Sécurité crypto : arnaques fréquentes, hameçonnage, rug pulls et vrais piratages de plateformes

Par Unicorn Private Research. Publié le 27 octobre 2026.

Comment se protéger des arnaques et des piratages crypto ? La plupart des pertes ne viennent pas d'une faille de la cryptographie mais de la tromperie : faux sites, faux conseillers, fausses plateformes d'investissement et autorisations malveillantes. Les défenses de base sont simples : ne jamais partager une phrase de récupération ni un code de connexion, ne contacter les sociétés que par des adresses que l'on a tapées ou enregistrées soi-même, utiliser une application d'authentification ou une clé physique, vérifier chaque adresse et chaque autorisation avant de signer, et considérer toute promesse de rendement fixe ou très élevé comme un signal d'alerte.

L'ampleur du problème

L'Internet Crime Complaint Center (IC3) du FBI a reçu en 2025 181 565 plaintes liées aux cryptomonnaies, pour des pertes déclarées d'environ 11,4 milliards de dollars, en hausse de 22 % sur 2024 ; la seule fraude à l'investissement en cryptomonnaies représente environ 7,2 milliards de dollars, et les pertes via les distributeurs de cryptomonnaies ont atteint 389 millions de dollars (rapport IC3 2025, publié en avril 2026, selon la synthèse de The Block). S'y ajoutent les vols visant les plateformes : Chainalysis a compté environ 2,17 milliards de dollars dérobés aux services crypto sur le seul premier semestre 2025 (point de mi-année de Chainalysis, juillet 2025).

Les arnaques les plus fréquentes

• Fraude à l'investissement : un contact rencontré sur un réseau social, une application de rencontre ou un groupe de messagerie montre des gains sur une plateforme d'apparence professionnelle, pousse à déposer davantage, puis bloque les retraits ou réclame des frais et des taxes pour les débloquer. C'est la catégorie la plus importante dans les données de l'IC3.
• Hameçonnage : e-mails, SMS et résultats sponsorisés qui copient la page d'une plateforme ou d'un portefeuille pour voler identifiants, codes ou phrase de récupération.
• Faux service client : comptes sur les réseaux sociaux ou appels se faisant passer pour l'assistance, souvent après une question posée publiquement par la victime, qui demandent un accès à distance, des codes ou un transfert vers un prétendu portefeuille sûr.
• Autorisations malveillantes et drainers : un site demande de signer une transaction ou une permission qui permet à un contrat de déplacer vos jetons.
• Empoisonnement d'adresse : l'escroc envoie un montant minime depuis une adresse qui ressemble à l'une des vôtres, en espérant que vous la copierez dans votre historique.
• Rug pulls : les créateurs d'un jeton ou d'un projet attirent des fonds puis retirent la liquidité ou vendent leurs avoirs, laissant aux acheteurs des jetons invendables à un prix significatif.
• Faux cadeaux et faux airdrops : promesses de doubler ce que vous envoyez, ou jetons qui exigent de connecter votre portefeuille pour les réclamer.
• Arnaques à la récupération : après une perte, quelqu'un propose de récupérer les fonds moyennant un paiement d'avance.

Protéger ses comptes

• Utilisez un mot de passe long et unique pour chaque plateforme et pour l'e-mail associé, conservé dans un gestionnaire de mots de passe.
• Préférez une application d'authentification ou une clé de sécurité physique aux codes SMS, exposés au détournement de carte SIM ; demandez à votre opérateur de verrouiller la portabilité du numéro.
• Activez les listes d'adresses de retrait autorisées et les codes anti-hameçonnage quand la plateforme les propose.
• N'accédez à la plateforme qu'en tapant son adresse ou par un favori enregistré, jamais par des publicités ou des liens reçus.
• Tenez vos appareils à jour, n'installez portefeuilles et extensions que depuis les boutiques et liens officiels et supprimez les extensions inutilisées.

Protéger la phrase de récupération et les portefeuilles en auto-conservation

• Écrivez la phrase de récupération hors ligne, sur papier ou sur métal, sans jamais la photographier ni la stocker en ligne.
• Ne la saisissez jamais sur un site ou dans un formulaire : un portefeuille ne la demande que lorsque vous le restaurez sur votre propre appareil.
• Vérifiez sur l'écran de l'appareil l'adresse de destination complète, le réseau et le montant avant de confirmer.
• Lisez ce que vous signez ; révoquez les anciennes autorisations de jetons dont vous n'avez plus besoin.
• Gardez les avoirs importants en stockage froid ou dans une configuration multisignature, et utilisez un portefeuille chaud distinct pour l'usage courant.

