Un jeton que vous n’avez jamais acheté apparaît dans votre portefeuille. Son nom ressemble à une invitation : réclamez 5 000 USDT, rendez-vous sur un site, faites vite avant minuit. Rien là-dedans n’est un cadeau. Le phishing crypto par faux airdrop prend rarement quelque chose au moment où le jeton arrive. blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il agit à l’étape suivante, quand vous connectez votre portefeuille au site que le jeton désigne et que vous signez ce qu’on vous demande.
Cette deuxième étape est tout le jeu. Une fausse page de réclamation réclame une autorisation qui permet à un script de vider le portefeuille. Une adresse presque identique à la vôtre, glissée dans votre historique, attend que vous la copiez. Un compte de célébrité promet de doubler tout ce que vous envoyez. L’appât change, mais le geste dont l’escroc a besoin vient toujours de vous.
Notre panorama des arnaques crypto passe en revue toutes les familles de fraude, et la leçon précédente sur les fausses plateformes d’investissement en cryptos traitait des sites qui font semblant de faire fructifier votre dépôt. Celle-ci reste sur l’appât de l’argent gratuit : faux sites de réclamation et wallet drainers, jetons déposés dans votre portefeuille, empoisonnement d’adresse et giveaways qui empruntent des noms célèbres, avec des cas réels, des chiffres datés et une routine pour vérifier un airdrop avant d’y toucher.
Faux airdrop crypto : les vrais airdrops existent, et c’est ce qui fait marcher l’arnaque
Un airdrop est une distribution de jetons à des adresses de portefeuilles, en général pour récompenser les premiers utilisateurs d’un protocole ou pour diffuser largement un nouveau jeton. Certains sont envoyés directement. Les plus gros demandent le plus souvent d’aller sur le site du projet, de connecter un portefeuille et de lancer une transaction de réclamation.
L’exemple le plus connu est Uniswap. Le 16 septembre 2020, la plateforme a lancé son jeton UNI et permis à ses anciens utilisateurs de réclamer 400 UNI chacun. Toute adresse qui avait appelé les contrats Uniswap v1 ou v2 avant un instantané pris le 1er septembre 2020 à 00 h 00 UTC y avait droit, y compris environ 12 000 adresses qui n’avaient envoyé que des transactions échouées : 251 534 adresses au total, selon l’annonce d’Uniswap. Environ 49 000 anciens fournisseurs de liquidité se sont partagé 49,2 millions d’UNI supplémentaires, au prorata. Des gens qui avaient échangé quelques dollars de jetons des mois plus tôt ont découvert qu’ils avaient quelque chose à réclamer.
Les escrocs ont tiré deux leçons d’airdrops comme celui-là. Les utilisateurs connectent un portefeuille et signent des transactions pour réclamer des jetons gratuits, et ils le font vite, parce que les fenêtres de réclamation et les variations de prix créent l’urgence. À chaque annonce d’un vrai airdrop, des pages de réclamation imitées suivent, avec le même logo, un nom de domaine à une lettre près du vrai et un bouton « Claim ». Un vrai airdrop offre la meilleure couverture possible à un faux.
La réponse honnête à « les airdrops sont-ils sûrs ? » tient donc en deux parties. Recevoir des jetons est sans danger en soi. Le danger tient à ce qu’on vous demande de faire ensuite, et à l’endroit où on vous le demande.
Phishing crypto : les faux sites de réclamation et les wallet drainers
Ce que fait un drainer une fois votre portefeuille connecté
Un wallet drainer est un kit de scripts et de contrats intelligents vendu ou loué à des escrocs. Le site de phishing ressemble à la page de réclamation d’un vrai projet. Quand un visiteur connecte son portefeuille, le script lit ce que celui-ci contient et demande une signature ou une autorisation qui livre d’abord les actifs les plus précieux. Le visiteur croit réclamer des jetons. En réalité, il autorise un transfert vers l’extérieur.
