Les schémas de phishing qui ciblent spécifiquement les utilisateurs crypto

Les conseils classiques contre le phishing — vérifier l’URL, chercher le cadenas — ont été écrits pour un monde où le pire des cas était un mot de passe volé que l’on pouvait changer. Les attaques crypto sont conçues pour un public dont les erreurs sont irréversibles, et elles sont façonnées en conséquence. Les schémas se répètent, et reconnaître la forme est plus fiable qu’inspecter chaque lien.

Le faux agent du support

Vous postez un problème publiquement — un forum, un chat, une plateforme sociale — et quelqu’un de serviable apparaît dans vos messages privés en quelques minutes, se présentant comme le support pour ce que vous avez mentionné.

L’indice révélateur est le sens du contact. Un support légitime n’engage pas de conversation privée parce que vous vous êtes plaint publiquement. Tout ce qui suit, que ce soit un site de “validation”, un outil de “synchronisation”, ou un partage d’écran, existe pour atteindre votre phrase de récupération ou vous faire signer quelque chose.

L’habitude qui neutralise cela est absolue : personne qui vous contacte en premier n’est le support. Même si le nom affiché correspond, même si l’avatar est le bon, même s’ils connaissent des détails de votre publication publique.

L’autorisation qui n’est pas un transfert

Les attaques les plus efficaces ne vous demandent pas d’envoyer quoi que ce soit. Elles vous demandent de signer une autorisation qui donne à un contrat la permission de déplacer un jeton en votre nom, souvent sans limite et sans expiration.

Cela fonctionne parce que l’invite ne ressemble pas à un paiement. Aucun montant ne quitte votre portefeuille au moment de la signature, le portefeuille peut afficher une valeur faible ou nulle, et les fonds bougent plus tard. Des personnes qui n’enverraient jamais de fonds à un inconnu approuveront un contrat pour réclamer un airdrop ou se connecter à un site.

La défense consiste à lire l’écran de l’appareil ou du portefeuille plutôt que le site web, et à se méfier de toute allocation illimitée. Vérifier et révoquer périodiquement les autorisations permanentes est un entretien que la plupart des gens n’effectuent jamais.

L’adresse qui semble correcte

Deux variantes, toutes deux exploitant le fait que personne ne lit une adresse en entier.

Un logiciel malveillant de presse-papiers remplace une adresse copiée par celle de l’attaquant au moment où vous collez. L’empoisonnement d’adresse vous envoie une transaction minuscule depuis une adresse dont les premiers et derniers caractères correspondent à une adresse que vous utilisez, de sorte que lorsque vous copiez plus tard depuis votre historique, vous prenez la mauvaise.

Les deux déjouent l’habitude de vérifier les quatre premiers et quatre derniers caractères, qui est l’habitude qu’a presque tout le monde. Vérifier le milieu, utiliser un carnet d’adresses enregistré, et envoyer d’abord un petit test sont les contre-mesures — et la transaction test vaut ses frais sur tout montant substantiel.

L’urgence à propos de votre propre sécurité

“Votre portefeuille est compromis, migrez immédiatement.” “Activité suspecte détectée, vérifiez maintenant.” Le message est conçu de sorte que l’émotion qu’il produit — la peur pour sa sécurité — vous pousse vers l’action même qui la détruit.

Rien en crypto n’exige réellement une action dans les minutes qui suivent. Il n’existe aucune migration qu’un vrai fournisseur de portefeuille exigerait, aucune étape de validation impliquant votre phrase, et aucune raison légitime pour quiconque d’en avoir besoin. La pression temporelle appliquée à une décision de sécurité est elle-même le signal.

Le résultat de recherche et la publicité payante

Rechercher un portefeuille ou une plateforme d’échange fait apparaître des emplacements payants au-dessus du vrai résultat, et ces emplacements sont périodiquement achetés par des attaquants qui pointent vers un clone convaincant. Le site est fidèle au pixel près et le domaine n’en diffère que de très peu.

Les favoris résolvent cela complètement et ne coûtent rien. Atteignez tout ce qui détient de la valeur via un favori que vous avez créé, jamais via un résultat de recherche, et toute cette catégorie d’attaque cesse de s’appliquer.

Pourquoi l’intelligence n’est pas la défense

Cela vaut la peine d’être dit, car la honte de s’être fait piéger empêche les gens de signaler ces attaques. Ces attaques réussissent contre des personnes expérimentées et prudentes, car elles sont conçues pour piéger lors de moments ordinaires de distraction plutôt que lors d’un examen attentif.

Ce qui vous protège réellement, c’est un petit nombre d’habitudes qui ne dépendent pas du jugement dans l’instant : les favoris plutôt que la recherche, personne qui écrit en premier n’est le support, lire l’écran de l’appareil et non le site web, une transaction test sur tout montant important, et une vérification périodique des autorisations. Chacune élimine toute une catégorie, quel que soit le caractère convaincant d’une tentative individuelle. Notre article sur ce que protège chaque mesure de sécurité couvre le versant outils.

Le faux airdrop et le jeton que vous n’avez pas acheté

Des jetons inattendus apparaissant dans un portefeuille constituent un schéma permanent plutôt qu’une nuisance occasionnelle. Le jeton est créé par un attaquant, distribué largement, et nommé de façon à suggérer une valeur et un processus de réclamation.

Interagir avec lui est le piège. Tenter de le vendre ou de le réclamer vous dirige vers un site qui demande une autorisation, et cette autorisation est l’attaque. Détenir le jeton ne coûte rien ; le toucher est ce qui comporte un risque.

La bonne réponse à un jeton inattendu est de l’ignorer. La plupart des portefeuilles permettent de le masquer de la vue. Il n’existe aucune version de ce scénario où un jeton que vous n’attendiez pas se révèle être une aubaine, et l’attrait émotionnel de cette possibilité est exactement ce sur quoi repose ce schéma.

Les canaux officiels compromis

La variante la plus difficile, car les conseils habituels échouent. Le compte social propre d’un projet, son serveur communautaire, ou parfois son site web, est piraté, et le lien malveillant est publié depuis la source authentique.

Toute heuristique fondée sur la vérification de l’expéditeur s’effondre ici. Ce qui fonctionne encore, c’est de ne dépendre d’aucun canal unique : confirmer une annonce sur les autres canaux du projet avant d’agir, se méfier davantage de tout ce qui est limité dans le temps, et atteindre les sites via des favoris, de sorte qu’une publication compromise ne puisse vous rediriger nulle part.

Cela plaide aussi pour une habitude qui semble excessive jusqu’à ce qu’elle ne le soit plus — ne jamais connecter un portefeuille détenant une valeur importante à un site atteint via un lien, quel que soit ce qui l’a publié.

Des portefeuilles séparés font l’essentiel du travail

La défense structurelle la plus efficace n’est pas la vigilance, qui finit par faillir, mais la séparation. Un portefeuille détenant des actifs de long terme qui ne se connecte jamais à aucun site, et un portefeuille distinct avec un petit solde utilisé pour tout ce qui est interactif.

Cela transforme toute une catégorie de conséquences catastrophiques en simple désagrément. Une autorisation signée depuis le portefeuille d’interaction expose ce qu’il contient, ce qui, par design, est peu de chose. Le portefeuille de détention est inatteignable car il n’a de relation avec aucune application.

Cela coûte un peu de désagrément et supprime l’exigence de ne jamais faire d’erreur — ce qui est un meilleur fondement que n’importe quelle quantité de prudence, car la prudence est une ressource qui s’épuise un mauvais jour, alors que la structure, elle, ne s’épuise pas.