Vraies attaques contre des plateformes et des portefeuilles

• Bybit, 21 février 2025 : environ 1,5 milliard de dollars en ether ont été dérobés dans un portefeuille froid lors d'un transfert de routine ; le 26 février 2025, le FBI a attribué le vol à des acteurs nord-coréens connus sous le nom de TraderTraitor (FBI IC3). Chainalysis estime qu'il a représenté environ 69 % des fonds volés aux services au premier semestre 2025.
• Coinbase, mai 2025 : des criminels ont corrompu des prestataires du service client hors des États-Unis pour obtenir des données de clients, puis se sont fait passer pour Coinbase afin de pousser des clients à envoyer des fonds ; la société a refusé une rançon de 20 millions de dollars et estimé les coûts entre 180 et 400 millions de dollars (formulaire 8-K déposé auprès de la SEC, mai 2025). Ni les mots de passe ni les clés privées n'ont été compromis.
• Trust Wallet, décembre 2025 : une version 2.68 malveillante de l'extension de navigateur, publiée grâce à un identifiant de la boutique dérobé, a vidé des portefeuilles pour environ 7 millions de dollars ; la société a annoncé des remboursements (The Block, décembre 2025).
• Ledger, juin 2020 : une intrusion dans la base de données de commerce en ligne a exposé environ 1 million d'adresses e-mail et les coordonnées de 9 500 clients, ensuite utilisées pour des courriers et e-mails d'hameçonnage ; les appareils et les fonds n'ont pas été touchés (Ledger, juillet 2020).
• FTX, novembre 2022 : pas un piratage, mais la faillite d'une plateforme qui, selon la plainte de la SEC du 13 décembre 2022, avait détourné les fonds de ses clients. Le risque de conservation inclut les malversations autant que les attaques.

Si quelque chose tourne mal

Agissez vite : transférez les fonds restants vers un nouveau portefeuille avec une nouvelle phrase de récupération, changez vos mots de passe, révoquez les autorisations, contactez la plateforme par ses canaux officiels et portez plainte auprès de la police et, aux États-Unis, sur ic3.gov. Conservez les identifiants de transaction et les captures d'écran. Méfiez-vous de quiconque vous contacte ensuite en promettant de récupérer l'argent contre paiement.

Sécurité et Unicorn Club

Les mêmes règles valent pour tout paiement en cryptomonnaies à une contrepartie : confirmez l'adresse par un canal vérifié et, en cas de doute, envoyez d'abord un petit montant de test. Unicorn Club, le club pour investisseurs accrédités organisé par Unicorn Private LLC, accepte BTC, ETH, USDT et USDC (ERC-20) pour ses club deals pré-IPO ; le guide sur l'investissement dans des sociétés pré-IPO avec des cryptomonnaies décrit comment les paiements sont confirmés.

Questions fréquentes

Peut-on récupérer des cryptomonnaies volées ?

Parfois, lorsque les fonds arrivent sur une plateforme qui les bloque à la demande des autorités, mais dans la plupart des cas un transfert confirmé ne peut pas être annulé. La prévention compte davantage que la récupération.

Comment reconnaître une fausse plateforme d'investissement ?

Signaux d'alerte : rendements qui semblent garantis, pression pour déposer davantage, contact jamais rencontré en personne, retraits soumis à des frais supplémentaires, société absente du registre de toute autorité.

Un portefeuille matériel suffit-il ?

Il protège la clé privée des logiciels malveillants, mais ne vous empêche pas de révéler votre phrase de récupération ou d'approuver une transaction malveillante. Il fonctionne avec de bonnes habitudes.

Guide associé

• Comment investir dans des sociétés pré-IPO avec des cryptomonnaies grâce à Unicorn Club
• ETF bitcoin et ether et autres façons indirectes d'investir dans les cryptos
• Les portefeuilles crypto expliqués : avec ou sans dépositaire, chaud ou froid, phrase de récupération
• Comment acheter votre première cryptomonnaie, étape par étape
• Qu'est-ce qu'un club deal ? Comment fonctionnent les club deals pré-IPO

Sources

• FBI Internet Crime Complaint Center, 2025 IC3 Report, April 2026
• The Block, FBI says crypto-related fraud losses hit record 11.4 billion dollars in 2025, April 2026
• Chainalysis, 2025 crypto crime mid-year update, July 2025
• The Record, Chainalysis: 2.17 billion dollars stolen in the first half of 2025, July 2025
• FBI IC3, public service announcement on the Bybit theft, 26 February 2025
• Coinbase Global, Form 8-K filed with the SEC, May 2025
• The Block, Trust Wallet extension incident, December 2025
• Ledger, addressing the July 2020 e-commerce and marketing data breach, July 2020
• SEC, charges against the founder of FTX, 13 December 2022