Voir la table des matières Ne plus voir la table des matières
- Pourquoi Twitter est-il devenu le terrain de chasse des escrocs crypto ?
- Quels pièges un analyste en cybersécurité recense-t-il sur Twitter ?
- Comment un faux compte vérifié parvient-il à passer pour un vrai ?
- L’arnaque à la récupération de fonds, le piège qui frappe deux fois
- Les fichiers piégés, l’angle mort des créateurs et des collectionneurs
- Quels réflexes coupent l’essentiel du risque ?
- Ce que la baisse des revenus de l’escroquerie ne dit pas
Une escroquerie crypto sur Twitter, c’est une opération de manipulation qui n’attaque jamais la blockchain elle-même. Elle vise la personne qui tient les clés, par un compte qui ressemble à un autre, un lien qui ressemble à un autre, une promesse qui ressemble à une bonne nouvelle. La technologie sous-jacente reste intacte : c’est la confiance accordée à un profil qui cède.
Le phénomène a pris une ampleur que les chiffres publics documentent désormais avec précision. Depuis le début de 2021, plus de 46 000 personnes ont déclaré à la Commission fédérale du commerce américaine avoir perdu plus d’un milliard de dollars en cryptomonnaies dans des escroqueries, et près de la moitié de ces affaires ont démarré sur un réseau social. La perte médiane par victime s’établit à 2 600 dollars.
Les réseaux sociaux ne sont pas un décor accessoire dans cette affaire, ils en sont le point de départ le plus fréquent. Reste à comprendre ce qui rend Twitter particulièrement propice à ce type d’opération, et surtout à savoir reconnaître les scénarios qui reviennent. Quels sont les pièges réellement en circulation, et à quoi les repère-t-on avant de cliquer ?
Pourquoi Twitter est-il devenu le terrain de chasse des escrocs crypto ?
Parce qu’il réunit trois ingrédients rares ailleurs : une audience massive intéressée par le sujet, des échanges publics entre inconnus, et une messagerie privée ouverte par défaut sur beaucoup de comptes. La Commission fédérale du commerce constate que 49 % des signalements de fraude payée en cryptomonnaies depuis 2021 mentionnent un réseau social comme point de départ.
Une bascule mesurable en quatre ans
La proportion citée ci-dessus n’a rien de stable dans le temps, et sa progression est spectaculaire. Elle s’élevait à 37 % en 2020, 18 % en 2019 et 11 % en 2018, toujours selon les données de la même autorité. Autrement dit, le point d’entrée de la fraude s’est déplacé en quatre ans, du courriel et du démarchage téléphonique vers le fil d’actualité.
Le rapport de force entre plateformes mérite d’être précisé, car il réserve une surprise. Sur l’ensemble des fraudes signalées comme ayant démarré sur un réseau social, Instagram arrive en tête avec 32 % des cas, devant Facebook à 26 %, WhatsApp à 9 % et Telegram à 7 %. Twitter n’occupe pas la première place du classement général, mais il concentre le public le plus averti et le plus exposé financièrement, ce qui en fait un terrain de chasse à part.
Le paiement en cryptomonnaies, choix rationnel de l’escroc
Trois propriétés expliquent cette préférence, et aucune ne relève du hasard. Aucune banque ni autorité centrale ne signale une transaction suspecte avant qu’elle parte, un transfert ne se rembourse pas une fois confirmé, et la plupart des gens maîtrisent mal le fonctionnement réel de ces outils. La Commission fédérale du commerce relève ainsi que les pertes déclarées en 2021 valaient près de soixante fois celles de 2018.
Le détail des actifs employés confirme que les escrocs suivent la liquidité plutôt que la technologie. Le bitcoin sert dans 70 % des cas signalés, devant le tether à 10 % et l’ether à 9 %. Ces chiffres décrivent une industrie opportuniste qui prend ce que ses cibles possèdent déjà, et non une attaque dirigée contre un réseau en particulier.
Qui se fait prendre, et pour quels montants
Le portrait des victimes contredit l’idée reçue d’un public âgé et déconnecté. Les personnes de 20 à 49 ans déclarent des pertes en cryptomonnaies plus de trois fois plus souvent que les tranches supérieures, et ce sont les trentenaires qui paient le prix le plus lourd : 35 % de leurs pertes déclarées à la fraude sont libellées en crypto.
