Sécurité opérationnelle et arnaques courantes

Curiosité

1. Pourquoi un portefeuille matériel peut-il malgré tout perdre des fonds à cause d’un site de phishing ?
2. Comment une transaction signée avec une clé légitime peut-elle être envoyée à l’adresse d’un attaquant sans que l’utilisateur ne s’en aperçoive ?
3. Pourquoi la plupart des pertes proviennent-elles de la tromperie plutôt que d’une cryptographie défaillante ?

Explorer

1. La sécurité du protocole Bitcoin repose sur la cryptographie à courbe elliptique secp256k1 ; aucune méthode connue ne permet de la casser. Pourtant, la plupart des pertes importantes proviennent de l’ingénierie sociale plutôt que d’une défaillance mathématique. Le registre est immuable : une transaction confirmée ne peut être annulée par aucune autorité. Cette finalité protège le réseau, mais expose les détenteurs individuels à des erreurs et à des tromperies irréversibles.
2. Le phishing est l’une des voies de vol les plus courantes. Les attaquants déploient des domaines imitant les sites légitimes ou de fausses applications de portefeuille qui reproduisent des interfaces authentiques. Les victimes saisissent leur phrase de récupération ou leurs clés privées dans ces environnements frauduleux, donnant aux attaquants un contrôle total. L’Internet Crime Complaint Center du FBI américain fait état chaque année de volumes constamment élevés de fraudes aux cryptomonnaies, les arnaques à l’investissement constituant la première catégorie en matière de pertes.
3. Les malwares de type clipper agissent silencieusement en arrière-plan en remplaçant les adresses copiées par des adresses contrôlées par l’attaquant. L’utilisateur copie une adresse légitime depuis son portefeuille ou ses contacts, la colle dans l’outil de création de transaction et envoie sans le savoir les fonds vers une autre destination. L’empoisonnement d’adresse (address poisoning) aggrave ce risque : les attaquants envoient de petites quantités de dust depuis une adresse visuellement proche d’une adresse figurant dans l’historique de l’utilisateur, en espérant que la victime copie cette entrée trompeuse depuis son journal de transactions.
4. L’ingénierie sociale s’étend à l’usurpation d’identité et aux escroqueries au long cours. De faux agents du support contactent les utilisateurs en invoquant des problèmes de compte ou en proposant des services de récupération de fonds volés ; aucune entité légitime ne demande de phrase de récupération. Les arnaques dites « pig butchering » impliquent des mois de construction d’une relation avant d’orienter les victimes vers des plateformes d’investissement frauduleuses. En juillet 2020, des pirates ont compromis des comptes Twitter de premier plan, dont ceux de grands dirigeants de la tech, pour promouvoir une arnaque au giveaway promettant de doubler les dépôts en bitcoins.
5. Le SIM swapping cible les comptes sur les plateformes d’échange en convainquant les opérateurs télécoms de transférer le numéro de téléphone d’une victime vers un appareil contrôlé par l’attaquant. Une fois maîtres du numéro, les attaquants reçoivent les codes de connexion envoyés par SMS et accèdent aux portefeuilles de la plateforme. La coercition physique, appelée « wrench attack » (attaque à la clé à molette), consiste à s’emparer des appareils ou à forcer la divulgation de la phrase de récupération par la menace ou la violence, contournant entièrement toutes les protections numériques.
6. Les pratiques opérationnelles atténuent ces risques sans les éliminer. Les utilisateurs vérifient l’adresse du destinataire sur l’écran indépendant d’un portefeuille matériel avant de signer, afin de s’assurer que la destination correspond bien à leur intention. Beaucoup utilisent des appareils distincts pour les transactions quotidiennes et pour le stockage à long terme, ce qui réduit l’exposition aux logiciels malveillants. Rester discret sur ses avoirs limite le risque d’être ciblé ; afficher publiquement sa richesse attire l’attention des arnaqueurs comme des agresseurs.

Faits clés

Exercice neuf, six, trois, un

Vérification des faits

Les dates, les chiffres et les affirmations ont été vérifiés à l’aide des sources publiées listées ci-dessous.

• US FBI Internet Crime Complaint Center, 2023 Cryptocurrency Fraud Report
• US Department of Justice, press release on charges in the July 2020 Twitter account compromise (July 2020)
• A. M. Antonopoulos & D. A. Harding, Mastering Bitcoin, 3rd ed. (2023)