Les schémas de hameçonnage qui visent spécifiquement les utilisateurs de crypto

Les conseils habituels sur le hameçonnage — vérifiez l’URL, cherchez le cadenas — ont été écrits pour un monde où le pire scénario était un mot de passe volé que l’on pouvait changer. Les attaques crypto sont conçues pour un public dont les erreurs sont irréversibles, et elles en épousent la forme. Les schémas se répètent, et reconnaître la forme est plus fiable qu’inspecter chaque lien.

Le faux agent du support

Vous exposez publiquement un problème — un forum, un salon de discussion, un réseau social — et quelqu’un de serviable apparaît dans vos messages privés en quelques minutes, se présentant comme le support de ce que vous avez mentionné.

L’indice est le sens de la prise de contact. Un support légitime n’ouvre pas une conversation privée parce que vous vous êtes plaint en public. Tout ce qui suit — un site de « validation », un outil de « synchronisation », un partage d’écran — existe pour atteindre votre phrase de récupération ou vous faire signer quelque chose.

L’habitude qui en vient à bout est absolue : quiconque vous contacte en premier n’est pas le support. Ni si le nom affiché correspond, ni si l’avatar est le bon, ni s’il connaît des détails de votre message public.

L’autorisation qui n’est pas un transfert

Les attaques les plus efficaces ne vous demandent pas d’envoyer quoi que ce soit. Elles vous demandent de signer une autorisation accordant à un contrat la permission de déplacer un jeton en votre nom, souvent sans plafond et sans expiration.

Cela marche parce que l’invite ne ressemble pas à un paiement. Aucun montant ne quitte votre portefeuille au moment de signer, le portefeuille peut afficher une valeur faible ou nulle, et les fonds partent plus tard. Des personnes qui n’enverraient jamais de fonds à un inconnu approuvent un contrat pour réclamer un airdrop ou se connecter à un site.

La défense consiste à lire l’écran de l’appareil ou du portefeuille plutôt que le site web, et à se méfier de toute allocation illimitée. Passer périodiquement en revue et révoquer les autorisations permanentes est un entretien que presque personne n’effectue.

L’adresse qui a l’air correcte

Deux variantes, exploitant toutes deux le fait que personne ne lit une adresse en entier.

Un logiciel malveillant du presse-papiers remplace l’adresse copiée par celle de l’attaquant au moment où vous collez. L’empoisonnement d’adresse vous envoie une transaction minuscule depuis une adresse dont les premiers et derniers caractères correspondent à l’une des vôtres, afin que plus tard, en copiant depuis votre historique, vous preniez la mauvaise.

Les deux déjouent l’habitude de vérifier les quatre premiers et quatre derniers caractères — l’habitude que presque tout le monde a. Vérifier le milieu, utiliser un carnet d’adresses enregistré et envoyer d’abord un petit test sont les parades ; et sur tout montant conséquent, la transaction de test vaut ses frais.

L’urgence à propos de votre propre sécurité

« Votre portefeuille est compromis, migrez immédiatement. » « Activité suspecte détectée, vérifiez maintenant. » Le message est conçu pour que l’émotion qu’il produit — la peur pour la sécurité — vous pousse précisément vers l’action qui la détruit.

Rien en crypto n’exige réellement d’agir en quelques minutes. Aucune migration ne sera exigée par un véritable fournisseur de portefeuille, aucune étape de validation n’implique votre phrase, et personne n’a de raison légitime d’en avoir besoin. La pression temporelle appliquée à une décision de sécurité est en soi le signal.

Le résultat de recherche et l’annonce payante

Chercher un portefeuille ou une plateforme fait remonter des emplacements payants au-dessus du vrai résultat, et ces emplacements sont périodiquement achetés par des attaquants pointant vers un clone convaincant. Le site est identique au pixel près et le domaine à un caractère près.

Les signets résolvent cela complètement et ne coûtent rien. Accédez à tout ce qui détient de la valeur par un signet que vous avez créé, jamais par un résultat de recherche, et toute la catégorie cesse de s’appliquer.

Pourquoi l’intelligence n’est pas la défense

Cela mérite d’être dit, car la honte d’être tombé dans l’un de ces pièges empêche d’en parler. Ces attaques réussissent contre des personnes expérimentées et prudentes, parce qu’elles sont conçues pour frapper dans des moments ordinaires de distraction et non pendant un examen attentif.

Ce qui protège réellement, c’est un petit nombre d’habitudes qui ne dépendent pas du jugement du moment : des signets plutôt qu’une recherche, quiconque écrit en premier n’est pas le support, lire l’écran de l’appareil et non le site, une transaction de test sur tout montant important, et une revue périodique des autorisations. Chacune supprime une catégorie entière, aussi convaincante que soit une tentative particulière. Notre article sur ce contre quoi chaque mesure de sécurité protège couvre le versant outillage.

Le faux airdrop et le jeton que vous n’avez pas acheté

Des jetons inattendus apparaissant dans un portefeuille sont un schéma permanent plutôt qu’une nuisance occasionnelle. Le jeton est créé par un attaquant, distribué largement, et nommé de façon à suggérer de la valeur et une procédure de réclamation.

Interagir avec lui est le piège. Tenter de le vendre ou de le réclamer vous conduit vers un site qui demande une autorisation, et l’autorisation est l’attaque. Détenir le jeton ne coûte rien ; c’est y toucher qui comporte un risque.

La bonne réponse à un jeton inattendu est de l’ignorer. La plupart des portefeuilles permettent de le masquer. Il n’existe aucune version où un jeton que vous n’attendiez pas se révèle une aubaine, et l’attrait émotionnel de cette possibilité est exactement ce sur quoi le schéma repose.

Les canaux officiels compromis

La variante la plus difficile, parce que le conseil habituel échoue. Le compte social d’un projet, son serveur communautaire, ou parfois son site sont pris en main, et le lien malveillant est publié depuis la source authentique.

Toute heuristique fondée sur la vérification de l’expéditeur s’effondre ici. Ce qui fonctionne encore, c’est de ne dépendre d’aucun canal unique : confirmer une annonce sur les autres canaux du projet avant d’agir, traiter avec une méfiance accrue tout ce qui est limité dans le temps, et accéder aux sites par des signets pour qu’une publication compromise ne puisse vous orienter nulle part.

Cela plaide aussi pour une habitude qui paraît excessive jusqu’à ce qu’elle ne le soit plus : ne jamais connecter un portefeuille détenant une valeur significative à un site atteint depuis un lien, quel qu’en soit l’auteur.

Des portefeuilles séparés font l’essentiel du travail

La défense structurelle au meilleur rendement n’est pas la vigilance, qui finit par céder, mais la séparation. Un portefeuille détenant les actifs de long terme qui ne se connecte à aucun site, et un portefeuille distinct au solde modeste pour tout ce qui est interactif.

Cela convertit une catégorie d’issues catastrophiques en désagrément. Une autorisation signée depuis le portefeuille d’interaction expose ce qu’il contient, c’est-à-dire, par construction, peu. Le portefeuille de détention est hors d’atteinte parce qu’il n’a de relation avec aucune application.

Cela coûte un peu de confort et supprime l’exigence de ne jamais commettre d’erreur — une meilleure fondation que n’importe quelle dose de vigilance, car la vigilance est une ressource qui s’épuise un mauvais jour, et la structure non.