Le montant, lui, suit la courbe inverse de l’âge. La perte médiane individuelle grimpe avec les années, jusqu’à 11 708 dollars pour les personnes de 70 à 79 ans. Les jeunes se font prendre plus souvent, les moins jeunes se font prendre plus cher, et les deux profils croisent les mêmes messages privés. Le type d’appât, lui, varie : 575 millions de dollars de pertes déclarées portent sur de fausses opportunités d’investissement, 185 millions sur des escroqueries sentimentales et 133 millions sur des usurpations d’entreprises ou d’administrations.
Quels pièges un analyste en cybersécurité recense-t-il sur Twitter ?
Huit scénarios, décrits le 21 août 2022 dans un fil de dix-neuf messages par l’analyste connu sous le pseudonyme Serpent, fondateur du système de détection de menaces Sentinel et suivi par 253 400 abonnés sur la plateforme. Tous reposent sur l’imitation : sites copiés, adresses copiées, comptes copiés, projets inventés.
Le tableau ci-dessous regroupe les mécanismes les plus fréquents selon leur appât et selon ce que la victime perd réellement. La lecture verticale est instructive : presque tous ces scénarios se terminent par une signature accordée sans être comprise, jamais par une intrusion technique dans un portefeuille.
| Piège | Appât utilisé | Ce qui part réellement |
|---|---|---|
| Compte vérifié détourné | Un compte authentique, racheté ou piraté, renommé au nom d’une personnalité | Les jetons approuvés sur un faux site de vente |
| Adresse en caractères Unicode | Une adresse visuellement identique à l’officielle, une lettre remplacée | La signature qui autorise le transfert des actifs |
| Fausse alerte de révocation | Un message d’urgence affirmant que vos actifs sont menacés | Les autorisations de dépense déjà accordées |
| Récupération de fonds perdus | Une promesse de retrouver des jetons volés lors d’un piratage récent | Les frais avancés, puis le contact disparaît |
| Compte piège à clé privée | Une clé privée prétendument divulguée, donnant accès à un portefeuille garni | Les fonds envoyés pour payer les frais de retrait |
| Fichier de test piégé | Une invitation à tester un jeu ou une commande de travail rémunérée | Les identifiants et cookies extraits du navigateur |
Cette convergence vers la signature n’est pas anodine pour qui cherche un réflexe unique à retenir. Elle signifie que le moment critique n’est ni la lecture du message, ni même la visite du site, mais l’instant où une fenêtre de portefeuille s’ouvre et demande une validation. Tout ce qui précède est réversible, tout ce qui suit ne l’est pas, et c’est à cette frontière précise que se joue la totalité de ces huit scénarios.
Une septième famille tourne autour des promesses de gain rapide, avec des messages automatisés vantant une méthode pour gagner mille quatre cents dollars par jour en devançant les ordres sur un échange décentralisé. La huitième consiste à monter un faux projet crédible, doté d’un site et d’une équipe fictive, pour solliciter des investissements. Aucune de ces huit approches n’exige de compétence technique avancée, ce qui explique leur abondance.
Comment un faux compte vérifié parvient-il à passer pour un vrai ?
Par un détournement plutôt que par une création. L’escroc prend le contrôle d’un compte déjà vérifié, appartenant souvent à une marque ou à une personnalité sans rapport avec la crypto, puis le renomme et change sa photo. La pastille de vérification reste en place, et c’est précisément ce signal de confiance que la victime va lire en premier.
Le détail typographique qui trahit l’adresse
La même logique d’imitation s’applique aux liens, avec une finesse qui met en défaut la lecture rapide. Certains alphabets proposent des caractères visuellement identiques aux lettres latines : un i sans point emprunté au turc, un a ou un e accentué emprunté au français, glissés dans un nom de domaine par ailleurs correct. Le lien affiché paraît légitime, il pointe pourtant vers une copie du site officiel contrôlée par l’attaquant.
