Arnaques à l’airdrop crypto : les reconnaître et s’en protéger

Les airdrops attirent les escrocs pour une raison simple : la victime s’attend à connecter un wallet et à cliquer sur un bouton. L’attaquant n’a qu’à faire faire à ce bouton autre chose que ce que vous croyez. Toute la suite explique comment cette substitution est réalisée et comment la repérer.

Anatomie d’une attaque par drainer

Un drainer est un kit vendu ou loué aux escrocs. Il fournit une interface qui imite une vraie page de claim et un script qui inspecte le wallet connecté, repère les actifs les plus précieux et prépare la demande de signature qui les déplace. Le kit réfléchit à la place de l’attaquant, qui n’a besoin d’aucune compétence technique : c’est pourquoi le même schéma se répète partout.

Ni mot de passe, ni phrase de récupération, ni logiciel malveillant : tout passe par des fonctions standard que les vraies applications utilisent aussi. La défense se joue donc sur l’écran de signature et sur l’origine du lien.

Ce que fait réellement la signature piégée

Quatre mécanismes expliquent l’essentiel des pertes. Tous sont des fonctions normales, décrites dans des standards publics.

L’autorisation ERC-20 (approve)

Le standard EIP-20 permet d’autoriser un tiers à retirer des tokens jusqu’à un plafond, autant de fois qu’il le souhaite, via approve ; il les déplace ensuite avec transferFrom sans vous redemander. Un drainer vous fait approuver sa propre adresse, souvent pour un montant illimité. C’est pourquoi ethereum.org déconseille les plafonds illimités.

setApprovalForAll pour les NFT

Cette fonction donne à un opérateur la gestion de tous vos NFT d’une collection ; selon l’EIP-721, il peut notamment les transférer. Une page de mint ou de claim gratuite n’a aucune raison de la demander.

Les signatures permit (EIP-2612)

L’EIP-2612 crée une autorisation à partir d’un simple message signé, que n’importe qui peut ensuite soumettre. Le piège : signer ne coûte pas de gas, la fenêtre ressemble à une connexion, et rien n’apparaît sur un explorateur avant que l’attaquant n’utilise la signature.

Permit2

Permit2 est un contrat d’Uniswap qui gère des transferts ponctuels et des autorisations durables avec montant et expiration (documentation Uniswap). Revoke.cash souligne qu’il peut approuver plusieurs tokens à la fois, ce qui brouille la lecture, et que les sites de phishing exploitent cette confusion.

Les portes d’entrée vers la page piégée

Faux sites de claim et typosquatting

Domaines qui diffèrent du vrai d’une lettre, d’un mot ajouté (« claim », « rewards »), d’une extension ou d’un caractère ressemblant. Des annonces sponsorisées les placent parfois au-dessus du vrai lien. Enregistrez le site officiel en favori, depuis la documentation du projet.

Fausses annonces sur X, Discord et Telegram

Comptes piratés, comptes clonés au pseudo presque identique, faux messages « le claim est ouvert ». Ethereum.org signale que l’aperçu d’un lien sur X peut afficher un domaine de confiance et rediriger ailleurs. Voir aussi nos airdrops Telegram.

Tokens piégés et NFT inattendus

Des tokens apparaissent dans votre wallet ; leur nom contient une URL vers une page « réclamez votre récompense ». Ethereum.org classe ce cas parmi les arnaques à l’airdrop. Ignorez-les. Voir nos airdrops NFT.

Faux support en message privé

Vous posez une question publiquement et un « modérateur » vous écrit dans la minute. Ethereum.org rappelle que le vrai personnel ne contacte pas les gens par des canaux privés non officiels.

Extensions et applications de wallet clonées

Une extension malveillante peut lire ou modifier les pages visitées. N’installez rien qui vous soit recommandé en message privé.

Hameçonnage de la phrase de récupération

On vous demande vos douze ou vingt-quatre mots pour « vérifier » ou « synchroniser » votre éligibilité. Ethereum.org est formel : ne la partagez jamais, et évitez les captures d’écran, qui peuvent se synchroniser dans le cloud.

Les schémas signalés en France

Au-delà des drainers, les autorités françaises décrivent des escroqueries qui touchent aussi les amateurs d’airdrops.

