Vous avez reçu une crypto-monnaie aléatoire ? Il pourrait s’agir d’une arnaque par hameçonnage.

Image : Jakub Porzycki/NurPhoto via Getty Images

Les escrocs de crypto-monnaie envoient des jetons personnalisés qui incitent les victimes à visiter un site de phishing conçu pour voler la crypto de leurs portefeuilles, selon les rapports d’observateurs et de personnes ciblées par l’arnaque.

Une femme du nom de « Shegenerates », qui est développeur Solidity, a été parmi les premières à tirer la sonnette d’alarme sur cette nouvelle arnaque. Dans un tweet jeudi, elle a écrit que quelqu’un lui avait envoyé des jetons « airdroppés » d’une valeur supposée de 30 000 $, mais en réalité, il s’agissait d’une « arnaque sophistiquée ».

Shegenerates a déclaré à Motherboard dans un chat en ligne que les escroqueries fonctionnent comme ceci : les escrocs envoient un jeton inutile, qui ne peut pas être rejeté par le destinataire en raison de la nature des blockchains. Ce type d’« airdrop » de jeton est devenu un moyen populaire pour les projets web3 de récompenser les premiers utilisateurs et investisseurs lorsque, par exemple, un protocole lance un jeton de gouvernance. Le jeton Shegenerates mis en évidence a été nommé d’après un site Web, ce qui est très étrange. Selon Shegenerates, ce site Web est un site de phishing qui demande aux victimes la permission d’accéder à leur portefeuille crypto Metamask. Si la victime approuve, les escrocs peuvent alors drainer leurs fonds.

La valeur de la crypto-monnaie augmentant au cours de 2021, les escrocs et les pirates informatiques ciblent de plus en plus non seulement les échanges et les organisations cryptographiques, mais également les individus qui possèdent Bitcoin, Ethereum ou tout autre cryptocoin ou jeton.

« Nous assistons à un nombre croissant d’escroqueries par hameçonnage qui tentent de prendre le contrôle des portefeuilles Web des personnes. Celui-ci est nouveau car les gens reçoivent des jetons (« airdroppés ») et sont dirigés vers un site Web qui prétend être un échange décentralisé », a déclaré Tom Robinson, co-fondateur de la société d’analyse de blockchain Elliptic, à Motherboard dans un e-mail. « [The scam is] les attirer vers un site où on leur dit qu’ils peuvent vendre les jetons qui leur ont été donnés, mais le site vole en fait tout ce qui se trouve dans leur portefeuille.

Avez-vous des informations sur des piratages ou des escroqueries contre les propriétaires ou les entreprises de crypto-monnaie ? Nous aimerions recevoir de vos nouvelles. Vous pouvez contacter Lorenzo Franceschi-Bicchierai en toute sécurité sur Signal au +1 917 257 1382, Wickr/Telegram/Wire @lorenzofb, ou par e-mail à lorenzofb@vice.com

Fait intéressant, l’escroc semble avoir ajouté sa propre liquidité au jeton pour donner l’impression qu’il vaut quelque chose lorsque la victime tente de l’échanger sur un échange décentralisé comme Uniswap.

Selon Shegenerates, les tentatives d’échange de jetons ont abouti à des transactions infructueuses, qui sont publiées pour toujours dans la blockchain et peuvent indiquer aux escrocs quelles victimes sont disposées à interagir avec des jetons de provenance inconnue pour un profit rapide. Cela signifierait également que l’escroc récolterait une récompense en cas de réussite d’un échange.

On ne sait pas combien de personnes ont été ciblées ou sont tombées dans le piège de cette arnaque. Jonathan Levin, co-fondateur de la société de surveillance blockchain Chainalysis, a déclaré que ce genre d’arnaque « va être quelque chose de difficile à combattre ».

Dans ses tweets, Shegenerates a averti les gens de ne jamais interagir avec des jetons ou des contrats intelligents envoyés à l’improviste, et de ne jamais accéder à des sites Web personnalisés spécifiques à un jeton.

« Si un nom de jeton contient un nom de domaine, c’est un grand signal d’alarme pour ne pas aller sur ce site Web et se faire hameçonner », a-t-elle écrit.

Abonnez-vous à notre podcast sur la cybersécurité, CYBER. Abonnez-vous à notre nouvelle chaîne Twitch.