Ce que la copie demande ensuite ressemble à ce que demande l’original. Connexion du portefeuille, puis signature d’une autorisation présentée comme une formalité. Les mécanismes détaillés dans notre article sur la manière de reconnaître une attaque de hameçonnage valent tels quels ici, à ceci près que le vecteur n’est plus un courriel mais un message public lu par des milliers de personnes.
La différence d’échelle change tout à l’économie de l’opération. Un courriel frauduleux doit être envoyé à des centaines de milliers d’adresses pour trouver quelques victimes, alors qu’une réponse placée sous l’annonce d’un projet connu se présente d’elle-même aux personnes exactement concernées, au moment exact où elles attendent une information. Le ciblage est offert par la plateforme, sans base de données à acheter ni campagne à financer.
L’urgence, matière première de l’escroc
Une variante particulièrement retorse détourne le réflexe de sécurité lui-même. Le message prévient l’utilisateur que ses actifs sont en danger et l’invite à révoquer d’urgence ses autorisations sur une page qui imite un outil connu. La page, évidemment, fait l’inverse de ce qu’elle annonce. Serpent souligne que ce scénario repose sur l’installation délibérée d’un état d’urgence, le seul état mental dans lequel personne ne vérifie une adresse caractère par caractère.
L’arnaque à la récupération de fonds, le piège qui frappe deux fois
Le scénario le plus cynique du lot cible des gens déjà dépouillés. Après chaque piratage d’ampleur, des comptes se présentant comme développeurs blockchain contactent les victimes identifiables et proposent de déployer un contrat intelligent capable de récupérer les fonds volés, moyennant des frais payés d’avance. Les frais partent, le contact disparaît, et la victime perd une seconde fois.
Pour le dire simplement, ils cherchent à cibler des gens qui se sont déjà fait escroquer, et affirment pouvoir récupérer les fonds.
Serpent, analyste en cybersécurité et fondateur de Sentinel, dans un fil de dix-neuf messages publié sur Twitter le 21 août 2022
Le mécanisme suppose une chose qui n’existe pas. Aucun contrat intelligent ne défait un transfert confirmé sur une blockchain publique, et un développeur capable d’une telle opération n’aurait aucune raison de la proposer à un inconnu contre quelques centaines de dollars. La promesse est techniquement impossible avant même d’être malhonnête, ce qui en fait l’un des rares cas où le raisonnement suffit à écarter le doute.
Ce type de proposition a proliféré après l’exploit qui a vidé des milliers de portefeuilles Solana au début du mois d’août 2022. Heidi Chakos, qui anime la chaîne Crypto Tips, avait alors alerté publiquement la communauté sur les comptes offrant une solution miracle au problème. Un piratage médiatisé produit sa propre seconde vague d’escroqueries, avec un décalage de quelques heures seulement.
Les fichiers piégés, l’angle mort des créateurs et des collectionneurs
Deux approches visent des profils précis, repérables à leur activité publique. La première consiste à inviter un collectionneur de jetons non fongibles de valeur à tester en avant-première un jeu à récompenses. La seconde propose une commande rémunérée à un artiste, avec un cahier des charges joint. Dans les deux cas, le fichier transmis est le véritable objet de l’échange.
Ce que ce fichier collecte une fois ouvert dépasse largement le portefeuille. Cookies de session, mots de passe enregistrés, données des extensions de navigateur : l’attaquant récupère de quoi se connecter aux comptes de la victime sans jamais avoir besoin de sa phrase de récupération. La logique rejoint celle des projets qui disparaissent après la vente, à cette différence près que l’appât n’est plus une promesse de rendement mais une proposition professionnelle flatteuse.
La sélection des cibles mérite qu’on s’y arrête. Un collectionneur affiche publiquement ses acquisitions, un artiste affiche publiquement son portfolio, et les deux répondent volontiers à une opportunité. L’escroc n’a donc rien à deviner : le profil public fournit le ciblage et le prétexte, ce qui rend ces approches nettement plus efficaces que l’envoi massif de messages identiques.
Pourquoi un portefeuille matériel ne suffit pas ici
L’idée qu’un boîtier dédié règle la question mérite d’être nuancée sans être balayée. Un portefeuille matériel protège efficacement la clé privée contre l’extraction, et c’est déjà beaucoup. Il ne protège pas contre une signature que vous accordez vous-même à un contrat malveillant, puisque l’appareil se contente alors d’exécuter une instruction validée de votre main.
