Les conseils habituels sur le hame\u00e7onnage \u2014 v\u00e9rifiez l\u2019URL, cherchez le cadenas \u2014 ont \u00e9t\u00e9 \u00e9crits pour un monde o\u00f9 le pire sc\u00e9nario \u00e9tait un mot de passe vol\u00e9 que l\u2019on pouvait changer. Les attaques crypto sont con\u00e7ues pour un public dont les erreurs sont irr\u00e9versibles, et elles en \u00e9pousent la forme. Les sch\u00e9mas se r\u00e9p\u00e8tent, et reconna\u00eetre la forme est plus fiable qu\u2019inspecter chaque lien.<\/p>\n
Vous exposez publiquement un probl\u00e8me \u2014 un forum, un salon de discussion, un r\u00e9seau social \u2014 et quelqu\u2019un de serviable appara\u00eet dans vos messages priv\u00e9s en quelques minutes, se pr\u00e9sentant comme le support de ce que vous avez mentionn\u00e9.<\/p>\n
L\u2019indice est le sens de la prise de contact. Un support l\u00e9gitime n\u2019ouvre pas une conversation priv\u00e9e parce que vous vous \u00eates plaint en public. Tout ce qui suit \u2014 un site de \u00ab validation \u00bb, un outil de \u00ab synchronisation \u00bb, un partage d\u2019\u00e9cran \u2014 existe pour atteindre votre phrase de r\u00e9cup\u00e9ration ou vous faire signer quelque chose.<\/p>\n
L\u2019habitude qui en vient \u00e0 bout est absolue : quiconque vous contacte en premier n\u2019est pas le support. Ni si le nom affich\u00e9 correspond, ni si l\u2019avatar est le bon, ni s\u2019il conna\u00eet des d\u00e9tails de votre message public.<\/p>\n
Les attaques les plus efficaces ne vous demandent pas d\u2019envoyer quoi que ce soit. Elles vous demandent de signer une autorisation accordant \u00e0 un contrat la permission de d\u00e9placer un jeton en votre nom, souvent sans plafond et sans expiration.<\/p>\n
Cela marche parce que l\u2019invite ne ressemble pas \u00e0 un paiement. Aucun montant ne quitte votre portefeuille au moment de signer, le portefeuille peut afficher une valeur faible ou nulle, et les fonds partent plus tard. Des personnes qui n\u2019enverraient jamais de fonds \u00e0 un inconnu approuvent un contrat pour r\u00e9clamer un airdrop ou se connecter \u00e0 un site.<\/p>\n
La d\u00e9fense consiste \u00e0 lire l\u2019\u00e9cran de l\u2019appareil ou du portefeuille plut\u00f4t que le site web, et \u00e0 se m\u00e9fier de toute allocation illimit\u00e9e. Passer p\u00e9riodiquement en revue et r\u00e9voquer les autorisations permanentes est un entretien que presque personne n\u2019effectue.<\/p>\n
Deux variantes, exploitant toutes deux le fait que personne ne lit une adresse en entier.<\/p>\n
Un logiciel malveillant du presse-papiers remplace l\u2019adresse copi\u00e9e par celle de l\u2019attaquant au moment o\u00f9 vous collez. L\u2019empoisonnement d\u2019adresse vous envoie une transaction minuscule depuis une adresse dont les premiers et derniers caract\u00e8res correspondent \u00e0 l\u2019une des v\u00f4tres, afin que plus tard, en copiant depuis votre historique, vous preniez la mauvaise.<\/p>\n
Les deux d\u00e9jouent l\u2019habitude de v\u00e9rifier les quatre premiers et quatre derniers caract\u00e8res \u2014 l\u2019habitude que presque tout le monde a. V\u00e9rifier le milieu, utiliser un carnet d\u2019adresses enregistr\u00e9 et envoyer d\u2019abord un petit test sont les parades ; et sur tout montant cons\u00e9quent, la transaction de test vaut ses frais.<\/p>\n
\u00ab Votre portefeuille est compromis, migrez imm\u00e9diatement. \u00bb \u00ab Activit\u00e9 suspecte d\u00e9tect\u00e9e, v\u00e9rifiez maintenant. \u00bb Le message est con\u00e7u pour que l\u2019\u00e9motion qu\u2019il produit \u2014 la peur pour la s\u00e9curit\u00e9 \u2014 vous pousse pr\u00e9cis\u00e9ment vers l\u2019action qui la d\u00e9truit.<\/p>\n
Rien en crypto n\u2019exige r\u00e9ellement d\u2019agir en quelques minutes. Aucune migration ne sera exig\u00e9e par un v\u00e9ritable fournisseur de portefeuille, aucune \u00e9tape de validation n\u2019implique votre phrase, et personne n\u2019a de raison l\u00e9gitime d\u2019en avoir besoin. La pression temporelle appliqu\u00e9e \u00e0 une d\u00e9cision de s\u00e9curit\u00e9 est en soi le signal.<\/p>\n
Chercher un portefeuille ou une plateforme fait remonter des emplacements payants au-dessus du vrai r\u00e9sultat, et ces emplacements sont p\u00e9riodiquement achet\u00e9s par des attaquants pointant vers un clone convaincant. Le site est identique au pixel pr\u00e8s et le domaine \u00e0 un caract\u00e8re pr\u00e8s.<\/p>\n
Les signets r\u00e9solvent cela compl\u00e8tement et ne co\u00fbtent rien. Acc\u00e9dez \u00e0 tout ce qui d\u00e9tient de la valeur par un signet que vous avez cr\u00e9\u00e9, jamais par un r\u00e9sultat de recherche, et toute la cat\u00e9gorie cesse de s\u2019appliquer.<\/p>\n
Cela m\u00e9rite d\u2019\u00eatre dit, car la honte d\u2019\u00eatre tomb\u00e9 dans l\u2019un de ces pi\u00e8ges emp\u00eache d\u2019en parler. Ces attaques r\u00e9ussissent contre des personnes exp\u00e9riment\u00e9es et prudentes, parce qu\u2019elles sont con\u00e7ues pour frapper dans des moments ordinaires de distraction et non pendant un examen attentif.<\/p>\n