Comment fonctionne l'arnaque
- Un robot surveille la blockchain à la recherche d'adresses qui envoient ou reçoivent régulièrement des stablecoins.
- Il génère une adresse qui commence et se termine par les mêmes caractères qu'une adresse que vous utilisez, comme votre propre portefeuille ou une adresse de dépôt vers laquelle vous envoyez souvent.
- Il vous envoie un montant minuscule, ou un transfert de jeton d'une valeur nulle, depuis cette adresse sosie. Elle figure désormais dans votre historique de transactions, juste à côté de la vraie.
- La prochaine fois que vous copiez une adresse depuis votre historique au lieu de sa source, vous risquez de prendre la fausse. Le transfert est définitif.
Les portefeuilles et les explorateurs de blocs raccourcissent souvent les adresses à leurs premiers et derniers caractères, comme TQx7…9fK2. C'est exactement cette forme raccourcie que l'escroc imite.
Où cela se produit
C'est surtout courant avec l'USDT sur TRON et Ethereum : les utilisateurs de stablecoins envoient souvent et de gros montants, et les faux transferts de jetons ne coûtent presque rien. Sur les réseaux de type Ethereum, les transferts de valeur nulle et les faux jetons peuvent même faire croire qu'une entrée de l'historique vient de votre propre adresse. Cela arrive aussi sur Bitcoin et d'autres blockchains, sous forme de minuscules paiements « poussière » (dust).
Les habitudes qui l'arrêtent
- Copiez l'adresse depuis sa source, à chaque fois. Pour votre propre portefeuille, son écran Recevoir. Pour un dépôt sur une plateforme, sa page de dépôt. Pour un échange, l'adresse de dépôt de votre page de commande. Jamais depuis l'historique des transactions.
- Comparez plus que les extrémités. Vérifiez aussi quelques caractères au milieu. Les sosies reprennent les premiers et derniers caractères, parce que c'est tout ce que la plupart des gens vérifient.
- Utilisez le carnet d'adresses de votre portefeuille pour les adresses auxquelles vous envoyez régulièrement, et donnez-leur un nom.
- Ignorez les petits transferts inattendus. N'interagissez pas avec eux et ne renvoyez rien.
- Faites d'abord un petit envoi test pour un transfert nouveau ou important, et vérifiez qu'il est bien arrivé là où vous vouliez.
- Surveillez votre presse-papiers. Certains logiciels malveillants remplacent une adresse copiée par celle de l'attaquant. Après avoir collé, vérifiez de nouveau l'adresse par rapport à sa source.
Utilisez de nouvelles adresses
L'empoisonnement cible les adresses dont l'activité est visible et répétée. Une nouvelle adresse de réception pour chaque échange laisse moins de matière à imiter à un escroc et évite que vos échanges soient reliés entre eux. Monero facilite cela avec les sous-adresses, et la plupart des portefeuilles Bitcoin créent une nouvelle adresse d'une simple pression. Sur TRON et Ethereum, vous pouvez quand même garder des adresses séparées pour des usages séparés.
Ce que Lethe vérifie, et ce qui lui échappe
Chaque adresse que vous saisissez sur Lethe est vérifiée avec la somme de contrôle de son réseau avant l'ouverture d'une commande : les fautes de frappe et les mauvais réseaux sont détectés. Quand le service ouvre votre échange, Lethe vérifie aussi que l'adresse de réception dans sa réponse est exactement celle que vous avez saisie.
Ce qu'aucun site ne peut vérifier, c'est si une adresse est vraiment la vôtre. Une adresse empoisonnée est une adresse parfaitement valide ; elle appartient simplement à quelqu'un d'autre. Cette dernière vérification vous revient : comparez l'adresse de réception dans la console, puis sur la page de commande, avec l'écran Recevoir de votre portefeuille.
Les boutons Coller et Scanner un QR code de chaque champ d'adresse aident, car ils prennent l'adresse directement dans votre presse-papiers ou dans le QR code de votre portefeuille. Le scan se fait dans votre navigateur, et l'image ne quitte jamais votre appareil.
Si c'est déjà arrivé
Les transferts sur une blockchain sont irréversibles. Si vous avez envoyé vers une adresse empoisonnée, conservez l'ID de transaction et l'adresse de l'escroc, et signalez-les aux plateformes concernées. S'il s'agissait d'USDT, Tether peut geler les jetons d'une adresse, généralement à la demande des forces de l'ordre. Méfiez-vous de quiconque propose de récupérer les fonds contre rémunération : les offres de récupération sont une deuxième arnaque courante.
Changez ensuite les habitudes qui l'ont rendu possible : nouvelles adresses, carnet d'adresses, copie depuis la source. Vous échangez des stablecoins ? Lisez aussi le guide sur les réseaux USDT.
