent collecté. Certains rug pulls impliquent des fonctions cachées intégrées directement dans le contrat intelligent pour permettre cette sortie.
Les places de marché réputées et bien établies sont généralement sûres pour connecter un portefeuille dans le cadre d'une navigation et d'un achat normaux. Le risque provient de la connexion à des sites inconnus atteints via des liens non sollicités, car un site malveillant peut demander une approbation de dépense allant bien au-delà du seul NFT avec lequel vous vouliez interagir.
Vérifiez la présence d'un badge de vérification sur des places de marché établies, confirmez que la collection est liée depuis le propre site web officiel ou les comptes sociaux vérifiés du créateur, et recherchez le nom du projet accompagné de termes comme arnaque ou rug pull avant d'acheter, en particulier pour tout ce qui est promu via un message non sollicité.
Oui. En mars 2022, des procureurs fédéraux ont inculpé deux personnes pour le projet NFT Frosties, les accusant d'avoir levé environ 1,1 million de dollars lors d'une prévente puis de faire transiter les fonds à travers des portefeuilles distincts avant de disparaître, un rug pull classique. Les deux ont été inculpés de complot en vue de commettre une fraude électronique et du blanchiment d'argent, montrant que ces stratagèmes peuvent être poursuivis lorsque les fonds sont retracés et identifiés à temps.
Sources et lectures complémentaires
- More Than 80% of NFTs Created for Free on OpenSea Are Fraud or Spam, Company Says · Vice
- 9 common NFT scams and how to avoid them · Norton
- What are some common web3 scams? · OpenSea Help Center
- Two Individuals Charged In Non-Fungible Token ('NFT') Fraud And Money Laundering Scheme · U.S. Attorney's Office, Southern District of New York