Arnaques aux portefeuilles crypto : fonctionnement et parades
La plupart des pertes en crypto viennent de manipulations, pas de portefeuilles défaillants : phishing pour obtenir votre seed phrase, signatures malveillantes qui vident vos tokens, fausses applis, adresses sosies et faux support. Ralentissez, vérifiez chaque source vous-même et ne partagez jamais votre seed phrase.
Quelle est l'ampleur du problème ?
Le phishing par wallet drainer sur les chaînes EVM a dérobé environ 494 M$ à quelque 332 000 adresses en 2024 (ScamSniffer, janv. 2025). En 2025, ScamSniffer a recensé 83,85 M$ volés à 106 106 victimes, soit une baisse de 83 %, même si le plus gros vol unique atteignait encore 6,5 M$ via une seule signature Permit en septembre 2025 (ScamSniffer, janv. 2026). Ces chiffres ne couvrent que le phishing par signature ; fausses applis, arnaques à l'investissement et vols de seed phrase s'y ajoutent.
Les 10 arnaques de portefeuille les plus courantes
| Arnaque | Fonctionnement | Parade |
|---|---|---|
| Wallet drainers | De faux sites d'airdrop ou de mint vous font signer des approbations ou des permits qui livrent vos tokens | Lisez chaque signature ; refusez les demandes Permit/approve inattendues. Guide |
| Fausses applis de portefeuille | Des applis ou extensions copiées volent votre phrase quand vous « restaurez » | Installez uniquement via le domaine officiel. Guide |
| Address poisoning | Des adresses sosies sont glissées dans votre historique | Ne copiez jamais une adresse depuis l'historique. Guide |
| Faux support | Des « agents » répondent à votre plainte et demandent votre phrase ou un partage d'écran | Le vrai support n'écrit jamais en premier en DM et ne demande jamais votre phrase |
| Courriers et e-mails de phishing | Messages de « vérification obligatoire » avec QR codes | Ignorez-les ; consultez les annonces dans l'appli officielle |
| Approbations malveillantes laissées ouvertes | D'anciennes approbations illimitées sont exploitées plus tard | Vérifiez et révoquez. Guide |
| Tokens et NFT frauduleux reçus en airdrop | Des tokens non sollicités renvoient vers des sites drainers | Masquez-les ; ne visitez pas leurs liens et n'essayez pas de les vendre |
| Investissement et « pig butchering » | Un nouvel ami en ligne vous guide pour déposer sur une fausse plateforme | N'envoyez jamais de fonds vers des plateformes présentées par des inconnus |
| Matériel contrefait ou trafiqué | Appareils bon marché de revendeurs, ou cartes de récupération pré-remplies | Achetez en direct ; générez toujours une nouvelle phrase |
| Malwares de presse-papiers et de navigateur | Remplacent l'adresse que vous collez ou injectent du code dans les pages du portefeuille | Vérifiez l'adresse sur l'écran de l'appareil ; gardez vos logiciels à jour |
Cas réels, avec dates
- 20 déc. 2025 : un trader a envoyé 49 999 950 USDT (environ 50 M$) vers une adresse sosie empoisonnée après un petit transfert de test (The Block, déc. 2025).
- 24 déc. 2025 : une version malveillante 2.68 de l'extension Chrome de Trust Wallet a siphonné environ 7 M$ ; Trust Wallet a publié la 2.69 et ouvert une procédure d'indemnisation (BleepingComputer, déc. 2025).
- Févr. 2026 : des courriers frauduleux à en-tête Ledger et Trezor contrefait incitaient à un « Authentication Check » via QR code (BleepingComputer, févr. 2026).
- 7–13 avr. 2026 : une fausse appli Ledger sur le Mac App Store ; environ 9,5 M$ volés (iThinkDiff, avr. 2026).
- Juil. 2026 : trois utilisateurs ont poursuivi Apple pour de fausses applis iOS « Sparrow Wallet », affirmant qu'environ 1,8 M$ en bitcoin avaient été volés en 2025 ; le vrai Sparrow n'a pas d'appli iOS (BleepingComputer, juil. 2026).
- Sept. 2026 : e-mails de phishing envoyés depuis la véritable adresse du support de Trezor après le piratage de son prestataire e-mail Brevo (BleepingComputer, sept. 2026).
- Oct. 2026 : Ledger a confirmé la présence d'implants cachés volant la seed dans des appareils vendus par un revendeur du marché gris (Crypto Briefing, oct. 2026).
La liste complète figure dans notre suivi des incidents de sécurité.
Signaux d'alerte
- L'urgence : « votre portefeuille va être suspendu », « réclamez sous 24 heures ».
- Quiconque demande votre seed phrase, votre clé privée ou un partage d'écran.
- Des liens envoyés en DM, en réponse à vos messages ou dans des annonces au-dessus des résultats de recherche.
- Une demande de signature qui ne correspond pas à ce que vous essayiez de faire.
- Des rendements garantis, ou une plateforme qui exige des « taxes » avant de pouvoir retirer.
Si vous avez été arnaqué
- Stoppez l'hémorragie. Si votre seed phrase a été exposée, créez un nouveau portefeuille sur un appareil sain et transférez les fonds restants. Si vous avez signé une approbation, révoquez-la (voir approbations de tokens).
- Consignez tout : hashs de transaction, adresses, sites web, messages et dates.
- Signalez-le à la police ou à l'unité de cybercriminalité de votre pays et à toute plateforme d'échange ayant reçu les fonds ; les exchanges peuvent parfois geler des dépôts.
- Méfiez-vous des arnaques à la récupération. Ceux qui promettent de « récupérer » des cryptos volées contre des frais payés d'avance sont presque toujours eux aussi des escrocs.
Questions fréquentes
Quelle est l'arnaque de portefeuille crypto la plus courante ?
Le phishing sous toutes ses formes : faux sites qui demandent des signatures malveillantes, fausses applis et faux agents du support qui réclament votre seed phrase.
Peut-on récupérer des cryptos volées ?
Rarement. Les transactions blockchain sont irréversibles. Il arrive que des exchanges gèlent des fonds volés, ou que les attaquants les restituent, comme lors de l'affaire d'address poisoning de 68 M$ en WBTC en 2024, mais n'y comptez pas.
L'éditeur de mon portefeuille me remboursera-t-il si je suis arnaqué ?
Généralement pas si vous avez approuvé la transaction vous-même. Certaines entreprises ont indemnisé leurs utilisateurs quand leur propre logiciel était en cause, comme Ledger après l'attaque Connect Kit de 2023.
Les services de récupération de cryptos sont-ils légitimes ?
Traitez-les avec une extrême méfiance. Beaucoup sont des arnaques de second niveau visant les victimes. Signalez plutôt le vol à la police et à l'exchange destinataire.
Comment vérifier qu'un site de portefeuille est authentique ?
Tapez le domaine vous-même ou utilisez un favori plutôt que de cliquer sur des liens ou des annonces. Nos avis indiquent chaque domaine officiel en texte brut.