Phishing crypto : les drainers ont dérobé près de 84 millions de dollars en 2025

On reconnaît le phishing crypto à trois éléments : quelqu’un se fait passer pour une plateforme d’échange, un fournisseur de portefeuille ou une autorité, il vous met sous pression, et il finit par réclamer votre phrase de récupération, votre mot de passe ou une signature dans votre portefeuille. Aucun prestataire sérieux ne la demande jamais, ni par e-mail, ni au téléphone, ni sur un site. Retenir cette règle suffit à déjouer l’essentiel des attaques.

Le phénomène n’a rien de marginal. Selon le rapport annuel du service de sécurité Scam Sniffer, les « wallet drainers » ont dérobé en 2025 environ 83,85 millions de dollars à 106 106 victimes. C’est 83 % de moins qu’en 2024 (près de 494 millions de dollars), mais les attaquants ont changé de tactique : beaucoup de petits montants plutôt que quelques gros coups. Conserver soi-même ses cryptos, par exemple sur un appareil de notre comparatif des portefeuilles matériels, protège contre le piratage des plateformes. Contre l’hameçonnage, seule votre méfiance protège, car la victime ouvre elle-même l’accès.

Ce guide présente les escroqueries crypto par phishing les plus répandues, les signaux d’alerte dans les e-mails, appels et mises à jour, et que faire si vous avez déjà saisi votre phrase de récupération.

Qu’est-ce que le phishing crypto ? Une fraude sous une identité d’emprunt

Le phishing, ou hameçonnage, est une fraude dans laquelle des criminels se font passer pour un expéditeur de confiance pour obtenir des identifiants ou de l’argent. Le mot joue sur l’anglais « fishing », la pêche : l’appât paraît vrai, mais c’est votre accès qui est visé. Avec les cryptos, le préjudice est le plus souvent définitif, car une transaction sur la blockchain est irréversible. Une banque peut, dans certains cas, récupérer un virement. Pour le bitcoin, l’ether ou les stablecoins, cette instance n’existe pas.

Les escrocs visent trois types d’accès :

• La phrase de récupération : les 12 ou 24 mots qui permettent de restaurer n’importe quel portefeuille. Qui les connaît possède les cryptos.
• La signature : une autorisation dans votre portefeuille qui permet à un smart contract de prélever des jetons sur votre adresse.
• Le compte sur la plateforme : e-mail, mot de passe et code de double authentification, qui permettent aux attaquants de se connecter et de déclencher un retrait.

Rien n’est piraté sur le réseau Bitcoin ni sur une autre blockchain. La blockchain fonctionne normalement : elle exécute ce qu’une signature valide ordonne. C’est précisément ce qui rend le phishing si efficace : l’attaque vise l’humain, et non la technique.

Phishing crypto par wallet drainers et signatures permit : où les pertes ont été les plus lourdes en 2025

Un wallet drainer est un logiciel d’escroquerie clés en main que les criminels louent et intègrent à de faux sites. Connectez-y votre portefeuille et validez la demande, et le script vide tous les jetons autorisés. Ces sites imitent fidèlement de vrais airdrops, projets NFT ou plateformes DeFi.

Scam Sniffer a détaillé quelles signatures ont coûté le plus cher en 2025. Le plus gros cas isolé, en septembre, a coûté 6,5 millions de dollars et reposait sur une signature dite permit. Permit est une fonction des jetons sur Ethereum et les réseaux compatibles qui accorde une autorisation de dépense par simple signature, sans transaction visible sur la blockchain. Onze cas ont dépassé 1 million de dollars en 2025, pour un total de 22,98 millions. Dont trois cas permit pour 8,72 millions de dollars et deux via le nouveau format Ethereum EIP-7702, qui autorise les validations groupées depuis la mise à niveau Pectra.

Le trimestre le plus coûteux a été le troisième, avec 31,04 millions de dollars, le plus calme le quatrième, avec 13,09 millions. Au quatrième trimestre, chaque victime a perdu en moyenne 580 dollars. Ces chiffres ne couvrent que les drainers sur des sites de phishing. Les phrases volées via un faux support ou par téléphone n’y figurent pas, le préjudice réel est donc plus élevé.