Les drainers fonctionnent comme des entreprises. Scam Sniffer, une société de lutte contre les arnaques du Web3, a compté plus de 5,9 millions de dollars pris à 4 888 victimes par Inferno Drainer au 22 mai 2023, à travers au moins 689 faux sites imitant 229 marques, a rapporté BleepingComputer ; les opérateurs versaient aux développeurs du kit 20 % de leur butin, ou jusqu’à 30 % si les développeurs construisaient aussi les sites de phishing. Group-IB, une société de sécurité, a décrit en janvier 2024 comment les pages d’Inferno attiraient les visiteurs avec des formules comme « Exclusive airdrop » et « The biggest airdrop », et cité une estimation de Scam Sniffer d’au moins 80 millions de dollars volés entre novembre 2022 et novembre 2023 via plus de 16 000 domaines.
Inferno n’était qu’une marque parmi d’autres. MS Drainer, que Scam Sniffer suit depuis mars 2023, a pris environ 58,98 millions de dollars à environ 63 210 victimes en neuf mois à peu près, selon son rapport du 21 décembre 2023 ; une seule victime a perdu environ 24 millions de dollars sur Ethereum en septembre 2023. À la mi-mai 2024, Pink Drainer a annoncé à ses clients qu’il fermait, a rapporté The Block le 17 mai, après avoir pris environ 85 millions de dollars à plus de 21 000 victimes au cours de l’année écoulée, d’après les données de Scam Sniffer.
| Drainer ou mesure | Pertes | Victimes | Période et source |
|---|---|---|---|
| Inferno Drainer (premier décompte) | plus de 5,9 millions de dollars | 4 888 | jusqu’au 22 mai 2023, Scam Sniffer via BleepingComputer |
| Inferno Drainer (estimation) | au moins 80 millions de dollars | non précisé | nov. 2022 à nov. 2023, estimation de Scam Sniffer citée par Group-IB |
| MS Drainer | environ 58,98 millions de dollars | environ 63 210 | mars à déc. 2023, Scam Sniffer |
| Pink Drainer | environ 85 millions de dollars | plus de 21 000 | année jusqu’au 17 mai 2024, données de Scam Sniffer via The Block |
| Ensemble du phishing par drainers, 2024 | environ 494 millions de dollars | non précisé ici | rapport annuel de Scam Sniffer, janvier 2026 |
| Ensemble du phishing par drainers, 2025 | 83,85 millions de dollars | 106 106 | rapport annuel de Scam Sniffer, janvier 2026 |
La tendance s’est inversée, du moins selon cette mesure. Le rapport de Scam Sniffer publié le 3 janvier 2026 a compté 83,85 millions de dollars perdus par phishing de type drainer en 2025, soit 83 % de moins qu’en 2024, avec 106 106 victimes (68 % de moins) et une perte moyenne de 790 dollars. Seuls 11 cas ont dépassé 1 million de dollars, contre 30 l’année précédente. La société présente ses chiffres comme un plancher : ils ne couvrent que les attaques de drainers par sites de phishing et laissent de côté les piratages directs, les compromissions de plateformes et les exploits de contrats intelligents.
Approbations et signatures permit, en clair
Deux types d’autorisation font l’essentiel des dégâts. Le premier est l’approbation de jeton classique. Sur Ethereum et les chaînes similaires, un jeton comme l’USDC permet d’autoriser un contrat intelligent à déplacer vos jetons à votre place, ce qui est le fonctionnement des plateformes d’échange décentralisées. L’approbation est une transaction dont vous payez les frais de gas, et elle reste valable jusqu’à ce que vous l’annuliez. Revoke.cash, qui développe un outil pour les annuler, le dit simplement : un contrat que vous avez approuvé peut dépenser ces jetons à tout moment, tant que l’autorisation dure. Beaucoup d’applications demandent par défaut une autorisation illimitée. ethereum.org prévient qu’une dépense illimitée pourrait permettre à un contrat de vider votre portefeuille.