La conséquence pratique est un changement de point de vigilance. Ce qui compte n’est plus l’endroit où dort la clé, mais la lecture de ce que l’on signe, et la liste des autorisations laissées ouvertes derrière soi. Un portefeuille annexe, garni du strict nécessaire et réservé aux interactions avec des applications nouvelles, limite mécaniquement le montant exposé sans rien changer aux habitudes.
Quels réflexes coupent l’essentiel du risque ?
Cinq habitudes, dont aucune n’exige de compétence technique. Elles portent toutes sur le même point de passage obligé : le moment où vous accordez une signature ou envoyez des fonds. La Commission fédérale du commerce rappelle de son côté trois règles simples, dont celle-ci, qui suffit à écarter la majorité des cas rencontrés sur les réseaux : seuls les escrocs garantissent des profits.
Les réflexes ci-dessous s’appliquent quelle que soit la plateforme, et méritent d’être installés avant d’en avoir besoin :
- vérifier l’information sur une deuxième source indépendante du message reçu, le site officiel du projet ou son blog plutôt qu’un lien fourni dans la conversation ;
- taper l’adresse d’un site à la main plutôt que de suivre un lien, ce qui neutralise à lui seul les adresses en caractères Unicode ;
- refuser toute proposition reçue en message privé qui implique d’envoyer des fonds, quelle qu’en soit la justification ;
- révoquer régulièrement les autorisations de dépense accordées à des applications, depuis un outil dont vous avez vous-même vérifié l’adresse ;
- n’ouvrir aucun fichier exécutable reçu d’un contact non vérifié, même assorti d’une offre rémunérée crédible.
Un principe résume l’ensemble, et il tient en une phrase : personne de légitime ne vous demandera jamais votre phrase de récupération, ni ne vous imposera d’acheter des cryptomonnaies pour résoudre un problème. Le sujet du stockage de cette phrase mérite d’ailleurs sa propre discipline, détaillée dans notre inventaire des endroits où ne jamais conserver sa phrase de récupération. Une phrase divulguée annule toutes les autres précautions.
Reste le réflexe le plus difficile à tenir, parce qu’il est émotionnel plutôt que technique. Une offre qui semble trop belle pour être vraie l’est presque toujours, et la question à se poser est d’une simplicité désarmante : pourquoi un inconnu vous offrirait-il un rendement considérable pour une tâche dérisoire ? L’absence de réponse honnête à cette question vaut signal d’alarme.
Ce que la baisse des revenus de l’escroquerie ne dit pas
Les chiffres du secteur ont reculé, et c’est une vraie nouvelle plutôt qu’un trompe-l’œil. Un rapport de Chainalysis publié à la mi-août 2022 chiffre les revenus des escroqueries crypto à 1,6 milliard de dollars depuis le début de l’année, en baisse de 65 %, contre environ 4,6 milliards sur l’année précédente. La maison d’analyse attribue ce reflux à la baisse des cours et au départ des investisseurs les moins expérimentés.
Cette explication contient pourtant son propre avertissement. Si le volume des escroqueries suit le nombre de nouveaux venus et le niveau des prix, le prochain cycle haussier ramènera les deux, et l’outillage des escrocs, lui, ne disparaît pas entre-temps. Les huit scénarios recensés en août 2022 sont en réalité des gabarits, réutilisables dès que la marée remonte.
La seule protection qui traverse les cycles est d’un autre ordre. Elle consiste à traiter un message privé comme une sollicitation commerciale plutôt que comme une conversation, et une signature de portefeuille comme un virement bancaire plutôt que comme un clic. La vigilance se construit hors période de tension, pendant les mois calmes où rien ne pousse à décider vite. C’est précisément quand le marché s’ennuie que ces réflexes s’installent le mieux, faute d’occasion manquée à regretter et de rumeur à suivre dans l’heure. Un portefeuille qui traverse plusieurs cycles sans incident doit rarement sa survie à un outil, et presque toujours à une poignée d’habitudes prises quand rien ne pressait.
