Les conseils sur la fraude crypto sont écrits pour qui achète sa première pièce, et c'est pour cela qu'ils ne protègent personne d'autre. Les montages qui atteignent des traders de plusieurs années ne reposent pas sur l'ignorance. Ils reposent sur la routine, sur le tempo, et sur le fait qu'un compte actif signe des choses à longueur de journée.
L'arnaque naïve a besoin que vous ne compreniez pas ce qui se passe. La compétente a besoin du contraire : que vous soyez en train de faire quelque chose de familier, vite, dans un contexte où l'action qu'elle veut est celle que vous alliez faire de toute façon. En savoir plus vous rend plus rapide, et c'est la vitesse qui est exploitée.
Il y a aussi un effet de sélection que personne n'apprécie. Un trader actif a des soldes sur plusieurs plateformes, plusieurs jeux d'identifiants, des systèmes automatisés qui détiennent des clés, et une trace publique laissée sur des forums ou des réseaux. Ce profil vaut bien plus d'efforts qu'un profil ordinaire, et il les reçoit. Les messages qui l'atteignent sont documentés, correctement orthographiés, et visent une chose que la cible fait réellement.
Le montage qui attrape des gens expérimentés ne leur demande jamais d'apprendre quelque chose. Il leur demande de faire, une fois trop vite, ce qu'ils font vingt fois par semaine.
Personne ne tape une adresse de destination. Tout le monde en copie une, et la source habituelle est l'historique des transactions. L'attaque exploite exactement cela : un transfert minuscule est envoyé vers votre adresse depuis une adresse sosie, générée pour que ses premiers et derniers caractères coïncident avec une adresse que vous utilisez régulièrement. La voilà installée dans votre historique, avec l'air d'un endroit avec lequel vous avez déjà traité.
La fois suivante où vous copiez depuis cette liste dans la précipitation, vous copiez l'imposteur. Le milieu de la chaîne est différent, et personne ne lit le milieu d'une chaîne. Le transfert est valide, irréversible, et il part chez quelqu'un qui a dépensé quelques unités de frais pour être là au moment où vous étiez distrait.
La défense est procédurale et prend une seconde : vérifier des caractères pris au milieu de l'adresse plutôt qu'aux extrémités, et copier les destinations depuis une liste enregistrée que vous avez constituée vous-même plutôt que depuis l'historique. Mettre les adresses de retrait en liste blanche, sur toute plateforme qui le propose, supprime entièrement l'exposition pour les destinations utilisées de façon répétée.
Une vraie assistance vous répond. Elle ne vous trouve pas d'abord. Or la version la plus productive de cette fraude est précisément entrante : peu après que vous avez posé une question sur un forum public ou dans un canal communautaire, quelqu'un vous contacte en privé, emploie votre prénom, cite le problème exact que vous avez décrit, et propose de vous aider.
Ce qui suit ne demande jamais un mot de passe, parce que le demander romprait le charme. Cela demande de connecter un portefeuille à une page de vérification, de lancer une commande de diagnostic, de saisir votre phrase de récupération dans un formulaire qui ressemble à une restauration de portefeuille, ou d'installer un outil d'assistance à distance pour qu'on puisse voir le problème. Chaque demande est plausible dans le contexte du problème que vous avez annoncé publiquement.
Une seule règle traite toute la catégorie et elle n'exige aucun jugement. Les conversations d'assistance commencent depuis l'intérieur de la plateforme, à votre initiative, par un chemin que vous avez parcouru vous-même. Quiconque vous contacte le premier au sujet d'un compte n'est, sans exception qui mérite d'être écoutée, pas celui qu'il prétend être.
Les pertes les plus coûteuses de ces dernières années n'ont pas impliqué de clé volée. Elles ont impliqué une signature produite par le propriétaire, sur une page qui ressemblait à une page qu'il utilisait régulièrement, accordant une autorisation de dépense plutôt qu'effectuant un transfert.
Le mécanisme mérite d'être dit franchement parce que le vocabulaire le dissimule. Accorder une autorisation ne déplace rien, donc rien ne paraît anormal ensuite. Le solde part plus tard, à un moment choisi par celui qui détient l'autorisation, ce qui explique que la perte semble si souvent déconnectée de tout geste dont la victime se souvienne. Un portefeuille matériel réalise cette signature exactement aussi fidèlement que n'importe quelle autre.
