Comment prévenir les escroqueries par phishing sur les échanges cryptographiques ?

Activer rigoureusement l'authentification à deux facteurs (2FA)

1. Activez toujours 2FA à l'aide d'une application d'authentification comme Google Authenticator ou Authy au lieu de la vérification par SMS, qui est vulnérable à l'échange de carte SIM.

2. Stockez vos codes de sauvegarde 2FA dans un emplacement hors ligne sécurisé, jamais dans des notes cloud ou des comptes de messagerie accessibles via les navigateurs Web.

3. Désactivez les anciennes méthodes 2FA telles que le repli des e-mails si la plateforme d'échange le permet, réduisant ainsi les points d'entrée potentiels pour les attaquants.

4. Scannez à nouveau les codes QR et resynchronisez régulièrement votre authentificateur pour éviter toute désynchronisation qui pourrait entraîner le verrouillage du compte ou un accès mal configuré.

5. Évitez d'installer des extensions de navigateur tierces prétendant « améliorer » le 2FA : elles peuvent intercepter les jetons TOTP ou injecter des scripts malveillants.

Vérifier manuellement les noms de domaine et les URL

1. Ajoutez uniquement le site Web officiel de l'échange directement après avoir confirmé son certificat HTTPS et l'orthographe du domaine. Ne vous fiez pas aux résultats des moteurs de recherche ou aux liens vers les réseaux sociaux.

2. Inspectez chaque caractère de la barre d'URL avant de saisir les informations d'identification ; recherchez attentivement les attaques d'homographes utilisant des caractères Unicode comme « а » (cyrillique) au lieu de « a » (latin).

3. Vérifiez les certificats TLS valides en cliquant sur l'icône de cadenas : vérifiez que l'émetteur est une autorité de certification de confiance et que le nom commun correspond au domaine exact.

4. Désactivez les fonctionnalités de remplissage automatique dans les navigateurs pour les formulaires de connexion à l'échange cryptographique afin d'éviter toute soumission accidentelle à des pages usurpées avec des noms de champs similaires.

5. Utilisez des outils de filtrage DNS ou des extensions de navigateur qui signalent en temps réel les domaines de phishing connus, en particulier ceux imitant Binance, OKX ou Bybit.

Examiner les sources de communication

1. Ne cliquez jamais sur des liens et ne téléchargez jamais de pièces jointes à partir d'e-mails, de DM ou de messages Telegram non sollicités, même s'ils semblent provenir d'équipes d'assistance ou de comptes vérifiés.

2. Vérifiez les adresses des expéditeurs et les noms d'utilisateur : le personnel officiel de l'échange ne demandera jamais de clés privées, de phrases de départ ou de mots de passe de retrait via le chat.

3. Confirmez les annonces via plusieurs canaux indépendants : comptes Twitter/X officiels, référentiels GitHub et blog vérifié de l'échange, et non un seul canal de notification.

4. Surveillez les termes d'urgence tels que « Votre compte sera suspendu dans 2 heures » : les plateformes légitimes n'utilisent pas de tactiques de timing coercitives.

5. Signalez les messages suspects à l'équipe de sécurité de l'échange en utilisant uniquement les méthodes de contact répertoriées dans le pied de page de leur site officiel.

Pratiques d'interaction avec le portefeuille sécurisé

1. N'approuvez jamais les demandes de connexion de portefeuille sur des dApps ou des sites Web non fiables affichant de faux écrans de solde ou des aperçus de transactions.

2. Utilisez des portefeuilles matériels pour signer des transactions et désactivez les extensions de portefeuille basées sur le navigateur lorsque vous ne négociez pas activement.

3. Examinez chaque détail de la transaction, y compris l'adresse du destinataire, le montant et les frais de réseau, avant de confirmer, même si l'interface semble familière.

4. Rejetez toute demande de « vérification de la propriété du portefeuille » en envoyant de petits transferts tests : il s'agit d'un modèle d'arnaque connu utilisé pour drainer des fonds.

5. Maintenez des portefeuilles séparés pour les dépôts, les transactions et la détention à long terme, chacun avec des contrôles d'accès et des chemins de récupération distincts.

Surveiller l'activité du compte en continu

1. Activez toutes les alertes de connexion et de retrait disponibles (notifications par e-mail, SMS et push) et traitez chaque alerte comme étant exploitable et non informative.

2. Examinez chaque semaine les emplacements de connexion et les appareils récents à l'aide du tableau de bord de sécurité de l'échange, mettant immédiatement fin aux sessions inconnues.

3. Configurez des adresses de retrait sur liste blanche et exigez une approbation manuelle pour tout nouvel enregistrement d'adresse, même s'il est initié à partir de votre propre adresse IP.

4. Auditez régulièrement les autorisations des clés API ; révoquer les clés avec un accès « retirer » ou « échanger » accordé à des applications inconnues ou à des robots de trading obsolètes.

5. Exportez et archivez mensuellement les journaux d'historique de connexion pour détecter des anomalies subtiles telles que des échecs de connexion répétés suivis d'un accès réussi à partir de géolocalisations inconnues.

Foire aux questions

Q : Un site de phishing peut-il voler la clé privée de mon portefeuille matériel ? Les portefeuilles matériels maintiennent les clés privées isolées et ne les exposent jamais aux sites Web connectés. Cependant, les sites de phishing peuvent inciter les utilisateurs à signer des transactions malveillantes. Vérifiez donc toujours les adresses et les montants des destinataires sur l'écran de l'appareil avant de les approuver.

Q : Est-il sûr d'utiliser des applications mobiles fournies par Exchange téléchargées à partir de magasins d'applications tiers ? Non. Installez uniquement les applications Exchange officielles depuis l'Apple App Store ou le Google Play Store en utilisant des profils de développeur vérifiés. Les magasins tiers distribuent souvent des versions reconditionnées infectées par des logiciels malveillants.

Q : Que dois-je faire si j'ai accidentellement saisi mes informations d'identification sur un site de phishing ? Modifiez immédiatement votre mot de passe sur l'échange légitime, révoquez toutes les clés et sessions API actives, activez 2FA si ce n'est pas déjà actif et analysez votre appareil à la recherche d'enregistreurs de frappe ou de pirates de l'air du presse-papiers.

Q : Les escroqueries par phishing ciblent-elles de manière plus agressive les non-anglophones ? Oui. Les fraudeurs enregistrent fréquemment des domaines localisés et déploient de faux chats d'assistance multilingues, ciblant en particulier les communautés coréennes, vietnamiennes et arabophones où la surveillance réglementaire et la sensibilisation des utilisateurs sont comparativement moindres.