Comment prévenir les attaques de drainage du portefeuille

Hygiène de la connexion du portefeuille

1. N'approuvez jamais les connexions de portefeuille sur des domaines non vérifiés, même si l'URL ressemble à une plate-forme connue.

2. Inspectez toujours le nom de domaine exact dans la barre d'adresse de votre navigateur avant de signer toute transaction ou demande d'approbation.

3. Rejetez les invites de connexion qui apparaissent dans les fenêtres contextuelles, les iframes intégrées ou les bannières publicitaires tierces.

4. Désactivez les fonctionnalités de connexion automatique dans les extensions de portefeuille, sauf si cela est explicitement requis pour les dapps de confiance que vous avez audités.

5. Traitez chaque bouton de connexion du portefeuille comme un vecteur d’attaque potentiel : présumez une intention malveillante jusqu’à preuve du contraire.

Gestion de l'approbation des jetons

1. Vérifiez régulièrement votre liste d'approbation de jetons à l'aide d'outils tels que Revoke.cash ou Token Sniffer.

2. Révoquez immédiatement les autorisations pour les contrats sans historique d'interaction ou avec des origines de déploiement inconnues.

3. Évitez d’accorder des allocations illimitées : utilisez des plafonds spécifiques, même pour les protocoles réputés.

4. N'approuvez jamais les jetons sur les réseaux de test et supposez que ces approbations sont répercutées sur le réseau principal ; ce n’est pas le cas.

5. Surveillez les approbations en attente via Etherscan ou Blockchair pour détecter les interactions contractuelles non autorisées en temps réel.

Tactiques de résistance au phishing

1. Ajoutez uniquement aux favoris les liens officiels du projet provenant de comptes de réseaux sociaux vérifiés, et non les résultats des moteurs de recherche ou les annonces Telegram.

2. Vérifiez les adresses des contrats avec les référentiels GitHub publiés ou les audits d'entreprises comme CertiK ou OpenZeppelin.

3. Ignorez les DM proposant des « parachutages », des « spots sur liste blanche » ou des « mises à jour de sécurité urgentes » : les équipes légitimes n'initient jamais de contact de cette façon.

4. Désactivez les notifications du navigateur provenant des sites liés à la cryptographie, sauf si elles sont activées manuellement pour des plates-formes spécifiques et hautement fiables.

5. Utilisez des portefeuilles matériels pour tous les actifs importants : les portefeuilles logiciels ne disposent pas de barrières de confirmation physiques lors de demandes de signature malveillantes.

Stratégie de ségrégation multi-portefeuilles

1. Attribuez un portefeuille exclusivement aux actifs de grande valeur, jamais utilisé pour naviguer, tester ou interagir avec de nouvelles dapps.

2. Conservez un portefeuille séparé pour l'activité DeFi quotidienne, financé uniquement avec les montants que vous êtes prêt à perdre.

3. Isolez les portefeuilles d'interaction NFT des portefeuilles d'échange de jetons pour limiter la propagation des exploits entre contrats.

4. Stockez les phrases de départ pour les portefeuilles froids hors ligne, jamais dans des notes cloud, des brouillons d'e-mails ou des fichiers de capture d'écran.

5. Évitez de réutiliser les mots de passe ou les mnémoniques de récupération entre les fournisseurs de portefeuilles ou les comptes d'échange.

Outils de surveillance en temps réel

1. Intégrez des services d'alerte de portefeuille tels que la liste de surveillance d'Etherscan ou les notifications de changement de solde de Zapper.

2. Activez les fonctionnalités de simulation de transaction dans MetaMask ou Rabby avant de finaliser toute approbation ou transfert.

3. Abonnez-vous aux flux de menaces blockchain tels que les rapports d'incidents d'Immunefi ou les mises à jour de domaines frauduleux de Chainabuse.

4. Exécutez des scripts de surveillance des nœuds locaux qui signalent les pics anormaux de consommation de gaz ou les appels de contrat inattendus.

5. Utilisez les tableaux de bord basés sur l'API Blockfence pour visualiser le comportement du contrat en direct avant d'autoriser les autorisations.

Foire aux questions

Q : Les fraudeurs peuvent-ils vider mon portefeuille sans que je clique sur quoi que ce soit ? R : Oui : des sites Web malveillants peuvent déclencher des tentatives de connexion silencieuses au portefeuille en utilisant des exploits de navigateur ou du code frontal compromis, en particulier sur les versions de navigateur obsolètes.

Q : L'activation de l'authentification à deux facteurs sur mon échange protège-t-elle mon portefeuille auto-gardé ? R : Non : 2FA s’applique uniquement aux comptes d’échange et aux services de garde ; il n'offre aucune protection pour les clés privées stockées dans les appareils MetaMask ou Ledger.

Q : Les portefeuilles matériels sont-ils immunisés contre les attaques drainantes ? R : Pas entièrement : même si les portefeuilles matériels empêchent l'exposition des clés privées, ils nécessitent toujours la confirmation de l'utilisateur pour les transactions ; l’ingénierie sociale ou les fausses mises à jour du micrologiciel peuvent contourner leur modèle de sécurité.

Q : Si je révoque une approbation de jeton, cela affecte-t-il les transactions passées ? R : Non : la révocation empêche uniquement les transferts futurs ; les transactions précédemment exécutées restent immuables et irréversibles en chaîne.