Voir la table des matières Ne plus voir la table des matières
- Quelle est l’ampleur réelle des arnaques NFT ?
- Quelles sont les arnaques les plus courantes dans l’espace NFT ?
- Comment vérifier un projet NFT avant d’acheter ?
- Comment protéger son portefeuille au quotidien ?
- Que faire après avoir été victime d’une arnaque NFT ?
- Où en est la réponse des plateformes et des régulateurs ?
- Le risque perçu et le risque mesuré
Un jeton non fongible est un certificat de propriété inscrit sur une blockchain, associé à un fichier, un objet de jeu ou un droit d’accès. Sa valeur ne tient ni au fichier lui-même, que n’importe qui peut copier, ni au contrat qui le porte, mais à ce que le marché consent à payer pour le posséder. Cette valeur repose entièrement sur la confiance placée dans un projet, ce qui en fait un terrain de chasse idéal pour qui sait fabriquer de la confiance.
Une arnaque NFT désigne toute manœuvre visant à s’emparer des jetons ou des fonds d’un acheteur, par tromperie sur la valeur de l’actif ou par prise de contrôle de son portefeuille. Les mécanismes ne sont pas nouveaux, la chaîne de Ponzi a cent ans, mais le contexte technique leur donne une efficacité inédite : une signature de transaction suffit, et rien ne se rattrape ensuite.
Le sujet dépasse largement les jetons de collection. Les mêmes réflexes de vérification protègent un portefeuille sur n’importe quel actif numérique, et ils relèvent de la même hygiène que la gestion d’un patrimoine classique. Quelles sont les techniques réellement employées, et quels gestes concrets permettent d’y échapper ?
Quelle est l’ampleur réelle des arnaques NFT ?
Entre juillet 2021 et juillet 2022, 100,6 millions de dollars de jetons non fongibles ont été déclarés volés par escroquerie, selon le rapport NFTs and Financial Crime publié par la société d’analyse blockchain Elliptic en août 2022. Le butin moyen par escroquerie atteint 300 000 dollars. Ces montants ne couvrent que les cas signalés publiquement, une fraction du total réel.
Ce que mesurent les chiffres d’Elliptic
Les analystes ont examiné 17 millions de transactions Ethereum entre le quatrième trimestre 2017 et le premier trimestre 2022, couvrant 22 places de marché, quatre jeux ou plateformes de métavers et deux services d’échange de jetons. L’échantillon est assez large pour que les ordres de grandeur ne soient pas des estimations de coin de table.
Le pic en valeur date de mai 2022 : 3 473 jetons dérobés pour 23,9 millions de dollars, le montant confirmé le plus élevé de la période. Le pic en volume tombe deux mois plus tard, en juillet 2022, avec 4 647 jetons signalés volés, un record mensuel. Entre les deux, juin 2022 affiche 3 712 jetons pour seulement 5 millions de dollars, presque autant de vols pour cinq fois moins de valeur.
Cette divergence entre volume et valeur raconte quelque chose. Le nombre de vols grimpe pendant que leur montant s’effondre, ce qui signifie que les collections de grande valeur ont cessé de circuler tandis que les projets récents, moins chers et moins protégés, encaissaient l’essentiel des attaques.
Les records individuels et ce qu’ils révèlent
Deux cas marquent la période. En novembre 2021, un escroc s’empare d’un CryptoPunk valorisé alors à 490 000 dollars, le vol le plus élevé jamais enregistré sur un jeton unique. Un mois plus tard, en décembre 2021, une seule victime perd seize jetons de collections réputées, ensemble estimé à 2,1 millions de dollars, la perte individuelle la plus lourde du classement.
La collection Bored Ape Yacht Club concentre à elle seule 43,6 millions de dollars des actifs déclarés volés sur l’année, soit trois fois le total de la collection classée deuxième. Un projet devient une cible à proportion de sa notoriété, ce qui inverse l’intuition selon laquelle les valeurs les plus établies seraient aussi les moins exposées au vol.
Quelles sont les arnaques les plus courantes dans l’espace NFT ?