Le second type est plus discret. La norme EIP-2612, dite « permit », permet à un détenteur de jetons d’accorder une autorisation en signant un message au lieu d’envoyer une transaction. Pas de gas, rien de visible sur la chaîne au moment de la signature. Quiconque détient cette signature peut ensuite la soumettre au contrat du jeton. Le contrat Permit2 d’Uniswap repose sur la même idée pour n’importe quel jeton. Pour un escroc, un permit signé est idéal : la victime voit une fenêtre du portefeuille avec un texte qu’elle ne lit pas, clique sur « Sign », et le transfert a lieu plus tard depuis un portefeuille dont elle n’a jamais entendu parler.
Les chiffres montrent l’enjeu. Sur les 22,98 millions de dollars perdus dans les 11 plus gros cas de drainers de 2025, les signatures Permit et Permit2 représentaient environ 8,72 millions de dollars, soit environ 38 %, devant les approbations classiques à environ 24 %, selon Scam Sniffer. Le vol le plus important de l’année, environ 6,5 millions de dollars en septembre 2025, a utilisé une signature Permit. Une variante plus récente est apparue après la mise à niveau Pectra d’Ethereum : des signatures EIP-7702 malveillantes qui regroupent plusieurs opérations en une seule, derrière deux gros cas d’août 2025 totalisant environ 2,54 millions de dollars.
La règle qui en découle : une signature peut être aussi dangereuse qu’une transaction. « Signer » ne veut pas dire « se connecter ». Si une page de réclamation vous demande de signer quelque chose que vous ne pouvez pas lire, ou qui mentionne un bénéficiaire de dépense, un montant ou une échéance, on vous demande de céder le contrôle de jetons.
Comment les victimes arrivent sur la fausse page
Personne ne tape l’adresse d’un site de phishing. On y est envoyé. MS Drainer est le cas documenté pour la publicité payante : Scam Sniffer l’a d’abord trouvé derrière des annonces de phishing dans les résultats de recherche Google en mars 2023, l’a revu fin avril dans une fausse annonce pour le protocole de prêt Radiant, puis a constaté que six des neuf annonces de phishing qu’elle avait échantillonnées sur X utilisaient le même kit. Une recherche « [nom du projet] airdrop » peut placer un faux sponsorisé au-dessus du vrai site.
Les autres voies sont sociales. Des comptes détournés ou imités sur X répondent à l’annonce officielle d’un projet par un lien « réclamez ici ». Des serveurs Discord reçoivent un faux message de mint ou d’airdrop après le piratage d’un compte de modérateur. Des messages privés sur Telegram affirment que « votre portefeuille est éligible ». La page elle-même affiche souvent un compte à rebours, parce qu’un lecteur pressé ne vérifie pas le domaine.
Les jetons piégés déposés dans votre portefeuille
Le jeton non sollicité de l’ouverture de cette leçon est la version la moins chère du piège. Envoyer des jetons à des milliers d’adresses coûte peu sur les chaînes à faibles frais, et le nom ou le symbole du jeton peut lui-même servir d’annonce : une URL, un montant en dollars, le mot « reward ». Certains arrivent sous forme de NFT dont l’image affiche un lien de réclamation.
Recevoir un tel jeton n’est pas le problème. La page d’assistance de MetaMask est claire : personne ne peut accéder à vos fonds simplement en déposant des jetons dans votre portefeuille. L’arnaque commence quand vous essayez de faire quelque chose avec le jeton. MetaMask décrit le chemin habituel : le jeton semble avoir une valeur sur un explorateur de blocs, vous essayez de le vendre ou de l’échanger, un message d’erreur (souvent sur la page d’une transaction échouée) vous renvoie vers un site frauduleux, et ce site vous demande d’approuver une transaction, d’accorder l’accès à vos jetons ou de saisir votre phrase de récupération secrète. ethereum.org décrit le même schéma pour les NFT et jetons parachutés : les réclamer sur le site indiqué est ce qui compromet le compte.