• Le faux conseiller. Selon Cybermalveillance.gouv.fr, l’escroquerie au placement financier commence par un contact sur les réseaux sociaux, une messagerie, un forum ou une publicité ; un faux conseiller personnel multiplie les échanges, un premier placement paraît rentable, puis des « taxes » sont réclamées au moment du retrait, avant que les escrocs ne deviennent injoignables. Une promesse de « bonus d’airdrop » sur WhatsApp ou Telegram suit exactement ce scénario.
• Le faux récupérateur de fonds. L’AMF a alerté sur des appels d’usurpateurs se présentant comme enquêteurs de l’AMF, avec un numéro affiché semblable à son standard. Son communiqué est clair : l’AMF ne contacte jamais d’épargnants de sa propre initiative pour récupérer des fonds, n’a pas compétence pour les restituer et ne demande jamais d’argent.
• L’usurpation de plateformes. La liste noire de l’AMF comporte une catégorie « usurpation » à côté des sites crypto non autorisés. Les acteurs de cette liste n’ont pas le droit de proposer leurs services en France.
• La plateforme hors cadre. Depuis le 2 juillet 2026, MiCA s’applique à tous ; l’AMF encourage à n’utiliser que des prestataires agréés pour opérer dans l’Union européenne (communiqué AMF). Une « plateforme partenaire » où il faudrait déposer des fonds pour débloquer un airdrop doit vous alerter.

Le contrôle en dix secondes

Vous ne mènerez pas une enquête avant chaque claim, mais une courte routine bloque la majorité des attaques. La progression est enregistrée dans votre navigateur uniquement.

L’étape du wallet séparé compte plus qu’il n’y paraît : même une personne prudente finit par signer une erreur, et tout dépend alors de ce qui est exposé. Voir notre guide du burner wallet.

Signaux d’alerte : pourquoi ils marchent, que faire

Si vous avez déjà signé une demande malveillante

La vitesse compte : les drainers siphonnent souvent en quelques minutes, d’autres attendent. Procédez dans cet ordre.

1. Arrêtez toute interaction. Fermez la page et ne signez plus rien, y compris les offres de « récupération ».
2. Créez un wallet neuf sur un appareil ou un profil de navigateur sain.
3. Déplacez ce qui peut l’être vers ce nouveau wallet, en gardant un peu de token natif pour le gas.
4. Révoquez l’autorisation avec Revoke.cash ou l’outil d’un explorateur de blocs, chaîne par chaîne, comme expliqué dans notre guide pour révoquer les autorisations de tokens. Selon ethereum.org, révoquer exige une transaction payante, et déconnecter le wallet ne supprime pas les autorisations.
5. Si vous avez saisi votre phrase de récupération, considérez tout le wallet comme perdu : l’attaquant détient la clé. Migrez tout.
6. Conservez les preuves : captures, adresses, hash de transactions, messages échangés.

Où signaler et se faire aider en France

• Dépôt de plainte au commissariat, à la gendarmerie ou par écrit au procureur de la République, comme l’indique Cybermalveillance.gouv.fr.
• AMF Épargne Info Service pour les produits financiers, crypto comprise : 01 53 45 62 00 ou formulaire en ligne. L’AMF demande de lui signaler les appels d’usurpateurs.
• France Victimes pour un accompagnement gratuit : 116 006, sept jours sur sept, de 9 h à 19 h, selon Cybermalveillance.gouv.fr.
• Chainabuse pour signaler une adresse ou une URL à la communauté ; le site précise que cela ne remplace pas une enquête judiciaire.

En Belgique, en Suisse et au Québec, adressez-vous respectivement à la FSMA, à la FINMA et à l’Autorité des marchés financiers du Québec, ainsi qu’à la police locale.

Pour la méthode de vérification complète, lisez reconnaître un airdrop fiable ; pour comprendre comment se déroule une vraie distribution, qu’est-ce qu’un airdrop crypto. Les étapes d’un claim sûr sont détaillées dans réclamer un airdrop. Et pour suivre l’actualité, notre liste des nouveaux airdrops crypto vaut mieux qu’un message privé.

Rédigé et vérifié par la Rédaction d’airdrop.promo. Méthode : notre méthode de vérification (EN). Une erreur ? contacts@airdrop.promo. Contenu informatif, pas un conseil financier ni fiscal.