Sécurité et wallets · 6 min · démo interactive

Repère la transaction de phishing

Q: Quel champ regarder en priorité dans un approve ?

L'adresse du spender et le montant. La page peut mentir. Le spender et le montant sont ce qui sera réellement écrit dans le contrat du token.

Q: Ton wallet montre une longue suite hexadécimale illisible à signer. Que fais-tu ?

Tu refuses. Une signature illisible peut correspondre à n'importe quelle opération. Si tu ne peux pas la lire, tu ne la signes pas.

Le phishing crypto ne vole pas ton mot de passe, il te fait signer. Lis dix demandes fictives et décide : tu signes ou tu refuses ?

L’idée en une phrase

Le phishing crypto te pousse à signer toi-même l'opération qui te vole, en te cachant ce qu'elle fait vraiment.

Une blockchain ne connaît ni l'erreur ni le service client. Une signature valide est exécutée, que tu aies compris ou non. L'attaquant n'a donc pas besoin de casser la cryptographie. Il lui suffit de construire une page crédible, de créer l'urgence, et d'attendre ton clic.

La démo

1 / 10scénario

0bonnes réponses

Un site annonce un airdrop gratuit pour les premiers inscrits. Le bouton « Réclamer » ouvre cette demande.

Site : airdrop-lunaire.example Type : transaction Fonction : claim() Vers : 0xBADC0DE0…77A1 (non vérifié) Valeur envoyée : 0,35 ETH

Lis les champs, puis décide.

Sans JavaScript, voici le premier cas. Un site promet un airdrop gratuit, mais la transaction « claim » envoie 0,35 ETH vers un contrat non vérifié. Une distribution gratuite qui demande de payer est une arnaque. Tous les sites, tokens et adresses de ce quiz sont inventés, et les adresses sont volontairement tronquées. Aucun lien n'y est cliquable, aucune signature n'est demandée.

Intégrer cette démo

Copie ce code sur ton site, ton cours ou ton blog. La démo reste gratuite ; garde simplement le lien vers protocole.org.

<iframe src="https://protocole.org/embed/phishing-crypto/" width="100%" height="560" loading="lazy" title="Quiz « repère l'arnaque » en dix signatures — protocole.org"></iframe>

Pourquoi ça compte

Un samedi soir, un message annonce que ton adresse a droit à une distribution de tokens, valable 24 heures. Le site paraît sérieux. Tu connectes ton wallet, tu cliques sur « Réclamer », tu vois une fenêtre pleine de termes techniques. Tu confirmes, parce que tu as déjà confirmé cent fenêtres identiques. Trente secondes plus tard, ton solde est à zéro.

La connexion, elle, n'a rien fait de grave : connecter un wallet montre seulement ton adresse publique. Le vol tient à la signature suivante. Apprendre à lire cette fenêtre vaut plus que n'importe quel logiciel, parce qu'elle est le dernier point de contrôle avant l'irréversible. Tout ce qui précède, y compris une page parfaite, peut être faux.

Le code

Un wallet peut lire ce que tu vas signer : les quatre premiers octets des données d'une transaction désignent la fonction appelée. Ce petit décodeur en fait la démonstration. Colle une autre valeur dans tx, ou change le montant, et relance.

Code JavaScript modifiable

const FONCTIONS = {
  a9059cbb: { nom: 'transfer', risque: 'envoie des tokens' },
  '095ea7b3': { nom: 'approve', risque: 'autorise un dépensier' },
  a22cb465: { nom: 'setApprovalForAll', risque: 'autorise toute une collection' },
};
const MAX = 2n ** 256n - 1n;

function decoder(data) {
  const hex = data.replace(/^0x/, '');
  const selecteur = hex.slice(0, 8);
  const f = FONCTIONS[selecteur];
  if (!f) return { nom: 'inconnue', alerte: 'Refuse : fonction illisible.' };

// Chaque argument occupe 32 octets, soit 64 caractères hexadécimaux
  const args = hex.slice(8).match(/.{64}/g) ?? [];
  const adresse = '0x' + args[0].slice(24);
  const valeur = BigInt('0x' + args[1]);

let alerte = f.risque;
  if (f.nom === 'approve' && valeur === MAX) alerte = 'DANGER : autorisation illimitée';
  if (f.nom === 'setApprovalForAll' && valeur === 1n) alerte = 'DANGER : collection entière';
  return { nom: f.nom, adresse, valeur, alerte };
}

// Adresses inventées, encodées sur 32 octets
const adr = 'badc0de0'.repeat(5).padStart(64, '0');
const val = n => n.toString(16).padStart(64, '0');

const exemples = {
  'approve illimité': '0x095ea7b3' + adr + val(MAX),
  'approve exact': '0x095ea7b3' + adr + val(50n),
  'toute la collection': '0xa22cb465' + adr + val(1n),
  'fonction inconnue': '0xdeadbeef' + adr,
};

for (const [nom, tx] of Object.entries(exemples)) {
  const d = decoder(tx);
  console.log(nom, '->', d.nom, '|', d.alerte);
}

Clique sur Lancer pour exécuter ce code dans ton navigateur.