Ce qui est sans risque : laisser le jeton tranquille, ou le masquer dans l’interface de votre portefeuille. Masquer ne change rien sur la chaîne et ne coûte rien. Ce qui est risqué : visiter le site qui figure dans son nom, essayer de le vendre sur la page d’une plateforme inconnue, l’approuver pour le trading, ou « réclamer » un bonus qui y est lié. Certains de ces jetons sont conçus pour ne pas pouvoir être vendus du tout, le principe du honeypot expliqué dans notre leçon sur les rug pulls ; une tentative de vente n’est qu’un moyen de vous faire interagir.
Le FBI a documenté une version de ce schéma dans un avis d’alerte du 3 juin 2025. Des utilisateurs de portefeuilles non dépositaires sur le réseau Hedera recevaient des airdrops de NFT présentés comme des récompenses gratuites, avec un lien vers un site tiers inscrit dans le champ mémo de la transaction. Les victimes qui le suivaient devaient connecter leur portefeuille au site, ou saisir mots de passe et phrases de récupération, puis voyaient leurs cryptos partir. Le conseil du FBI : confirmer toute offre de jeton non sollicitée auprès de l’émetteur avant de l’accepter, et ne jamais remettre une phrase de récupération à quelqu’un qui vous a contacté le premier.
MetaMask propose trois vérifications avant de considérer un jeton inconnu comme réel. Le portefeuille l’affiche-t-il, détection des jetons activée, ce qui s’appuie sur des listes contrôlées ? L’explorateur de blocs du réseau le signale-t-il ? Le projet a-t-il un site, une communauté et des personnes identifiables ? Sa propre synthèse : dans le doute, ne prenez pas le risque.
Il y a une raison de plus de ne pas balayer d’un revers de main les entrées étranges de votre portefeuille. Un minuscule transfert entrant venu d’une adresse inconnue n’est peut-être pas une publicité pour un jeton. Il peut être la mise en place du tour suivant.
Empoisonnement d’adresse : le piège caché dans votre propre historique
Les adresses crypto sont de longues chaînes de caractères que personne ne lit en entier. La plupart des gens vérifient les premiers et les derniers caractères, et beaucoup copient une adresse depuis l’activité récente de leur portefeuille plutôt que depuis un contact enregistré. L’empoisonnement d’adresse exploite ces deux habitudes. Si vous ne savez pas bien comment une adresse est construite, notre guide sur ce qu’est une adresse crypto l’explique.
L’attaquant surveille la chaîne à la recherche de portefeuilles qui déplacent de grosses sommes. Il génère une adresse dont les premiers et derniers caractères correspondent à l’un des correspondants habituels de la victime, puis envoie à la victime un montant minuscule, ou un transfert de jeton sans valeur, depuis cette adresse jumelle. Le faux se retrouve dans l’historique de la victime, à côté du vrai. La prochaine fois que la victime copie « l’adresse que j’utilise toujours » dans cette liste, elle peut prendre la mauvaise ligne.
C’est un jeu de nombres, et il rapporte. Une étude de 2025 citée par Etherscan en mars 2026 a compté environ 17 millions de tentatives d’empoisonnement sur Ethereum entre juillet 2022 et juin 2024, visant environ 1,3 million d’utilisateurs, pour au moins 79,3 millions de dollars de pertes ; en ajoutant BNB Chain, l’étude relève environ 270 millions de transferts empoisonnés et environ 83,8 millions de dollars de pertes. Une tentative isolée réussit environ 0,01 % du temps sur Ethereum, soit à peu près une sur 10 000, mais un seul gros vol paie des milliers d’échecs. Dans un exemple décrit par Etherscan, 13 transferts empoisonnés sont arrivés en quelques minutes autour d’un transfert USDT légitime. Les frais plus bas après la mise à niveau Fusaka du 3 décembre 2025 ont rendu le spam moins cher : dans les 90 jours qui ont suivi, les transferts de poussière en USDT ont augmenté d’environ 612 % par rapport aux 90 jours précédents, selon Etherscan, qui précise que toute la poussière n’est pas de l’empoisonnement.