Deux habitudes en viennent à bout. Lire ce qu'un portefeuille vous demande d'approuver, et précisément s'il s'agit d'un transfert ou d'une autorisation, car l'interface les distingue bel et bien. Et traiter comme hostile toute demande de signature qui apparaît sans que vous ayez engagé une action, en particulier celle qui arrive juste après une connexion à un site atteint depuis un lien.
Une clé qu'on ne peut pas voler signe quand même tout ce que vous approuvez. La menace s'est déplacée de la clé vers le moment de l'approbation.
Un message texte peut être redirigé en persuadant un opérateur mobile de déplacer un numéro vers un nouvel appareil. La procédure est conçue pour aider les clients qui ont perdu un téléphone, elle est exécutée par des gens sous contrainte de temps, et il a été démontré de façon répétée qu'elle se contourne avec des informations faciles à réunir sur une personne exposée publiquement.
Une fois le numéro déplacé, chaque code qui lui est envoyé arrive chez l'attaquant, y compris les réinitialisations de mot de passe du compte de messagerie qui sert d'ancrage à tout le reste. Le trader dont les comptes de plateforme, la messagerie et les profils sociaux se rabattent tous sur le même numéro est à une erreur d'opérateur de perdre les trois d'un coup, et l'enchaînement prend quelques minutes.
Le remède est banal : utiliser une application d'authentification ou une clé de sécurité physique partout où c'est proposé, retirer le numéro de téléphone des méthodes de récupération là où la plateforme le permet, et poser un verrou de portabilité ou son équivalent chez l'opérateur. Rien de tout cela n'est difficile et presque personne ne le fait avant un incident.
Une extension de navigateur autorisée à lire et modifier les données de tous les sites est un observateur permanent de chaque interface de trading que vous ouvrez. Les extensions changent de mains, se revendent à de nouveaux propriétaires, et reçoivent des mises à jour qui n'ont pas été écrites par celui à qui vous aviez fait confiance. Ce n'est pas une hypothèse, c'est un schéma récurrent, et le mécanisme de mise à jour fait que le changement vous atteint en silence.
Le même raisonnement vaut pour l'automatisation. Un robot qui se connecte à votre compte a besoin d'une clé d'API, et tout robot qui réclame des droits de retrait réclame quelque chose dont aucune stratégie n'a besoin. Un script copié sur un forum tourne avec vos permissions, et le lire est toute la revue de sécurité qu'il connaîtra jamais.
Gardez le profil de navigateur qui touche à de la valeur séparé de celui avec lequel vous naviguez, installez-y le moins de choses possible, et auditez ce qui y est installé selon un calendrier. Le but n'est pas la paranoïa, c'est de réduire le nombre de parties capables de modifier en silence du code qui tourne à côté de votre compte.
Après une perte rendue publique arrive une seconde vague : des services qui proposent de tracer et de récupérer des fonds volés, citant souvent l'incident précis, revendiquant parfois un lien avec un enquêteur ou une autorité. Ils demandent des honoraires d'avance, ou un accès au portefeuille pour l'évaluer.
Le postulat est faux là où cela compte. Une transaction réglée sur un registre public ne peut pas être annulée par une société privée, et tracer où les fonds sont allés, ce qui est réellement possible, n'est pas la même chose que pouvoir les récupérer. Ce qui est vendu est une seconde perte, à quelqu'un dont on a déjà établi qu'il est joignable et motivé.
Il y a une chose qui mérite vraiment d'être faite après une perte, et elle n'est pas commerciale : tout documenter avec les horodatages et les adresses, le signaler à la plateforme concernée et à l'autorité de votre pays, et accepter qu'une récupération soit improbable. La phrase est sombre et elle est plus utile que l'alternative qu'on vous propose.
Les plus grosses sommes de ce domaine ne se perdent pas dans des exploits techniques, elles sont remises volontairement sur des semaines. Le schéma est constant : une relation nouée dans un cadre social, un intérêt partagé pour les marchés, puis la présentation d'une plateforme où les premières transactions du nouvel arrivant se comportent remarquablement bien et où les retraits fonctionnent parfaitement à petite échelle.
Tout est réel jusqu'à ce que le montant devienne important. L'interface, les soldes, le service client, le retrait qui est arrivé le mois dernier : tout est conçu pour établir que l'argent est récupérable. La défaillance n'apparaît qu'au point où il ne l'est plus, en général accompagnée d'une taxe ou de frais à régler d'abord, depuis des fonds extérieurs.