Cinq mécanismes reviennent dans la quasi-totalité des cas recensés : la chaîne de Ponzi, la promesse d’enrichissement rapide, le faux jeton, l’arnaque à la sortie et l’hameçonnage. Aucun n’est propre aux NFT, tous existaient avant 2021 dans la finance traditionnelle ou sur Internet. Le jeton non fongible en accélère simplement l’exécution et en rend le produit irrécupérable.
La chaîne de Ponzi
Le principe consiste à rémunérer les investisseurs entrés tôt avec l’argent des investisseurs entrés ensuite, en présentant ces versements comme le fruit d’une activité réelle. Le montage porte le nom de Charles Ponzi, qui l’appliqua à Boston en 1920 sur des coupons-réponse internationaux. Il tient tant que les entrées dépassent les sorties, et s’effondre mécaniquement le jour où le flux se tarit.
Adapté aux NFT, il prend la forme d’un projet promettant un rendement fixe aux détenteurs, financé en réalité par les ventes du marché primaire. Le signal d’alerte est toujours le même : un rendement annoncé sans source de revenus identifiable. Si personne ne peut expliquer d’où sort l’argent, c’est qu’il sort de la poche du suivant. Notre article consacré à la définition exacte de ce montage financier détaille les critères qui permettent de le qualifier.
La promesse d’enrichissement rapide
Un vendeur crée un jeton, affirme qu’il vaut une fortune, puis le propose en promettant une plus-value certaine. La technique s’appuie sur l’absence de prix de référence : sur un jeton unique et récent, rien ne permet de contredire un prix annoncé, contrairement à une action cotée ou à un bien immobilier comparable.
La parade tient en une vérification. Un jeton dont la collection n’affiche aucun historique de ventes, aucun volume secondaire et aucune détention par des adresses tierces n’a pas de valeur de marché, seulement une valeur affichée par son vendeur.
Le faux jeton
Les escrocs les plus organisés créent un contrat conforme au standard ERC-721, peu coûteux à déployer, avec une œuvre plagiée ou générée à la chaîne. Ils vendent ensuite ce jeton comme une pièce rare, souvent en rémunérant des personnalités pour qu’elles le mentionnent. Le prix monte à mesure que les acheteurs affluent, puis les créateurs liquident leurs propres jetons et disparaissent.
Rien n’empêche techniquement quiconque de déployer un contrat ERC-721. L’absence de barrière à l’entrée est une caractéristique du standard, pas un défaut à corriger : c’est à l’acheteur de vérifier l’adresse du contrat sur un explorateur de blocs et de la comparer à celle publiée par le projet officiel.
L’arnaque à la sortie
Une plateforme ou un artiste encaisse les fonds d’une vente, promet une feuille de route, puis ferme boutique avec la caisse et parfois les jetons eux-mêmes. Le procédé porte le nom de rug pull, littéralement le tapis qu’on retire sous les pieds, et il ne laisse aucun recours pratique à la victime lorsque les fondateurs sont anonymes.
Les signaux avant-coureurs existent pourtant, du contrat non audité aux fondateurs sans identité vérifiable en passant par la trésorerie du projet contrôlée par une adresse unique. Nous avons détaillé le déroulé complet d’un rug pull et les indices qui le précèdent dans un article dédié.
L’hameçonnage
Un message ou un courriel imite une place de marché, un fournisseur de portefeuille ou une équipe de projet, puis renvoie vers un site répliquant l’original. La victime y saisit sa phrase secrète, ou signe une transaction dont elle n’a pas lu le contenu. Cette signature accorde souvent un droit de dépense illimité sur une collection entière.
Elliptic relève une progression marquée de l’hameçonnage passant par les réseaux sociaux, avec environ 20 millions de dollars de jetons dérobés sur ce seul canal en 2022. Les analystes attribuent cette hausse à la diffusion de logiciels malveillants capables de contourner l’authentification à deux facteurs, ce qui rend le piratage d’un compte officiel de projet nettement plus accessible qu’auparavant. La mécanique générale de ces attaques est décrite dans notre guide sur la reconnaissance des tentatives d’hameçonnage.