Deux cas donnent l’échelle. Le 3 mai 2024, a rapporté ForkLog, un détenteur a envoyé 1 155 bitcoins enveloppés (wBTC), environ 68 millions de dollars à l’époque, vers une adresse jumelle. L’attaquant les a convertis en ether. Après des négociations ouvertes le 10 mai, avec la société de sécurité Match Systems et la plateforme Cryptex, l’attaquant a renvoyé environ 22 960 ETH, alors d’une valeur d’environ 65,7 millions de dollars, soit un peu plus de 96 % de la valeur en dollars dérobée, a rapporté Cointelegraph ; l’ether ayant varié entre-temps, Match Systems a parlé de la totalité du montant volé. Cette issue est une rare exception, fruit d’un attaquant traçable et d’une pression extérieure, et elle n’apprend rien sur ce qui se passe d’habitude.
L’issue habituelle ressemble plutôt à ceci. En décembre 2025, un portefeuille a perdu 49 999 950 USDT, près de 50 millions de dollars, après que son propriétaire a copié une adresse empoisonnée dans son historique, a rapporté Cointelegraph le 20 décembre, en citant l’enquêteur on-chain Web3 Antivirus. Le faux reprenait les trois premiers et les quatre derniers caractères du vrai, a fait remarquer Cos, fondateur de SlowMist. La victime avait même envoyé d’abord une petite transaction de test vers la bonne adresse ; quelques minutes plus tard, la totalité est partie vers l’adresse empoisonnée. Les fonds ont été convertis en ether, répartis sur plusieurs portefeuilles et en partie passés par Tornado Cash.
Ce dernier détail compte. Un transfert de test prouve que l’adresse utilisée pour le test est la bonne. Il ne prouve rien pour l’adresse que vous collez au second transfert. Les défenses qui marchent sont ennuyeuses : enregistrer dans le carnet d’adresses de votre portefeuille celles que vous payez souvent, utiliser un nom ENS ou les étiquettes privées d’un explorateur, et comparer l’adresse complète, caractère par caractère, avec une source extérieure à votre historique. Etherscan met aussi en évidence les adresses qui se ressemblent, si bien que deux adresses presque identiques surlignées différemment trahissent le tour, et il affiche un avertissement quand vous copiez une adresse liée à une activité suspecte. Sa règle : vérifier l’adresse de destination avant d’envoyer des fonds, car récupérer des fonds envoyés à la mauvaise adresse est extrêmement improbable.
Giveaways, célébrités et le « envoyez-en un, recevez-en deux »
Le giveaway est le plus ancien de ces montages et le moins technique. Un nom célèbre, ou un compte qui y ressemble, annonce que pour une durée limitée toute crypto envoyée à une adresse reviendra doublée. Rien ne revient jamais. ethereum.org le résume en une ligne : les giveaways sont toujours des arnaques. La Federal Trade Commission américaine dit la même chose de quiconque promet de multiplier les cryptos que vous envoyez.
Le cas qui a prouvé qu’un vrai compte certifié peut porter l’offre date du 15 juillet 2020. Des pirates ont pris le contrôle d’environ 130 comptes Twitter appartenant à des responsables politiques, des célébrités et des entreprises, et y ont publié l’offre de doublement. D’après les plaintes pénales décrites par le parquet fédéral du district nord de Californie, l’adresse bitcoin de l’arnaque a reçu plus de 400 transferts d’une valeur de plus de 100 000 dollars.
Le 31 juillet 2020, les procureurs fédéraux ont inculpé deux hommes : Mason Sheppard, 19 ans, de Bognor Regis au Royaume-Uni, pour complot de fraude électronique, complot de blanchiment d’argent et accès intentionnel à un ordinateur protégé, et Nima Fazeli, 22 ans, d’Orlando, pour complicité dans cet accès. Le troisième suspect, un mineur, a été renvoyé devant le procureur de l’État à Tampa, en Floride. Un citoyen britannique inculpé plus tard, Joseph James O’Connor, alias « PlugwalkJoe », extradé d’Espagne, a plaidé coupable le 9 mai 2023 pour des faits qui incluaient son rôle dans le piratage de Twitter, après son extradition en avril ; le 23 juin 2023, le juge Jed Rakoff, à Manhattan, l’a condamné à cinq ans de prison, suivis de trois ans de liberté surveillée, et lui a ordonné de renoncer à 794 012,64 dollars. La même affaire couvrait aussi des vols par SIM swap et du harcèlement en ligne, en plus de l’intrusion chez Twitter.
