Comment savoir si votre portefeuille crypto a été piraté : 10 signes d'alerte

Un transfert confirmé que vous n'avez pas autorisé est le signe le plus évident d'un problème. Mais un portefeuille peut devenir vulnérable avant même que des fonds disparaissent. Une phrase de récupération volée, une autorisation de dépense dissimulée ou un changement dans le contrôle du portefeuille peuvent donner accès à un attaquant alors que votre solde semble encore normal.

Certains des signes ci-dessous indiquent un vol réel. D'autres montrent que votre portefeuille ou votre appareil pourrait être compromis. Cette distinction est importante, car la solution dépend de la manière dont l'attaquant a obtenu l'accès.

Si des fonds quittent votre portefeuille en ce moment même, cessez d'y envoyer de l'argent et passez directement aux mesures à prendre, vers la fin de l'article.

Que signifie réellement le piratage d'un portefeuille crypto ?

Vos cryptomonnaies sont enregistrées sur une blockchain. Votre portefeuille vous permet de les contrôler à l'aide de clés privées ou d'autres règles d'autorisation. Une phrase de récupération, également appelée phrase de départ (seed phrase), permet de recréer les clés de nombreux comptes du portefeuille.

Le mot « piraté » désigne plusieurs problèmes différents :

• Clés volées : Quelqu'un possède votre clé privée ou votre phrase de récupération et peut autoriser des transactions depuis un autre appareil.
• Autorisations détournées : Vous avez approuvé un contrat ou signé une demande permettant à quelqu'un de déplacer certains actifs. Vos clés peuvent être restées privées.
• Appareil ou application compromis : Un logiciel malveillant, un faux portefeuille ou une extension malveillante vole des informations ou modifie ce que vous vous apprêtez à envoyer.
• Compte de plateforme d'échange compromis : Quelqu'un accède au compte sur lequel une entreprise conserve vos cryptomonnaies.

Un portefeuille matériel aide à protéger les clés privées, mais il ne rend pas une autorisation dangereuse inoffensive. Si vous autorisez une mauvaise opération, le portefeuille matériel peut parfaitement la signer.

1. De véritables cryptomonnaies quittent votre portefeuille sans votre autorisation

Vous découvrez un transfert effectué, une vente de NFT ou un retrait que vous ne pouvez pas expliquer. Cela peut se produire lorsque votre téléphone est éteint ou que vous êtes loin de votre ordinateur.

Commencez par écarter une opération que vous aviez programmée, comme un paiement automatique, un retrait depuis une plateforme d'échange ou une action dans une application de trading. Vérifiez ensuite la transaction réelle sur la blockchain.

Confirmez qu'un actif authentique a été transféré et que votre solde a diminué. Une entrée étrange dans l'historique d'activité du portefeuille ne suffit pas, à elle seule. Les escrocs peuvent créer des enregistrements de tokens trompeurs qui semblent montrer des transferts depuis votre adresse.

Dès que vous confirmez un mouvement non autorisé de véritables actifs, agissez immédiatement. N'attendez pas que le portefeuille soit entièrement vidé.

2. Les nouveaux dépôts disparaissent presque immédiatement

Vous envoyez des ETH ou une autre cryptomonnaie native du réseau dans votre portefeuille pour payer les frais de transaction. En quelques secondes, les fonds partent vers une adresse inconnue. La même chose se reproduit au dépôt suivant.

C'est un comportement courant d'un bot de vidage (sweeper bot), un programme qui surveille un portefeuille exposé et récupère automatiquement les fonds disponibles. Après avoir exclu les automatismes que vous avez volontairement configurés, des retraits répétés de ce type constituent un signe fort d'accès non autorisé.

Le bot peut fonctionner sur l'ordinateur de l'attaquant. Fermer votre application de portefeuille ou redémarrer votre téléphone ne l'arrêtera pas. Certains bots laissent les petits soldes intacts jusqu'à l'arrivée d'un dépôt plus important. Des fonds qui restent immobiles ne prouvent donc pas que le portefeuille est sûr.

N'ajoutez pas continuellement des fonds pour les frais de gas et n'effectuez pas de dépôt test. Vous risquez simplement de financer l'attaquant.

3. Vous trouvez des autorisations de tokens ou de NFT inconnues

De nombreuses applications crypto demandent l'autorisation de dépenser un token. Ces autorisations peuvent rester actives longtemps après que vous avez cessé d'utiliser l'application.

Parmi les signes d'alerte figurent un bénéficiaire d'autorisation récemment ajouté que vous ne reconnaissez pas, un accès accordé après la visite d'un site suspect ou une limite de dépense très supérieure au montant nécessaire. Une autorisation liée à des NFT peut permettre à un opérateur de transférer tous les NFT d'une collection donnée que vous détenez.

