Comment protéger votre portefeuille NFT des arnaques ? (Guide de sécurité)

Comprendre les vulnérabilités du portefeuille NFT

1. Les clés privées stockées dans des fichiers non chiffrés exposent le contrôle total des actifs à toute personne qui y accède.

2. Les extensions de navigateur disposant d'autorisations excessives peuvent intercepter les demandes de signature sans avertissement visible.

3. Les domaines de phishing imitent les interfaces de portefeuille légitimes en utilisant des caractères homographes ou des astuces de sous-domaines.

4. Des contrats intelligents malveillants peuvent déclencher des transferts non autorisés lors d'approbations apparemment routinières.

5. Les réseaux Wi-Fi publics permettent des attaques de l'homme du milieu qui capturent des jetons de session ou des entrées de phrases de départ.

Sécuriser votre phrase de départ et vos clés privées

1. Ne saisissez jamais votre phrase de récupération de 12 ou 24 mots sur un site Web, même s'il prétend être un outil de récupération de portefeuille.

2. Évitez le stockage numérique : n'enregistrez pas les phrases de départ dans les notes cloud, les brouillons d'e-mails ou les captures d'écran.

3. Gravez les supports métalliques à l'aide de plaques d'acier conformes à la norme BIP39 pour résister au feu, à l'eau et à la corrosion.

4. Divisez la phrase sur plusieurs emplacements physiques fiables à l'aide du partage secret de Shamir si une redondance est requise.

5. Vérifiez chaque mot par rapport à la liste de mots officielle BIP39 avant de finaliser la configuration du portefeuille matériel.

Reconnaître les faux marchés et listes NFT

1. Vérifiez les dates d'enregistrement du domaine : les sites frauduleux apparaissent souvent moins de 30 jours avant les baisses majeures de NFT.

2. Passez la souris sur les boutons « Connecter le portefeuille » pour confirmer qu'ils déclenchent des fenêtres contextuelles de portefeuille natives, et non des modaux personnalisés.

3. Recherchez des adresses de contrat vérifiées sur Etherscan ou Solscan au lieu de vous fier aux balises du marché.

4. Rejetez les annonces proposant des liens « menthes gratuits » envoyés via DM, même à partir de comptes avec des coches bleues.

5. Comparez les prix planchers de collecte sur OpenSea, Blur et LooksRare pour repérer les écarts anormaux.

Meilleures pratiques en matière de portefeuille matériel pour les détenteurs de NFT

1. Désactivez les fonctionnalités de signature basées sur le navigateur, sauf si cela est explicitement nécessaire pour une interaction dApp spécifique.

2. Utilisez Ledger Live ou Trezor Suite exclusivement pour les mises à jour du micrologiciel, jamais pour les installateurs tiers.

3. Activez la vérification des transactions sur les écrans des appareils pour confirmer manuellement les adresses des destinataires et les identifiants des jetons.

4. Isolez les portefeuilles NFT des portefeuilles de trading en attribuant des périphériques matériels distincts pour la garde et l'activité.

5. Révoquez toutes les allocations ERC-20 et ERC-721 inutiles à l'aide d'outils tels que les scanners Revoke.cash ou EOA.

Foire aux questions

Q : Puis-je récupérer un NFT volé après avoir approuvé un contrat malveillant ? La récupération est presque impossible une fois le transfert confirmé en chaîne. La révocation au niveau du contrat n’existe pas pour les transferts finalisés.

Q : Est-il sûr d'utiliser MetaMask avec un appareil Ledger pour les transactions NFT ? Oui, si vous activez la prise en charge du navigateur Ledger Live et vérifiez chaque transaction sur l'écran de l'appareil avant de confirmer.

Q : Les NFT stockés sur des plateformes centralisées comme NBA Top Shot présentent-ils les mêmes risques de sécurité ? Ils comportent des risques différents : les plates-formes de conservation contrôlent les clés privées, de sorte que le vol se produit via des violations de compte plutôt que des exploits de portefeuille.

Q : Pourquoi certains projets NFT m'obligent-ils à signer un message avant de le frapper ? Il s'agit souvent d'une étape d'authentification du portefeuille, mais ne signez jamais de messages contenant des chaînes hexadécimales ou des adresses de contrat inconnues.