Le signe structurel n'est pas le rendement, souvent assez modeste pour être crédible. C'est que la plateforme vous a atteint par une personne plutôt que par le marché, et que la personne est apparue avant l'occasion. Tout ce qui se découvre ainsi doit être vérifié dans un registre public d'entités agréées avant le moindre transfert, et la plupart n'y figurent pas.
Presque tous les montages ci-dessus tombent devant un petit nombre d'habitudes, et aucune n'exige d'expertise. Ne jamais agir sur un contact entrant au sujet d'un compte, jamais, quelle que soit l'étendue de ce que l'expéditeur semble savoir. Vérifier les adresses par leurs caractères du milieu et tenir une liste enregistrée. Lire si l'on signe un transfert ou une autorisation. Retirer le SMS du chemin de récupération de tout ce qui compte. Garder les avoirs de long terme sur une adresse qui n'a jamais approuvé de contrat.
La dernière relève du temps plutôt que de la technique. Chaque montage de cet article fonctionne mieux sous pression, et chacun est bâti pour en créer : une fenêtre limitée, une position en danger, un agent d'assistance qui attend votre réponse. Une action qui ne peut pas attendre dix minutes est une action que quelqu'un d'autre a programmée pour vous, et ces dix minutes suffisent presque toujours à le voir.
L'urgence est l'ingrédient commun. Rien de légitime, concernant votre propre compte, n'exige d'agir avant d'avoir eu le temps de vérifier.
Cela signifie en général que votre adresse a été marquée pour un empoisonnement d'adresse. Le transfert lui-même est inoffensif ; son but est de placer une adresse sosie dans votre historique pour que vous la copiiez plus tard par erreur. N'interagissez pas avec, et copiez vos destinations depuis une liste que vous tenez plutôt que depuis l'historique.
Non. Une assistance véritable répond à des demandes que vous ouvrez depuis la plateforme, elle ne vous trouve pas sur un forum. Le fait qu'elle connaisse les détails de votre problème prouve seulement qu'elle a lu le même message public que vous avez écrit. Fermez la conversation et ouvrez un ticket vous-même depuis votre compte.
Par une autorisation de dépense signée plus tôt. Approuver qu'un contrat déplace un jeton en votre nom est une action distincte d'un transfert, elle ne déplace rien sur le moment, et elle reste valide jusqu'à révocation. Le retrait a lieu ensuite, au moment choisi par le détenteur, ce qui explique qu'il paraisse sans lien avec quoi que ce soit que vous ayez fait.
Il protège la clé, pas la décision. La clé ne quitte jamais l'appareil, donc elle ne peut pas être extraite, mais une signature que vous approuvez sur cet appareil est une signature valide quelle que soit la chose qu'elle autorise. Lire la destination et l'opération sur l'écran de l'appareil lui-même est ce qui referme l'écart.
Mieux que rien et nettement moins bien que les alternatives, parce qu'un numéro de téléphone peut être déplacé vers un autre appareil en convainquant un opérateur plutôt qu'en cassant quoi que ce soit. Là où une application d'authentification ou une clé physique est proposée, c'est l'option à prendre, et le numéro devrait être entièrement retiré de la récupération de compte.
Aucune stratégie n'exige la capacité de sortir des fonds de la plateforme. Un robot qui la réclame réclame une capacité dont sa fonction annoncée n'a pas besoin, et cela suffit à refuser. N'accordez que des droits de trading, restreignez la clé aux adresses que votre infrastructure utilise, et faites-la tourner selon un calendrier.
Tracer où les fonds sont partis est réellement possible et n'est pas la même chose que les récupérer. Une transaction réglée ne peut pas être annulée par une société privée, et toute demande de paiement d'avance ou d'accès à votre portefeuille est une seconde fraude visant quelqu'un dont on sait déjà qu'il est joignable. Documentez l'incident et signalez-le plutôt.
Refuser d'agir vite sur tout ce qui touche à votre propre compte. Chaque montage décrit ici fabrique de l'urgence, parce qu'aucun ne survit à dix minutes de vérification. Rien de légitime concernant vos positions, vos retraits ou votre accès n'exige une décision immédiate prise à l'intérieur de la conversation de quelqu'un d'autre.