1. La fausse application Ledger Live et la demande de seed phrase

Imaginez : vous n'avez pas ouvert Ledger Live depuis trois mois. Vous le lancez enfin, et la première chose qui apparaît est une demande de votre phrase de récupération de 24 ou 12 mots. Pour beaucoup, cela semble normal, presque une formalité de mise à jour. C'est pourtant l'un des pièges les plus coûteux du moment.

En avril dernier, une fausse application se faisant passer pour Ledger Live est restée deux semaines sur l'App Store d'Apple. Icône identique, interface identique, même rythme de mises à jour. Résultat : 50 utilisateurs ont perdu environ 9,5 millions de dollars, dont trois pertes supérieures à un million chacune. Le mécanisme est simple : l'application remplace discrètement la vraie, puis affiche une fenêtre « vérification requise » pour voler la seed phrase.

  • Ne saisissez jamais votre phrase de récupération dans une application ou un site, quelle que soit la raison invoquée.
  • Un logiciel légitime ne vous demandera jamais votre seed phrase complète — ni sur ordinateur, ni sur téléphone.

2. L'attaque à la clé à molette (wrench attack)

Ce piège ne se passe pas sur un écran, mais à votre porte. Rien que sur le premier semestre de cette année, les cas où une personne a été confrontée physiquement et forcée de remettre ses actifs représentent plus de 30 millions de dollars de pertes. Et encore, ce chiffre ne compte que les attaques réussies ; en ajoutant les tentatives déjouées, le total réel est plus de trois fois supérieur.

La raison est simple : les données on-chain sont publiques. N'importe qui peut repérer les grosses positions, les croiser avec des bases de données ayant fuité, puis venir vous trouver en personne. J'ai un ami dans ce milieu, la plupart sont français d'ailleurs. L'an dernier, lors d'un événement, un inconnu l'a abordé en l'appelant par son vrai nom et lui a demandé de l'argent, car il savait combien il détenait. Rien de grave au final, mais cette sensation d'être reconnu à vue l'a marqué durablement.

  • Ne parlez jamais de vos avoirs en public.
  • Conservez les gros montants en multi-signature et répartissez-les physiquement.
  • Certains portefeuilles matériels proposent un code « poignet » pour ouvrir un faux compte à faible solde sous la contrainte.
  • Utilisez une boîte postale et ne donnez pas vos vraies données personnelles aux entreprises.

3. Le faux support Trezor

Le 10 janvier dernier, à 23 heures, quelqu'un a reçu un message d'un prétendu support officiel Trezor. La personne se présentait comme le service client et affirmait que le compte nécessitait une vérification. Vingt minutes plus tard, le portefeuille était vide : 1 459 bitcoins et 2,05 millions de litecoins envolés, soit environ 282 millions de dollars. C'est la plus grosse perte individuelle de 2026 à ce jour.

Aucun pirate n'a forcé un système. La victime a simplement été guidée pas à pas par ce faux support et a remis le contrôle de ses propres mains. Retenez une règle : si quelqu'un prétendant être un support vous contacte en premier, ne vous demandez même pas comment il a eu vos coordonnées. Raccrochez immédiatement, puis cherchez vous-même le vrai canal via le site officiel. Même si cela semble urgent, trente secondes de vérification ne coûtent rien.

  • Ne faites confiance à aucun lien ni appel entrant.
  • Un support légitime ne vous contactera jamais de manière non sollicitée pour « vérifier » votre compte.

4. L'empoisonnement d'adresse

Un ami a perdu 40 000 USDT il y a quelques années avec cette méthode, alors elle me tient à cœur. Le principe : un attaquant génère une fausse adresse qui ressemble presque parfaitement à la vôtre, avec les mêmes premiers et derniers caractères, mais un milieu différent. Il vous envoie ensuite une transaction de valeur quasi nulle depuis cette adresse piégée.

Quelques jours plus tard, quand vous transférez des fonds et que, par flemme, vous copiez l'adresse depuis votre historique de transactions, vous prenez la fausse au lieu de la vraie. L'argent part directement chez l'escroc. C'est bête, mais c'est de l'argent facile pour eux.

  • Vérifiez toujours l'adresse complète, pas seulement le début et la fin.
  • Ne copiez jamais une adresse depuis l'historique sans contrôler chaque caractère.

