Reconnaître une arnaque crypto

Le monde des cryptomonnaies attire beaucoup d'arnaques, en grande partie parce que les transactions, une fois effectuées, ne peuvent pas être annulées (voir l'article sur la blockchain pour comprendre pourquoi). Les techniques utilisées reviennent presque toujours aux mêmes recettes.

Le rendement garanti : un schéma de Ponzi qui ne dit pas son nom

Aucun placement légitime, crypto ou non, ne peut garantir un rendement fixe et élevé sans risque. Une offre promettant "10 % par mois garantis" ou "doublez vos cryptos en une semaine" fonctionne presque toujours selon un principe vieux de plus d'un siècle, le schéma de Ponzi : les premiers investisseurs sont payés avec l'argent des suivants, jamais avec un profit réellement généré. Ce mécanisme fonctionne un temps, tant que de nouveaux investisseurs continuent d'arriver, puis s'effondre mathématiquement dès que les nouveaux apports ne suffisent plus à payer les précédents, souvent en emportant la majorité des fonds avec lui.

Le rug pull, parfois programmé dès le départ

Un rug pull consiste à créer une nouvelle cryptomonnaie, attirer un maximum d'investisseurs en promettant un projet prometteur, puis retirer subitement toute la valeur disponible et disparaître. Le nom vient de l'image du tapis (rug) tiré brusquement sous les pieds des investisseurs.

Il existe deux versions bien différentes. Le rug pull "soft" ne repose sur aucune tricherie technique : l'équipe du projet vend simplement, d'un coup, toute sa réserve de tokens, faisant s'effondrer le prix pour tout le monde. Le rug pull "hard" est plus sournois, puisqu'il est directement programmé dans le contrat intelligent du projet (voir l'article sur la blockchain pour comprendre ce qu'est un contrat intelligent) : une fonction cachée, invisible pour qui ne sait pas lire le code, permet à son créateur de vider les fonds à volonté, ou empêche techniquement les autres investisseurs de revendre leurs tokens une fois achetés. Les projets très récents, sans historique, avec une équipe anonyme et un code jamais audité par un tiers indépendant, sont les plus exposés à ce risque.

Le pump and dump, l'arnaque collective

Un groupe organisé, souvent réuni sur les réseaux sociaux ou une messagerie comme Telegram, choisit une cryptomonnaie peu connue et à faible valeur, puis en fait activement la promotion pour attirer un maximum de nouveaux acheteurs en peu de temps. Une fois le prix suffisamment gonflé par cet afflux d'achats, les organisateurs, qui avaient acheté avant l'annonce publique, revendent massivement d'un coup, faisant s'effondrer le prix et laissant les derniers arrivants avec des pertes importantes. La promotion soudaine et coordonnée d'une cryptomonnaie obscure, en particulier par des comptes présentant un enthousiasme démesuré, est le signal le plus fiable de ce type de manipulation.

Le vol par autorisation : la porte dérobée du wallet

Utiliser une cryptomonnaie sur un site ou une application demande souvent de connecter son wallet et d'accorder une autorisation de dépense, un mécanisme légitime en soi. Le piège se cache dans les détails de cette autorisation : un site frauduleux peut demander, dans la même fenêtre de confirmation qui semble anodine, un accès illimité à l'ensemble des tokens du wallet plutôt qu'au montant précis nécessaire pour l'opération en cours. Une fois cette autorisation accordée, souvent sans que la victime en remarque la portée réelle, l'attaquant peut vider le wallet à tout moment par la suite, parfois plusieurs semaines après la signature initiale.

Un faux airdrop (une distribution gratuite de tokens frauduleuse) ou un faux compte de support qui se fait passer pour l'assistance officielle d'un service connu poursuivent souvent ce même objectif : faire connecter le wallet à un site piégé, ou obtenir directement la phrase de récupération (voir l'article sur les wallets pour comprendre pourquoi elle ne doit jamais être partagée). Aucun support légitime ne demande jamais une clé privée ou une phrase de récupération, quelle que soit la raison invoquée, et une autorisation de dépense devrait toujours être vérifiée avant d'être signée, jamais acceptée par réflexe.

Les signaux à repérer, dans l'ensemble

• Une pression pour agir vite, avant que "l'offre" ne disparaisse
• Une équipe anonyme, sans historique vérifiable, ou un code jamais audité
• Une demande de phrase de récupération, de clé privée, ou une autorisation de dépense illimitée
• Un rendement annoncé fixe et garanti
• Une promotion soudaine et coordonnée d'une cryptomonnaie peu connue
• Un contact non sollicité proposant une opportunité d'investissement

Le réflexe qui protège le mieux

Avant d'investir dans un projet, chercher qui est réellement derrière, depuis quand il existe, et ce que d'autres personnes en disent indépendamment de sa communication officielle. Avant de signer une autorisation de wallet, vérifier le montant réellement demandé plutôt que de confirmer par réflexe. Ce simple temps de vérification élimine la grande majorité des arnaques, qui reposent presque toutes sur la précipitation de la victime.