Ce qui se passe vraiment

Le quiz repose sur quatre questions, toujours les mêmes. Reprends-les pour chaque scénario.

Qui a lancé l'action ? Une demande qui découle de ce que tu viens de faire, dans un onglet ouvert depuis ton marque-page, n'a pas le même statut qu'un lien reçu dans un message. Les arnaques du quiz commencent presque toutes par une sollicitation entrante.

Quel type de signature ? Un transfert simple déplace un montant visible. Un approve ou un setApprovalForAll donne un droit durable. Un Permit crée le même droit par une signature hors chaîne, sans gas. Une signature brute d'un hash ne te montre rien du tout. Le premier cas expose ce que tu vois, les suivants exposent davantage, et le dernier se refuse d'office.

Quel bénéficiaire ? Le champ qui compte est spender ou operator. Une adresse jamais vue, sur un site découvert il y a cinq minutes, doit te stopper. Le nom affiché par la page ne prouve rien, tout le monde peut l'écrire.

Quelle portée ? Le nombre 115792089237316195423570985… est le début de 2^256 − 1, la valeur maximale. Un montant exact et une échéance proche limitent la casse. Une autorisation illimitée sur vingt ans la maximise.

Le scénario de l'empoisonnement d'adresse est différent : aucun contrat à lire, seulement une erreur d'inattention provoquée. L'attaquant fabrique une adresse dont le début et la fin ressemblent à la tienne, puis t'envoie 0 token pour apparaître dans ton historique. Les wallets abrègent les adresses, ce qui rend le piège efficace. La démo affiche volontairement les parties qui diffèrent.

La démo simplifie : un vrai wallet n'affiche pas toujours ces champs aussi proprement, et certains n'ont que des octets à montrer. Trois scénarios sur dix sont légitimes, car refuser par réflexe n'est pas une compétence. Le but est de savoir lire.

Dans la vraie vie

Le texte de ces fenêtres varie selon les wallets, mais la structure est stable. Les automatismes ci-dessous valent pour toutes les interfaces.

Passe par ton propre chemin. Ouvre un service depuis ton marque-page, jamais depuis un lien reçu, une publicité ou un résultat sponsorisé.
Traite l'urgence comme un signal d'alarme. « Offre valable 24 heures », « compte bloqué », « dernier avertissement » sont là pour te faire sauter la lecture.
Lis le montant et le bénéficiaire. Si l'écran est illisible, la réponse est non. Un wallet matériel affiche ce que tu signes, à condition de regarder son écran et de pouvoir décoder ce qu'il montre.
Sépare tes usages. Un wallet quasi vide pour tester des sites inconnus, un autre pour ce que tu gardes. Une signature piégée ne peut toucher que le compte qui signe.
Après une erreur, agis vite. Révoque les autorisations concernées et, si tu as saisi ta seed phrase, considère le wallet comme perdu : transfère ce qui reste vers un wallet neuf.

Le dernier recours n'existe pas. Une transaction validée ne s'annule pas, et personne ne peut la défaire pour toi. Méfie-toi aussi des services de « récupération » qui te contactent après un vol : c'est une seconde arnaque, qui vise les victimes de la première.

Ce qui peut mal tourner

Le faux airdrop. Une distribution inventée, qui demande un paiement ou une autorisation pour « réclamer ». Les vrais airdrops ne te sollicitent pas par message privé.
Le Permit sans gas. Une signature hors chaîne qui crée une autorisation. Elle n'apparaît pas dans ton historique avant d'être utilisée, ce qui la rend discrète.
Le setApprovalForAll déguisé. Présenté comme une étape de mise en vente, il livre toute une collection de NFT.
La signature à l'aveugle. Un hash brut peut représenter n'importe quelle transaction. Des incidents de grande ampleur, comme le cas Bybit, reposent sur le même écart entre ce qu'on voit et ce qu'on signe.
Le faux support. Un compte serviable en message privé réclame ta seed phrase ou te fait installer un logiciel. Aucun service sérieux ne demande cela.
L'empoisonnement d'adresse. Une adresse sosie se glisse dans ton historique. Une copie rapide suffit à envoyer les fonds au mauvais endroit, sans retour.
Le token offert. Il apparaît sans demande dans ton wallet, et t'entraîne vers un site piégé quand tu essaies de le vendre.
La fausse application. Une extension ou une application imitant un wallet récupère ta seed phrase dès la saisie. Vérifie la source avant l'installation, pas après.

Teste-toi

1. Une signature ne coûte pas de gas. Que peut-on en conclure ? Elle est sans danger Rien : un Permit sans gas peut créer une autorisation illimitée Elle sera annulée automatiquement

2. Quel champ regarder en priorité dans un approve ? Le nom de la page La couleur du bouton L'adresse du spender et le montant

3. Ton wallet montre une longue suite hexadécimale illisible à signer. Que fais-tu ? Tu refuses Tu signes si le site paraît sérieux Tu signes un petit montant d'abord

Contenu éducatif. Pas un conseil en investissement. Les crypto-actifs comportent un risque de perte en capital. Pour la démarche éditoriale, voir à propos. Mise à jour : 31 octobre 2026.