Les autorisations illimitées sont courantes dans les applications légitimes et ne prouvent donc pas un piratage. L'essentiel est de savoir qui dispose de l'accès, quels actifs cette personne ou ce contrat peut déplacer et si vous aviez l'intention d'accorder cet accès.

Vérifiez le réseau, le véritable contrat du token, le bénéficiaire de l'autorisation et le montant. Déconnecter le site web de votre portefeuille n'annule pas une autorisation déjà enregistrée sur la blockchain.

4. Une prétendue demande de connexion accorde des droits de dépense

Vous consultez un site pour vous connecter, réclamer une récompense ou vérifier votre portefeuille. Le site vous demande une signature sans frais de transaction. La demande comprend un montant de tokens, un bénéficiaire d'autorisation ou un ordre de vente de NFT que vous n'aviez pas l'intention d'approuver.

Certaines signatures peuvent autoriser des dépenses sans transaction d'approbation distincte de votre part. Les mécanismes appelés Permit et Permit2, ainsi que les signatures d'ordres sur les places de marché, en sont des exemples. Les applications légitimes les utilisent, mais les escrocs peuvent les déguiser en simples étapes de connexion.

L'absence de frais de gas ne vous renseigne en rien sur la sécurité de la signature.

Autre piège : une autorisation signée mais non utilisée peut rester hors de la blockchain jusqu'à ce que quelqu'un la soumette. Votre historique habituel des transactions, et parfois même votre outil de vérification des autorisations, peuvent ne rien signaler alors que cette autorisation est toujours exploitable.

Si vous avez signé une demande suspecte, cessez toute interaction avec le site et examinez ce que la signature autorisait. La méthode d'annulation dépend du type d'autorisation. La révocation d'une approbation classique n'invalide pas toutes les signatures inutilisées.

5. Le portefeuille a un nouveau propriétaire ou une autorisation de contrôle inconnue

Certains portefeuilles disposent de plusieurs propriétaires, de contacts de récupération, de clés de signature temporaires ou de modules logiciels capables d'effectuer des opérations. On les appelle souvent portefeuilles intelligents (smart wallets) ou comptes intelligents (smart accounts).

Un propriétaire que vous n'avez jamais ajouté, une réduction du nombre de signatures requises, une méthode de récupération inconnue ou un nouveau module exigent une attention immédiate. Selon les pouvoirs accordés, ce changement peut permettre à quelqu'un de déplacer des fonds sans passer par votre procédure d'approbation habituelle.

Sur Ethereum et les réseaux compatibles, une fonctionnalité appelée EIP-7702 permet également à un portefeuille ordinaire d'autoriser du code à agir par l'intermédiaire de son adresse. Une autorisation malveillante peut créer un accès durable sans révéler votre phrase de récupération.

Un détail est facile à manquer : avec cette fonctionnalité, une délégation acceptée peut rester en place même si l'exécution de la transaction échoue. La mention « échec » ne signifie pas toujours que les paramètres de contrôle du portefeuille sont restés inchangés.

Vérifiez ces autorisations à l'aide des outils officiels du portefeuille. Révoquer uniquement les autorisations de tokens ne supprimera pas un propriétaire ou une délégation inconnus.

6. Votre phrase de récupération ou votre clé privée a été exposée

Vous avez saisi votre phrase sur un site web, l'avez envoyée à une personne prétendant appartenir au support ou l'avez importée dans une application de portefeuille qui s'est révélée frauduleuse. Vous pouvez aussi découvrir qu'une sauvegarde lisible était accessible via un compte cloud piraté ou un fichier partagé.

Considérez les comptes contrôlés par ce secret comme compromis, même si aucun fonds n'a encore bougé. Quelqu'un peut recréer le portefeuille ailleurs sans déclencher d'alerte de connexion dans votre application.

Changer le mot de passe de l'application de portefeuille ne modifie pas les clés privées exposées. Créer un autre compte à partir de la même phrase de récupération ne résout pas non plus le problème.

L'étendue de l'exposition compte. Une phrase de récupération divulguée peut compromettre de nombreux comptes. Une clé privée divulguée et importée séparément peut ne concerner que le compte qu'elle contrôle.

7. Votre application ou extension de portefeuille semble avoir été remplacée

Vous découvrez une extension que vous n'avez jamais installée, un faux téléchargement de portefeuille ou une alerte de sécurité signalant un logiciel qui vole des données de portefeuille. Votre portefeuille habituel peut aussi vous demander soudainement de le restaurer après un changement inexpliqué.

Une demande de restauration peut avoir une cause ordinaire, comme une réinstallation ou l'effacement des données de l'application. Elle justifie de vérifier le logiciel avant d'y saisir des informations secrètes, mais ne prouve pas à elle seule qu'un vol a eu lieu.