Concrètement, une demande qui mentionne « Permit », « Approve », « setApprovalForAll » ou une quantité illimitée de jetons constitue un signal d’alerte sur un site inconnu. Ne validez rien que vous ne compreniez mot pour mot. Le phishing par signature sur les portefeuilles DeFi est détaillé dans notre guide du 13 novembre consacré au portefeuille DeFi.

E-mails de phishing des plateformes et fournisseurs de portefeuilles : les signaux d’alerte du BSI

L’e-mail de phishing reste le grand classique. Selon le rapport fédéral allemand sur la cybercriminalité 2025, le centre de consommateurs de Rhénanie-du-Nord-Westphalie a recensé l’an dernier 382 470 e-mails de phishing en Allemagne, environ 10 % de moins que l’année précédente. Plateformes crypto et fabricants de portefeuilles sont des cibles prisées, car leurs clients détiennent des actifs monnayables sur-le-champ.

L’Office fédéral allemand de la sécurité des technologies de l’information (BSI) cite des signaux d’alerte typiques, directement transposables aux e-mails liés aux cryptos :

• Le texte invoque une urgence, comme un prétendu blocage du compte ou un problème de sécurité.
• L’e-mail menace de conséquences si vous ne réagissez pas.
• Le message vous invite à saisir des données confidentielles ou à cliquer sur un lien.
• La demande paraît inhabituelle pour l’expéditeur, par exemple quand un fabricant de portefeuilles vous demande de « vérifier » vos mots.
• Derrière le nom d’expéditeur affiché se cache une autre adresse e-mail.

Deux vieilles règles empiriques ne tiennent plus. Une langue sans faute ne prouve rien, car avec l’IA les fraudeurs écrivent plus proprement qu’autrefois. Et selon le BSI, un « https:// » dans la barre d’adresse ne garantit rien, puisque n’importe quel site de phishing peut obtenir un tel certificat. Regardez plutôt le domaine exact : des chiffres inhabituels, des tirets ou des extensions comme .cam ou .support derrière un nom de marque connu sont un signal d’alerte net. Exemple récent : le faux site évoqué dans notre article sur l’hameçonnage visant Trust Wallet.

Faux support au téléphone : aucun fournisseur de portefeuille n’appelle pour votre phrase de récupération

La deuxième grande arnaque est le faux support. Un prétendu agent du support vous contacte par téléphone, messagerie ou message privé sur les réseaux sociaux, après que vous avez exposé un problème en public, ou sans raison. Il paraît compétent, connaît parfois votre nom et votre commande grâce à une ancienne fuite, et presse de « sécuriser » vos cryptos.

Sur sa page d’avertissement consacrée aux campagnes de phishing, Ledger écrit explicitement que l’entreprise ne contacte jamais ses utilisateurs par SMS ou par appel téléphonique et n’envoie pas non plus de messages privés sur les réseaux sociaux. En cas d’appel, Ledger recommande de raccrocher aussitôt et d’ignorer toute nouvelle tentative. Il en va de même pour toute plateforme ou tout fournisseur sérieux : c’est vous qui prenez contact, via l’application officielle ou le site dont vous saisissez vous-même l’adresse.

Les phrases typiques du faux support sont : « Votre compte a été compromis, nous devons transférer les cryptos vers une adresse sûre » ou « Pour confirmer, lisez-moi les premiers mots de votre phrase ». Aucune plateforme ne vous demande d’envoyer des cryptos vers une nouvelle adresse dictée au téléphone. En septembre, un guide distinct a résumé comment les criminels exploitent les données clients issues de fuites pour ces appels et e-mails.

Fausses mises à jour de firmware et fausses applications : le phishing crypto vise les portefeuilles matériels

Les portefeuilles matériels passent pour le mode de conservation le plus sûr, d’où l’intérêt des fraudeurs pour leurs propriétaires. Un e-mail ou une fenêtre surgissante annonce une mise à jour urgente du firmware et renvoie vers une fausse page de téléchargement. Le faux logiciel demande alors la phrase de récupération, soi-disant pour reconfigurer le portefeuille après la mise à jour.

Ledger précise que l’entreprise n’envoie aucun e-mail invitant les utilisateurs à installer une mise à jour du firmware, à activer la double authentification ou à effectuer des démarches similaires. Le fabricant met aussi en garde contre de fausses versions de son application Ledger Wallet (ex-Ledger Live), très convaincantes au premier abord. La société de sécurité SlowMist a signalé en octobre un exemple de ces sites dotés d’un faux contrôle d’authenticité, que nous avons relaté dans notre article sur les fausses mises à jour Ledger.

