Comment protéger les transactions crypto contre le phishing

Le phishing est la principale cause de perte dans la crypte. Les attaques sont devenues plus intelligentes : faux sites de portefeuille, « drains » dans DApp, faux airdrop's, abonnements à des débits infinis (approve/permit), remplacés par des codes QR et « address poisoning ». Bonne nouvelle : une simple discipline opérationnelle ferme presque complètement ces vecteurs. Ci-dessous, un système pratique qui protège les transactions avant et après avoir cliqué sur « Envoyer/Signer ».

1) Trois baleines de protection : adresse → réseau → signature

1. Adresse du destinataire : vérifiez au moins les premiers et les derniers 4 à 6 caractères, utilisez uniquement les QR/détails de votre compte personnel, et non de vos chats/recherches.

2. Réseau/actif : Le réseau token (ERC-20/TRC-20/BEP-20/Arbitrum/Optimism/Solana/TON, etc.) doit correspondre à celui de l'expéditeur et du destinataire. Pour XRP/XLM/BNB/EOS, vérifiez Memo/Tag.

3. Signature/transaction : lisez ce que vous signez exactement : 'transfer', 'approve', 'permit', 'setApprovalForAll', 'swap', 'bridge', 'mint'. Si vous ne comprenez pas, ne signez pas.

2) Vecteurs de phishing de base (et comment les fermer)

Faux sites et domaines homographes. Travaillez uniquement à partir de vos propres signets ; ne passez pas sur les publicités et le « soutien » dans les messagers.

Stylet Clipboard et remplacement QR. Scannez le QR à partir de la page officielle, vérifiez les caractères d'adresse. Toute incohérence est une annulation.

Address poisoning. Ne copiez pas les adresses de votre historique de réception. Utilisez le carnet d'adresses/Wittlist.

Drainer-scripts dans DApp. N'importez jamais seed sur les sites. Avant de signer, regardez les droits demandés par DApp (limite, token, délai).

Faux airdrop/NFT. N'interagissez pas avec les liens « cadeaux » NFT/. Tout bouton « claim » en dehors des sources vérifiées est interdit.

Sociogeneria (courrier, Telegram/Discord). « Sapport » ne demande jamais de clé seed/private key/key export. L'antifishing dans les bourses doit être inclus.

Intégrations WalletConnect. Vérifiez le nom et le domaine DApp dans la requête de session. S'il ne correspond pas au site ouvert, refusez.

Ponts/bridges. Utilisez seulement officiel ; Vérifiez le réseau cible et le contrat de token.

Factures Lightning/QR. La facture est à usage unique. Expiré - en générer un nouveau, ne « rafraîchissez » pas l'ancien.

3) Portefeuille matériel et « confirmation à l'écran »

Le portefeuille matériel réduit considérablement le risque de phishing : il montre les données réelles de la signature dans vos mains. Habitudes :

Confirmez l'adresse/le montant/la méthode sur l'écran de l'appareil.
N'entrez jamais seed sur votre PC/téléphone/site - seulement sur l'appareil lui-même.
Pour les sommes importantes, la politique des « quatre yeux » : la deuxième personne/la deuxième clé dans le multisig.

4) Signatures sécurisées sur les réseaux EVM (ETH, BSC, Polygon, etc.)

Approve/Permit:

Donnez uniquement l'accès au jeton que vous voulez, fixez une limite minimale et non « ∞ ».
Retirez périodiquement (revoke) vos anciennes autorisations via des services de revo de portefeuille/DApp fiables.
Signatures sans gaz (EIP-2612/Permit2/Off-chain orders) : lire le texte. La « signature gratuite » peut donner accès à long terme aux dépenses.
Simulation de transaction : utilisez des portefeuilles/extensions qui montrent ce qui changera après l'exécution (d'où/où les tokens partiront).

5) Hygiène du navigateur et de l'appareil

Profil de navigateur séparé pour la crypta, minimum d'extensions.

Mise à jour automatique du portefeuille - uniquement à partir de sources officielles ; Vérifiez la signature/le hachage des billets de bureau.

2FA TOTP/U2F en bourse ; chargez les codes de sauvegarde et le deuxième jeton clé.

Ne faites pas d'opérations importantes sur le Wi-Fi public.

Enregistrez les transactions : date, réseau, adresse, montant, TxID.

6) Tcheklist avant expédition/signature (1 minute)

L'adresse est tirée du signet/de l'annexe officielle, les premiers/derniers 4 à 6 caractères correspondent.
Réseau/atout et (si nécessaire) Memo/Tag sont validés.
Je comprends le type d'opération : 'transfer '/' approve '/' permit '/' swap '/' bridge'.
La limite d'autorisation est limitée au montant de la transaction, non « ∞ ».
Pour un montant> 200 $ - Transaction de test et en attente d'inscription.
Portefeuille matériel : adresse/montant/contrat confirmé sur l'écran de l'appareil.

7) Protocole en cas de suspicion de phishing (actions par minute)

0-5 minutes :

Débranchez immédiatement Internet/extension, arrêtez les signatures supplémentaires.
Sur les bourses - geler les conclusions, changer les mots de passe, éteindre les sessions actives.

5-30 minutes :

Vérifiez les dernières approves/permit et déconnectez les suspects.
Transférez vos actifs d'un portefeuille vulnérable à un portefeuille propre (sweep) et commencez avec les jetons/pièces les plus liquides.
Enregistrez TxID, screening, logs.

Réinstallez votre portefeuille sur un périphérique propre avec de nouvelles clés.
Signalez les services où les actifs de l'intrus (échanges/ponts) pourraient se trouver.
Analysez : d'où vient le lien, qui a demandé la signature, quelles extensions sont installées.

8) Drapeaux rouges fréquents

Urgence et déficit : « faites le maintenant, sinon nous gèlerons le bonus/compte ».

Veuillez entrer la clé seed/private « pour vérifier/activer/airdrop ».

Incohérence du domaine dans WalletConnect et le site ouvert.

Demande « approve pour tous les tokens » ou « sans limite pour toujours ».

Faux boutons « speed up/claim/verify » sur les sites de clone.

9) Mini-FAQ

Le rapprochement des 4 derniers caractères d'adresse est-il suffisant ? Mieux - le premier et le dernier 4-6 : certaines attaques ramassent la même « queue ».

Dois-je toujours limiter mon approche ? Oui, oui. L'autorisation de « ∞ » est pratique pour l'intrus et les drains.

Combien de fois as-tu raison de faire de la jalousie ? Après chaque session avec une nouvelle DApp et régulièrement programmée (par exemple une fois par mois).

Le portefeuille du matériel résout tout ? Il réduit considérablement le risque, mais ne protège pas de votre signature sur une opération nocive - lisez ce que vous signez.

La traduction peut-elle être « annulée » ? Non. Le maximum est de ne pas signer l'opération nuisible ou de retirer les droits avant la passation par profits et pertes.

La protection contre le phishing n'est pas un logiciel anti-tout, mais une procédure : signets, rapprochement de l'adresse/réseau, lecture de la signature, approche limitée/permit, portefeuille matériel, rougeurs d'excès et traductions de test. Faites de cette routine - et la chance de perdre des fonds en raison du phishing deviendra statistiquement négligeable, même si vous utilisez activement DApp, ponts et bourses.