L’offre a largement dépassé ce piratage. La FTC a indiqué en mai 2021 que des personnes avaient déclaré avoir perdu plus de 2 millions de dollars face à des imposteurs d’Elon Musk en six mois environ, dans près de 7 000 signalements d’arnaques à l’investissement en cryptos représentant plus de 80 millions de dollars entre octobre 2020 et mars 2021. En avril 2020, Ripple et son directeur général Brad Garlinghouse ont poursuivi YouTube, en alléguant que la plateforme laissait circuler sur des chaînes détournées de fausses vidéos de « giveaway XRP » ; ce sont des allégations de Ripple dans une plainte, pas des constats d’un tribunal.
La vidéo rend le montage plus convaincant, pas plus vrai. Une chaîne détournée avec une grosse audience, une vieille interview d’un fondateur rediffusée comme si elle était en direct, ou un visage et une voix générés par logiciel peuvent tous s’afficher à côté d’un QR code et d’une adresse de portefeuille. Le test ne change pas avec la qualité de la production : aucune entreprise ni personne réelle ne vous demande d’envoyer des cryptos pour en recevoir davantage.
Comment vérifier un airdrop crypto avant d’y toucher
Aucune liste ne rend une réclamation sans risque, mais la plupart des faux airdrops échouent à l’un de ces tests. Passez-les dans l’ordre et arrêtez-vous au premier échec.
- Trouvez vous-même la page de réclamation. Partez du site officiel ou de la documentation du projet, atteints en tapant l’adresse que vous connaissez ou depuis un favori, et suivez son lien vers la réclamation. Un lien dans une réponse, un message privé, une annonce de recherche ou le nom d’un jeton ne compte pas.
- Demandez-vous si vous l’attendiez. Les vrais airdrops récompensent quelque chose que vous avez fait, comme utiliser le protocole avant un instantané. Un jeton qui surgit de nulle part, avec un lien dans son nom, fait la publicité d’un piège.
- Ne saisissez jamais une phrase de récupération. Aucun airdrop, aucune mise à jour de portefeuille ni « vérification » n’en a besoin. Notre guide sur la sécurité de la seed phrase explique pourquoi cette phrase est le portefeuille lui-même.
- Lisez chaque fenêtre du portefeuille. Une réclamation est normalement une transaction qui appelle une fonction de réclamation et coûte un peu de gas. La demande d’approuver un jeton, de signer un permit, d’autoriser tous vos NFT ou de signer un message illisible est un signal d’alarme sur une page de réclamation.
- Réclamez avec un portefeuille séparé. Un portefeuille « jetable » qui ne contient qu’un peu d’ETH pour le gas limite ce que peut coûter une erreur. Déplacez ensuite les jetons réclamés si vous voulez les garder.
- Ignorez l’horloge. Les vraies fenêtres de réclamation durent le plus souvent des semaines ou des mois. Un compte à rebours de quelques minutes est là pour vous empêcher de vérifier.
- Faites le ménage ensuite. Passez en revue les autorisations accordées par votre portefeuille, sur le vérificateur d’approbations d’Etherscan ou avec un outil comme Revoke.cash, et annulez celles dont vous n’avez pas besoin. Chaque révocation est une transaction et coûte du gas.