Vérifiez l'application depuis le site officiel du fournisseur du portefeuille et contrôlez l'identité de l'extension. Il est facile de copier un nom et un logo connus.

Si vous avez déjà saisi votre phrase de récupération dans un logiciel suspect, considérez-la comme exposée. Supprimer l'application n'efface pas la copie que l'attaquant possède déjà.

8. L'adresse du destinataire change lorsque vous la collez

Vous copiez l'adresse d'un destinataire, la collez dans votre portefeuille et obtenez une adresse différente. Un logiciel malveillant surveillant le presse-papiers peut remplacer des adresses crypto par celles d'un attaquant.

Cela indique un problème au niveau de l'appareil ou du logiciel. Cela ne signifie pas nécessairement que quelqu'un détient votre clé privée, mais l'appareil devient dangereux pour les transferts.

Les attaquants peuvent utiliser des adresses de remplacement qui ressemblent à l'originale. Vérifier uniquement les premiers et derniers caractères peut ne pas suffire à détecter la substitution. Comparez l'intégralité de l'adresse de destination avec une copie fiable. Avec un portefeuille matériel, vérifiez l'adresse sur l'écran de l'appareil avant d'approuver.

Annulez la transaction si les adresses diffèrent. Copier-coller plusieurs fois jusqu'à obtenir une adresse qui semble correcte ne résout pas le problème.

9. Des pertes inexpliquées touchent plusieurs comptes ou réseaux

La disparition d'un token peut résulter d'une autorisation de dépense particulière. Des transferts non autorisés sur plusieurs comptes dérivés de la même phrase de récupération font craindre une exposition plus large des clés.

Par exemple, des pertes sur deux réseaux accompagnées d'une activité sur un autre compte lié à la même phrase justifient une enquête plus approfondie. Vérifiez chaque compte et réseau concernés, au lieu de supposer que le problème se limite au premier token dont vous avez remarqué la disparition.

Ce schéma aide à cerner la cause, sans constituer une preuve définitive. Plusieurs autorisations malveillantes ou une autorisation de portefeuille valable sur plusieurs réseaux peuvent également provoquer des pertes étendues.

Le fait qu'une adresse de portefeuille soit identique sur différents réseaux de type Ethereum est normal et ne constitue pas, à lui seul, un signe d'alerte. Le signe inquiétant est l'activité inexpliquée sur ces comptes.

10. Votre compte de plateforme d'échange montre des accès ou retraits inconnus

Si vous conservez des cryptomonnaies sur une plateforme d'échange, recherchez les sessions inconnues, les modifications des informations de récupération, les nouvelles adresses de retrait ou les retraits que vous n'avez pas demandés. Les modifications non sollicitées de l'authentification à deux facteurs sont particulièrement graves.

Ouvrez vous-même l'application ou le site officiel pour vérifier l'alerte. Un courriel alarmant peut être une tentative d'hameçonnage. Une localisation inconnue peut aussi provenir d'un VPN ou d'un réseau mobile : examinez donc ensemble l'appareil, l'heure et les opérations effectuées sur le compte.

La prise de contrôle d'un compte de plateforme d'échange exige des mesures de sécurité propres à ce compte. Utilisez, si elle existe, la fonction de verrouillage du compte ou de restriction des retraits, contactez le support officiel et sécurisez votre messagerie ainsi que vos méthodes d'authentification.

Ces vérifications de connexion ne s'appliquent pas de la même manière à un portefeuille classique contrôlé par une phrase de récupération. Une personne possédant ses clés n'aura peut-être jamais besoin de se connecter à votre application.

Des activités inhabituelles qui ne prouvent pas un piratage

Plusieurs événements courants peuvent sembler inquiétants :

• Un solde plus faible en dollars : Le cours a peut-être baissé alors que vous possédez toujours le même nombre de cryptomonnaies.
• Des tokens absents de l'application : Vous avez peut-être choisi le mauvais compte ou réseau, masqué le token ou rencontré un problème d'affichage.
• Une sortie Bitcoin inconnue : Un paiement peut renvoyer les fonds restants à une nouvelle adresse de rendu de monnaie contrôlée par votre propre portefeuille.
• Un token ou NFT reçu sans l'avoir demandé : Le spam ne prouve pas, à lui seul, que vos clés ont été volées. Masquez cet actif au lieu de suivre ses liens ou de signer une transaction pour le supprimer.
• Des transferts minuscules ou nuls impliquant une adresse familière : Il peut s'agir d'un empoisonnement d'adresse (address poisoning) : les escrocs insèrent un destinataire ressemblant à un vrai dans votre historique pour que vous le copiiez plus tard.

Certains faux tokens copient le nom et le symbole d'un token authentique. Ils peuvent même créer de faux enregistrements de transferts sortants trompeurs. Vérifiez le véritable contrat du token et votre solde avant de considérer un enregistrement comme une preuve de vol.