5. Le détournement du presse-papiers

Très proche du précédent, mais encore plus vicieux : le détournement de presse-papiers. Votre ordinateur est infecté, vous copiez la vraie adresse que vous avez pourtant vérifiée, mais au moment du collage, elle est silencieusement remplacée par celle de l'attaquant. Vous n'avez aucun moyen de vous en rendre compte.

Le copier-coller est l'habitude la plus paresseuse que nous ayons — j'en fais partie — et les escrocs le savent mieux que personne. La parade est simple : après avoir collé et avant d'envoyer, revérifiez l'adresse complète, ou au moins les caractères du milieu. Confirmez aussi l'adresse sur l'écran de votre portefeuille matériel. Pour les gros transferts, envoyez d'abord une petite somme de test.

  • Après le collage, relisez l'adresse entière.
  • Confirmez l'adresse sur le portefeuille matériel.
  • Pour les montants importants, faites un envoi test.

6. Les faux airdrops et les approbations illimitées

Ce piège n'a même pas besoin de voler votre clé privée. Il repose sur l'appât du gain. Un faux site d'airdrop se connecte à votre portefeuille et affiche une demande de signature. Beaucoup cliquent sur « confirmer » sans lire, pensant réclamer de l'argent gratuit. En réalité, vous signez une approbation illimitée qui donne au contrat de l'attaquant un contrôle permanent sur tous vos jetons, pour toujours.

L'attaquant n'a pas besoin de votre clé privée : votre propre signature fait le travail. Ces escrocs soignent uniquement l'apparence du pop-up pour qu'il ressemble à tous les autres, en pariant que vous n'ouvrirez pas les détails. Avant de connecter votre portefeuille, faites tourner la transaction dans un simulateur comme Rabby. N'accordez jamais d'approbation illimitée à un contrat que vous ne reconnaissez pas. Passez régulièrement sur revoke.cash pour annuler les permissions inutiles. Et ne gardez pas de grosses sommes sur un portefeuille chaud.

  • Utilisez un simulateur (par exemple Rabby) avant de signer.
  • Refusez les approbations illimitées sur des contrats inconnus.
  • Révoquez régulièrement les permissions sur revoke.cash.
  • Évitez de stocker de gros montants sur un wallet en ligne.

7. La signature aveugle

Dernier piège avant les trois bonus dont je voulais vous parler — mais les bonus, ce sont surtout trois erreurs bêtes que vous commettez peut-être déjà. Concentrons-nous sur celui-ci. Quand votre portefeuille matériel vous demande de confirmer une transaction, pouvez-vous réellement lire ce qui est affiché à l'écran ? Certains contrats malveillants rendent volontairement les données de transaction longues et confuses. Vous voyez une chaîne de caractères incompréhensible sur le petit écran, votre doigt glisse, vous validez… et ce que vous venez de signer est un ordre qui vide tous vos actifs.

C'est la signature aveugle. Utilisez des appareils et des portefeuilles qui prennent en charge la signature claire. Si vous ne pouvez pas lire ce que la transaction dit réellement, ne signez pas. Point final. Avant toute transaction importante, vous pouvez aussi la passer dans un simulateur pour voir exactement ce qui va se produire.

  • Privilégiez les wallets avec signature claire.
  • Si l'écran affiche des données illisibles, ne signez pas.
  • Testez la transaction dans un simulateur avant de valider un gros montant.

Vos clés, votre responsabilité

Au fond, chacun de ces pièges pose la même question : qui est réellement responsable de votre argent ? Les exchanges explosent, les plateformes disparaissent avec les fonds. Seule l'auto-garde vous protège vraiment de tout cela. Mais dès que vous l'adoptez, toute la responsabilité retombe sur vos épaules, et uniquement sur les vôtres. Il n'y a pas de service client pour récupérer une seed phrase perdue, ni d'assurance pour couvrir une mauvaise signature validée d'un clic. Les transactions on-chain sont irréversibles.

Ce n'est pas qu'un détail technique, c'est un conseil de vie. Après tous les marchés haussiers et baissiers que j'ai traversés, j'en reviens toujours à une chose simple : je veux que les gens détiennent vraiment leurs clés, mais qu'ils les détiennent correctement. Tout le monde adore citer la première moitié de la phrase « Not your keys, not your coins ». La seconde moitié est pourtant le vrai sujet : vos clés, votre responsabilité. Les escrocs évoluent, votre vigilance doit évoluer avec eux. Restez paranoïaque.