Comment vérifier un projet NFT avant d’acheter ?
Six vérifications suffisent à écarter l’immense majorité des projets frauduleux. Elles prennent une dizaine de minutes et aucune compétence technique particulière.
- Comparer l’adresse du contrat affichée par la place de marché à celle publiée sur le site officiel du projet et sur son compte vérifié ;
- consulter l’historique des ventes de la collection sur un explorateur de blocs plutôt que le seul prix affiché par le vendeur ;
- vérifier la répartition des détenteurs : une collection dont quelques adresses concentrent la majorité des jetons se manipule sans effort ;
- rechercher l’identité publique des fondateurs et leur historique de projets antérieurs ;
- lire le contrat ou, à défaut, s’assurer qu’un audit indépendant a été publié et qu’il porte bien sur la version déployée ;
- chercher activement les critiques du projet, pas seulement ses éloges, et se méfier d’un canal de discussion où la contradiction est modérée.
Aucun de ces contrôles n’est infaillible pris isolément, mais leur cumul écarte les montages construits pour aller vite. Un escroc dispose d’un temps limité avant que son opération ne soit repérée : il vise ceux qui achètent sans vérifier, pas ceux qui prennent dix minutes.
La méfiance vaut aussi pour les projets légitimes en apparence. Nous avons passé en revue les idées reçues qui circulent le plus sur ce marché, dont plusieurs servent directement d’argument de vente aux escrocs.
Comment protéger son portefeuille au quotidien ?
La protection repose sur trois principes : séparer les usages, ne jamais exposer sa phrase secrète, et révoquer périodiquement les autorisations accordées aux contrats. Ces trois gestes couvrent l’essentiel des vecteurs recensés par Elliptic sur la période étudiée, hameçonnage compris.
Séparer le portefeuille de dépôt et le portefeuille d’usage
Un portefeuille destiné aux interactions courantes, connexions à des places de marché, participations à des ventes, ne devrait contenir que ce que l’on accepte de perdre. Les actifs de valeur restent sur un second portefeuille qui ne se connecte jamais à un site tiers, idéalement sur un support matériel hors ligne.
Cette séparation transforme un vol total en incident limité. Une signature malveillante ne peut atteindre que le portefeuille qui l’a émise : elle n’a aucun accès aux clés restées hors ligne, quelle que soit l’autorisation accordée.
Traiter la phrase secrète comme un coffre, pas comme un mot de passe
Aucun service légitime ne demande jamais les douze ou vingt-quatre mots d’une phrase de récupération, ni pour une assistance technique, ni pour une vérification, ni pour un remboursement. Toute demande de ce type identifie une tentative de vol, sans exception ni cas particulier à envisager.
La phrase se conserve hors ligne, sur un support physique, à l’abri de l’humidité et du feu. Une photographie stockée dans un service de sauvegarde en ligne annule la protection : elle transforme une clé privée en fichier accessible à distance.
Révoquer les autorisations dormantes
Chaque interaction avec une place de marché accorde à un contrat le droit de déplacer certains jetons. Ces autorisations survivent à la transaction et restent actives des mois durant, y compris quand le contrat concerné a été compromis entre-temps. Un passage trimestriel sur un outil de révocation suffit à refermer ces portes, et il se fait depuis n’importe quel explorateur de blocs.
Un rappel s’impose sur les réseaux sociaux, canal privilégié de l’hameçonnage depuis 2022. Les manœuvres qui y circulent, comptes usurpés, faux concours et messages privés urgents, sont détaillées dans notre article sur les escroqueries les plus fréquentes sur Twitter.
Que faire après avoir été victime d’une arnaque NFT ?
Le signalement est la seule action utile à court terme, et il vaut d’abord pour les autres. Sur les réseaux sociaux, le profil de l’escroc se signale depuis sa page. Aux États-Unis, la Federal Trade Commission reçoit les plaintes en ligne et la National Consumers League tient une ligne dédiée à la fraude. Une transaction confirmée sur une blockchain ne s’annule pas.