Évitez de copier l'adresse d'un destinataire depuis l'activité récente. Obtenez-la auprès d'un destinataire vérifié ou dans un carnet d'adresses fiable.

Comment vérifier ce qui s'est réellement passé

Utilisez un explorateur de blockchain réputé pour le réseau concerné. Vous pouvez examiner une adresse publique sans connecter de portefeuille, payer de frais ni dévoiler de phrase de récupération.

Vérifiez les éléments suivants :

1. Le compte et le réseau : Assurez-vous d'examiner l'adresse qui détenait les actifs disparus.
2. Le statut de la transaction : Distinguez les opérations en attente des mouvements terminés. Pour les délégations de portefeuille, vérifiez aussi si les autorisations ont changé malgré un échec d'exécution.
3. L'actif réel : Vérifiez le contrat du token ou la collection de NFT, plutôt que de vous fier à son nom ou à son logo.
4. La variation du solde et la destination : Déterminez ce qui est parti et où. Examinez les transferts de tokens et de NFT ainsi que la liste principale des transactions.
5. Les autorisations précédentes : Recherchez les approbations, signatures ou changements de contrôle du portefeuille liés à la perte.

L'expéditeur de la transaction peut être le compte d'une autre personne si celle-ci se sert d'une autorisation de token pour prendre vos actifs. Cela ne rend pas le transfert inoffensif. De même, un enregistrement de token indiquant votre adresse comme source ne prouve pas que vous avez personnellement signé une transaction.

Si les données de la blockchain sont difficiles à interpréter, transmettez l'adresse publique et le hachage de la transaction au support vérifié du portefeuille. Ces informations peuvent faciliter l'enquête sans exposer vos clés.

Que faire si les signes d'alerte se confirment ?

Cessez les dépôts et les demandes de signature

Suspendez les dépôts dans le portefeuille concerné. Refusez toute nouvelle demande de signature, y compris les offres visant à le « réparer », le « valider » ou le « déverrouiller ». Cessez d'utiliser tout appareil potentiellement infecté et poursuivez sur un autre appareil fiable.

Si une phrase de récupération ou une clé privée a été divulguée

Pour un portefeuille classique contrôlé par le secret exposé, créez un nouveau portefeuille avec une phrase de récupération entièrement nouvelle sur un appareil fiable. Transférez les actifs restants si vous pouvez le faire sans risque, puis cessez d'utiliser les comptes concernés. Mettez à jour toutes les destinations de paiement qui y renvoient.

Si un bot de vidage est actif, n'ajoutez pas de fonds pour le gas dans l'ancien portefeuille. Sauver les actifs restants peut nécessiter des techniques spécialisées de traitement des transactions, sans garantie de réussite.

Si le problème vient d'une approbation ou d'une autorisation signée

Révoquez les autorisations concernées à l'aide d'un outil vérifié et confirmez que la révocation a bien été effectuée. Une approbation pour un token sur un réseau ne s'applique pas automatiquement aux autres réseaux.

Pour une signature suspecte qui n'a pas encore été utilisée, suivez la procédure d'annulation propre au portefeuille ou au protocole. Il peut être nécessaire de déplacer les actifs pendant que vous déterminez si l'autorisation reste utilisable.

Une révocation ne peut pas restituer les actifs déjà volés. Elle ne peut pas non plus sécuriser un portefeuille dont les clés ont été divulguées.

Si les paramètres de contrôle du portefeuille ont changé

Utilisez la procédure officielle de récupération ou de gestion des autorisations du portefeuille pour supprimer les propriétaires, modules, clés de signature ou délégations non autorisés. Si la clé d'un propriétaire a été divulguée, remplacez ce signataire lorsque le portefeuille le permet. Demandez des instructions propres au fournisseur avant de considérer le compte à nouveau sécurisé.

Si un compte de plateforme d'échange a été consulté sans autorisation

Verrouillez le compte ou limitez les retraits via la procédure officielle du fournisseur. Depuis un appareil fiable, sécurisez votre messagerie, changez les mots de passe concernés, supprimez les sessions inconnues et vérifiez les informations de récupération et l'authentification à deux facteurs.

Conservez les preuves et signalez la perte

Conservez les hachages des transactions, les adresses publiques, les horodatages, les URL suspectes et les messages pertinents tout en protégeant les fonds restants. Signalez l'incident au fournisseur du portefeuille ou à la plateforme d'échange, ainsi qu'aux autorités compétentes.

Les transferts confirmés sur la blockchain ne peuvent généralement pas être annulés par le support d'un portefeuille. Une récupération peut dépendre du gel des fonds par une plateforme d'échange, d'une enquête ou de la restitution des fonds. Méfiez-vous de toute personne promettant une récupération garantie, surtout si elle demande un paiement anticipé ou votre phrase de récupération.