Un simple appel, 243 millions de dollars envolés

Je vais vous raconter une histoire qui devrait faire réfléchir n’importe quel détenteur de cryptos. Une baleine, qui pensait avoir tout sécurisé, a vu son solde passer à zéro en quinze minutes. Elle n’a pas été victime d’un piratage de wallet, ni d’une attaque à 51 % sur Bitcoin. La cause est bien plus banale : un appel d’un faux support Google.

Pendant l’appel, la victime regardait son écran sans pouvoir bouger la souris. On lui avait expliqué qu’un contrôle de sécurité était en cours avec l’équipe Google. Quinze minutes plus tard, le compte était vide. Vous trouvez peut-être cela idiot. Beaucoup se disent : « Je ne serais jamais tombé dans le panneau. » Ne soyez pas si sûr de vous.

Les trois étapes d’un braquage psychologique

ZachXBT, analyste on-chain spécialisé dans le renseignement, parle d’un basculement : les hackers passent de l’exploitation de code à l’exploitation de l’humain. Voici comment ils ont procédé, étape par étape.

  • Première étape : tout savoir sur la cible. Les hackers n’ont pas pêché au hasard. Ils ont récupéré la liste des créanciers de Genesis, une entreprise qui a fait faillite. Ces données, issues du dark web et de la blockchain, reliaient des adresses de wallet à de vrais noms, numéros de téléphone et montants de créance. Ils connaissaient exactement la somme détenue par la victime.
  • Deuxième étape : se faire passer pour Google. Dans le milieu crypto, nous nous méfions des appels d’exchanges comme Binance ou Coinbase. Mais Google, non. Google est la base de notre vie numérique. Quand une voix vous annonce que votre compte Google va être bloqué, votre instinct est de corriger le problème immédiatement.
  • Troisième étape : l’autorisation fatale. En pleine panique, la victime a installé un logiciel de bureau à distance, type AnyDesk. Installer un tel logiciel sur un appareil qui gère de l’argent, c’est comme remettre les clés de sa maison à un cambrioleur. Une fois le logiciel en place, les hackers n’ont même plus besoin des clés privées. Ils contrôlent la souris, agissent depuis votre propre adresse IP, et transfèrent tout ce qui se trouve sur l’exchange. Le système de risque ne détecte rien, car tout semble venir de vous.

Une criminalité industrialisée

Ces hackers ne sont pas des voleurs isolés. Ils appartiennent à un groupe criminel très organisé, appelé le Com. Ils vendent même leurs outils d’arnaque sous forme de services SaaS. C’est une véritable récolte industrialisée.

Et si l’arnaque téléphonique vous semble déjà retorse, ce qui suit relève carrément du vol à main armée.

L’attaque à la clé à 5 dollars

Vous avez sans doute entendu parler de la faille de la clé à 5 dollars. Cracker un cold wallet avec un chiffrement de niveau militaire coûte une fortune. Mais une clé à molette achetée en quincaillerie coûte 5 dollars. Ils vous attachent, vous frappent, et vous forcent à révéler votre mot de passe. Faible coût, taux de succès élevé.

Début 2025, le cofondateur de Ledger, l’entreprise qui fabrique des cold wallets, a été kidnappé en France. Il a même eu un doigt coupé pour demander une rançon. Chris Larsen, cofondateur de Ripple, s’est fait voler plus de 100 millions de dollars depuis son wallet personnel. Comment les hackers savent-ils où vivent ces personnes ? À cause des fuites de données, encore et encore.

Vous avez acheté un Ledger avec votre email ? La base de données a fuité, y compris votre adresse de livraison. Vous avez affiché votre Bored Ape sur Twitter ? Les hackers recoupent les informations : adresse de wallet on-chain, adresse physique, publications sur les réseaux sociaux. À leurs yeux, vous n’êtes pas un crypto punk, vous êtes un mouton gras prêt pour l’abattoir. Ils utilisent même l’OSINT pour compter le nombre de caméras devant votre porte.

Un système de survie anti-nature humaine

Je ne dis pas tout cela pour vous faire peur et vous éloigner du jeu, mais pour vous apprendre un système de survie adapté aux attaques ciblées sur l’humain. Les antivirus traditionnels ne servent à rien ici. Il faut graver trois réflexes dans vos os.

  • Devenez un homme gris, physiquement invisible. Ne faites jamais livrer un hardware wallet à votre domicile. Utilisez une boîte postale ou un point relais. Coupez le lien physique entre votre argent et votre maison. Ne laissez pas de miettes de pain aux voleurs.
  • Établissez un code secret avec votre famille. L’IA peut cloner une voix à la perfection. Si vous recevez un appel d’un proche en pleurs, qui a besoin d’argent immédiatement et vous demande de débloquer le wallet multisig, vérifiez d’abord le code. S’il ne correspond pas, raccrochez. Aussi réel que cela paraisse, c’est une arnaque à l’IA.
  • Pour les gros montants, utilisez un multisig. Avec un couteau sous la gorge, un wallet à signature unique vous met dans un piège : donner l’argent ou mourir. Un wallet multisig vous permet de dire honnêtement que les clés sont réparties en trois endroits différents, et que vous ne pouvez pas les réunir sur-le-champ. C’est un fait physique immuable, qui peut vous sauver la vie.

Vos clés, votre vie

La liberté du Web3 a un prix. Vos clés, votre vie. Ne laissez pas un faux appel de support déclencher un cauchemar. Préparez-vous à ce qui peut arriver un jour.

J’espère que cette histoire vous aura ouvert les yeux. La prochaine fois que vous recevrez un appel suspect, souvenez-vous : la première ligne de défense, c’est vous.