Cette irréversibilité mérite d’être énoncée sans détour, parce qu’elle nourrit une seconde vague d’escroqueries. Des prestataires prétendent récupérer des fonds volés contre paiement d’avance, en s’appuyant sur la détresse des victimes. Ce commerce parasite est ancien et bien documenté : nous lui avons consacré un article sur les fausses promesses de récupération de fonds perdus.
Le signalement à la place de marché concernée a néanmoins un effet concret. Les collections signalées peuvent être retirées de la vente, ce qui coupe la liquidité de l’escroc et complique l’écoulement des jetons dérobés. La rapidité du signalement conditionne cet effet, puisque la revente intervient généralement dans les heures qui suivent le vol.
Conserver les traces reste indispensable. Adresses de transaction, horodatages, captures des échanges et identifiant du contrat forment le dossier que réclamera toute autorité saisie, et que les sociétés d’analyse blockchain utilisent pour tracer les fonds jusqu’à leur point de sortie.
Où en est la réponse des plateformes et des régulateurs ?
La régulation avance plus lentement que les escroqueries, mais elle avance. La Securities and Exchange Commission américaine s’était saisie du marché des jetons non fongibles dès le printemps 2022, comme nous le rapportions à l’époque à propos de l’enquête ouverte sur les pratiques du secteur. L’enjeu porte sur la qualification juridique de certains jetons, susceptible de faire basculer des collections entières dans le droit boursier.
Du côté des places de marché, le chantier est technique. Filtrage des collections dupliquées, vérification des créateurs, détection des adresses sanctionnées : chaque brique existe mais aucune n’est universelle, et un jeton retiré d’une plateforme réapparaît sur une autre le lendemain.
Elliptic pointe un angle mort particulier, celui des mélangeurs de transactions. Tornado Cash, sanctionné par le Trésor américain en août 2022, avait été la source de 137,6 millions de dollars d’actifs traités par les places de marché NFT et l’outil de blanchiment de 52 % des produits d’escroqueries du secteur avant sa mise à l’index.
Le risque perçu et le risque mesuré
Les chiffres du rapport rendent une image plus nuancée que la réputation du secteur. Sur les fonds ayant transité par les services NFT étudiés, environ 40 milliards de dollars proviennent d’activités licites, soit 99 % du total. Les fonds passés par des outils d’anonymisation représentent moins de 329 millions de dollars, 0,81 %, et les fonds directement issus d’activités illicites 8 millions de dollars, soit 0,02 % de l’ensemble.
Rapportés au volume échangé, les vols déclarés pèsent 0,65 % des quelque 15,3 milliards de dollars de transactions NFT recensées entre juillet 2021 et juillet 2022. Une proportion faible, qui ne console aucune victime, mais qui situe le phénomène à sa juste échelle et évite d’en faire la caractéristique première du marché.
La probabilité perçue qu’un délit lié aux NFT survienne est plus élevée qu’elle ne l’est réellement, même si des améliorations restent nécessaires dans ce domaine.
Elliptic, conclusion du rapport NFTs and Financial Crime publié en août 2022, à l’issue de l’analyse de 17 millions de transactions Ethereum
Cette lecture appelle une conséquence pratique. Un marché où 99 % des flux sont licites ne justifie ni la panique ni l’insouciance : il justifie une méthode. Les mêmes vérifications qui écartent un faux jeton écartent aussi un projet mal construit, et la discipline qui protège du vol protège aussi du mauvais achat.
Le vrai coût des arnaques recensées n’est d’ailleurs pas le montant dérobé. C’est la défiance qu’elles installent chez ceux qui auraient pu s’intéresser au secteur pour ses usages réels, billetterie, droits d’auteur, certificats de propriété, et qui n’y voient plus qu’un terrain miné. Chaque collection frauduleuse coûte au secteur bien plus que les jetons qu’elle a vendus.
Ce que la période 2021-2022 a établi tient en un constat simple : les pertes se concentrent chez ceux qui achètent vite, sur la foi d’une promesse, sans avoir vérifié une adresse de contrat. Les projets et les places de marché ont leur part de travail devant eux, mais l’essentiel du risque se joue là où l’acheteur décide de signer. Les outils de vérification, eux, sont déjà là.