La règle est simple : les mises à jour du firmware passent exclusivement par l’application officielle du fabricant, installée depuis la boutique d’applications officielle ou depuis le site du fabricant dont vous avez tapé vous-même l’adresse. Selon Ledger, la phrase de récupération ne se saisit nulle part ailleurs que directement sur l’appareil. Tout programme sur ordinateur ou smartphone qui réclame les mots est une tentative d’escroquerie.

Phishing crypto par courrier et QR code : la poste, nouveau canal des fraudeurs

Les escrocs utilisent désormais aussi le courrier postal. Des détenteurs de portefeuilles matériels reçoivent, sur faux papier à en-tête, des lettres annonçant un contrôle obligatoire ou une mise à jour de sécurité. Un QR code imprimé mène à un site de phishing qui demande la phrase de récupération. Sur sa page d’avertissement, Ledger mentionne explicitement les courriers papier invitant à scanner un QR code ou à se rendre sur un site.

La lettre paraît plus crédible qu’un e-mail, car nom et adresse sont exacts. Ces données viennent souvent d’anciennes fuites chez des commerçants et prestataires. Nous avons décrit le déroulement d’une telle campagne dans notre guide sur l’hameçonnage par courrier. Une lettre qui vous demande de saisir vos mots sur un site est toujours une escroquerie, quels que soient l’expéditeur et l’en-tête.

Pig butchering et arnaque à la récupération : quand la fraude à l’investissement crypto rejoint le phishing

Toutes les tromperies ne visent pas d’emblée la phrase. Avec le pig butchering (littéralement « abattage du cochon »), les escrocs gagnent votre confiance pendant des semaines, souvent via des applications de rencontre, des messageries ou de prétendus messages envoyés par erreur. Ils recommandent ensuite une plateforme de trading d’apparence sérieuse, qui affiche des gains puis exige des frais ou des « impôts » au retrait. Cette fraude à l’investissement crypto use des mêmes outils que le phishing : faux sites, fausses identités et pression du temps.

L’arnaque à la récupération est particulièrement perverse : les personnes qui ont déjà perdu de l’argent reçoivent des offres de prétendus services de récupération ou d’autorités de contrôle, qui promettent de rapatrier les fonds et réclament en échange des données personnelles. Certains de ces faux sauveteurs appellent aussi directement leurs victimes. Les véritables autorités n’exigent jamais de frais préalables ni d’identifiants pour récupérer des cryptoactifs.

Vous pouvez vérifier vous-même si un prestataire dispose d’un agrément dans le registre de l’Autorité européenne des marchés financiers, l’ESMA. Depuis le règlement MiCA, les prestataires de services sur cryptoactifs ont besoin d’une licence dans l’UE ; les détails figurent dans notre présentation de la licence MiCA. Une plateforme absente de tout registre est à proscrire.

Vérifier le domaine et utiliser des favoris : se protéger du phishing crypto

La meilleure protection tient à des habitudes prises une fois pour toutes. D’abord, le chemin d’accès : n’ouvrez plateformes, portefeuilles et applications DeFi que par un favori créé vous-même ou par l’application officielle, jamais par un lien reçu par e-mail, une annonce dans un moteur de recherche ou un message.

• Double authentification par application ou clé de sécurité : les codes SMS peuvent être interceptés via un numéro de téléphone détourné. Une application d’authentification ou une clé matérielle est plus robuste.
• Code anti-phishing sur la plateforme : de nombreuses plateformes permettent de définir un code personnel qui figure dans chaque e-mail authentique. S’il manque, l’e-mail ne vient pas de la plateforme.
• Liste blanche de retraits : indiquez que les retraits ne peuvent aller que vers des adresses confirmées à l’avance. Même munis de votre mot de passe, les attaquants ne peuvent alors pas retirer ailleurs.
• Portefeuilles séparés : gardez un petit portefeuille pour tester de nouveaux sites DeFi et des airdrops, et conservez l’essentiel à part sur un portefeuille matériel jamais connecté à des sites inconnus.
• Révoquer régulièrement les autorisations : les anciennes autorisations de jetons restent actives tant que vous ne les retirez pas. Explorateurs de blocs et applications de portefeuille affichent celles qui restent ouvertes.
• Comparer les adresses en entier : avec l’empoisonnement d’adresse, les fraudeurs envoient des montants infimes depuis une adresse qui ressemble au début et à la fin à votre véritable adresse de destination. Copier l’adresse depuis l’historique envoie l’argent au mauvais destinataire.

Sur smartphone, privilégiez un portefeuille logiciel avec alerte contre les sites de phishing connus et aperçu des transactions. Notre comparatif des portefeuilles logiciels indique quelles applications le proposent.

Phrase de récupération divulguée après un phishing : les premières heures

Si vous avez saisi vos mots sur un site tiers ou les avez communiqués à un interlocuteur au téléphone, chaque minute compte. Les fraudeurs vident souvent les portefeuilles automatiquement, parfois après des heures ou des jours, pour attendre d’autres dépôts. L’ordre suivant est alors pertinent :

1. Créer un nouveau portefeuille : configurez sur un appareil sain un nouveau portefeuille avec une nouvelle phrase de récupération. Sur un portefeuille matériel, vous réinitialisez l’appareil et générez de nouveaux mots.
2. Transférer immédiatement le reste : virez tout ce qui reste vers la nouvelle adresse. L’ancienne phrase est grillée et ne sera plus jamais utilisée.
3. Révoquer les autorisations : si vous avez validé une signature sur un site drainer sans divulguer la phrase, révoquez l’autorisation dans l’explorateur de blocs. Cela coûte de modestes frais de réseau.
4. Sécuriser les comptes sur les plateformes : changez mot de passe et réglages de double authentification, déconnectez-vous partout et informez le support de la plateforme via son site officiel.
5. Conserver les preuves : enregistrez e-mails, conversations, adresse du site de phishing et identifiants de transaction.

Rien ne garantit de récupérer des cryptos volées. Les gros montants aboutissent toutefois souvent sur des plateformes capables de geler des comptes à la demande des enquêteurs. Plus vite les identifiants de transaction sont disponibles, meilleures sont les chances.

Signaler un phishing crypto : police, association de consommateurs et preuves

Après une escroquerie crypto, vous portez plainte auprès de la police ; dans tous les Länder allemands, c’est aussi possible via le commissariat en ligne. Selon le rapport fédéral, la police a enregistré en 2025 environ 334 000 cas de cybercriminalité, et le chiffre noir est nettement plus élevé. Chaque plainte aide à repérer des schémas et à bloquer les comptes des auteurs.

Les e-mails suspects sans préjudice peuvent être transférés au radar anti-phishing du centre de consommateurs de Rhénanie-du-Nord-Westphalie (phishing@verbraucherzentrale.nrw), qui publie aussi des alertes sur les campagnes en cours. En cas de préjudice important, un avocat spécialisé en droit des marchés financiers peut examiner si une plateforme ou une banque impliquée est responsable. Les cabinets sérieux ne promettent aucun taux de récupération à l’avance.

Si vous avez repéré un e-mail de phishing ou un appel frauduleux sans rien saisir, l’affaire est simple : supprimer, ne pas répondre, n’ouvrir aucun lien. Une réponse ne fait que confirmer aux fraudeurs que l’adresse est active.

Phishing crypto : la phrase de récupération n’a jamais sa place dans un formulaire

Presque toutes les escroqueries crypto par phishing aboutissent au même point : quelqu’un veut vos mots, votre mot de passe ou votre signature. Trois mesures font de vous une cible nettement plus difficile :

1. Séparer la conservation : placez l’essentiel de vos cryptos sur un portefeuille matériel jamais connecté à des sites inconnus. Les appareils dotés de leur propre écran figurent dans le comparatif des portefeuilles matériels.
2. Choisir un portefeuille du quotidien doté de protections : pour les petits montants et la DeFi, une application avec aperçu des transactions et alerte anti-phishing convient. Le comparatif des portefeuilles logiciels montre les différences.
3. N’opérer que sur des plateformes agréées : une plateforme titulaire d’une licence MiCA est soumise à une supervision, et beaucoup proposent en plus un code anti-phishing et une liste blanche de retraits. Le comparatif des plateformes crypto réglementées indique quels prestataires sont agréés.

(Au 14 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)