Un portefeuille matériel aide moins qu’on ne le croit ici. Il garde vos clés hors de votre ordinateur, ce qui compte face à de nombreuses attaques, comme l’explique notre guide pour configurer un portefeuille matériel. Mais si vous confirmez sur son écran une approbation ou un permit malveillant, l’appareil le signe fidèlement. Il protège la clé, pas votre jugement.
| Étape de la réclamation | Ce qui est normal | Signal d’alarme |
|---|---|---|
| Trouver la page | Lien sur le site officiel ou la documentation du projet | Lien venu d’une annonce, d’une réponse, d’un message privé ou du nom d’un jeton |
| Connecter le portefeuille | Connexion, puis une seule transaction de réclamation | Connexion suivie de plusieurs approbations |
| Ce que vous signez | Un appel de réclamation avec de petits frais de gas | Permit, « setApprovalForAll », autorisation illimitée, message illisible |
| Données secrètes | Jamais demandées | Phrase de récupération ou clé privée « pour vérifier l’éligibilité » |
| Délai | De quelques jours à plusieurs mois pour réclamer | Compte à rebours en minutes, « dernière chance » |
| Paiement | Seulement les frais de gas du réseau | Des « frais » ou un dépôt envoyés à une adresse pour débloquer des jetons |
Les sites de réclamation sont des applications web qui dialoguent avec votre portefeuille, il vaut donc la peine de comprendre comment une dapp interagit avec un portefeuille avant de cliquer sur « Connect ».
Si vous avez déjà cliqué ou signé
La vitesse compte plus que la certitude. Si vous avez signé une approbation ou un permit sur un site dont vous doutez maintenant, révoquez les autorisations que vous voyez et déplacez ce qui reste dans ce portefeuille vers un nouveau portefeuille créé avec une nouvelle phrase de récupération, car un permit signé peut rester utilisable par celui qui le détient. Si vous avez saisi votre phrase de récupération quelque part, considérez le portefeuille entier comme perdu au profit de l’attaquant et déplacez immédiatement tout ce qui reste. Gardez les hachages de transaction, les adresses concernées et des captures d’écran du site.
Où signaler en France
En France, Pharos (internet-signalement.gouv.fr) reçoit les signalements de contenus illicites en ligne, et c’est le bon réflexe pour un faux site de réclamation ou un compte qui diffuse un faux giveaway. Si vous hésitez sur la démarche à suivre, Info Escroqueries, une ligne gratuite au 0 805 805 817 ouverte du lundi au vendredi de 9 h 00 à 18 h 30, selon la Banque de France, aide à choisir le bon canal. Côté régulateur, l’AMF publie des listes noires de sites crypto non autorisés ; signaler un site ou un promoteur à l’AMF permet d’alerter d’autres épargnants. Le dépôt de plainte, les gels de fonds et ce que les enquêteurs peuvent réellement faire sont l’objet d’une prochaine leçon de ce parcours. Méfiez-vous de quiconque vous contacte pour vous proposer de récupérer l’argent contre des frais.
Aux États-Unis, la FTC cite ReportFraud.ftc.gov, le site ic3.gov du FBI, la CFTC et la SEC comme lieux de signalement des fraudes crypto. L’Internet Crime Complaint Center du FBI a reçu 181 565 plaintes liées aux cryptomonnaies en 2025, pour des pertes déclarées de 11,366 milliards de dollars, selon son rapport annuel 2025, qui n’a pas de catégorie distincte pour les arnaques d’airdrop ou de drainer. En Angleterre, au pays de Galles et en Irlande du Nord, Report Fraud, géré par la police de la Cité de Londres, a remplacé Action Fraud depuis le 4 décembre 2025 (en Écosse, on signale à Police Scotland au 101) ; au Royaume-Uni, vérifiez aussi toute société sur le registre de la FCA.
Une courte note fiscale sur les vrais airdrops
Un vrai airdrop peut générer une dette fiscale. Aux États-Unis, l’IRS a jugé dans la Revenue Ruling 2019-24, publiée le 9 octobre 2019, qu’un contribuable qui reçoit de nouvelles pièces lors d’un airdrop consécutif à un hard fork a un revenu ordinaire, mesuré à la juste valeur de marché au moment où l’airdrop est inscrit sur le registre, à condition que le contribuable puisse contrôler les pièces ; un hard fork seul, sans rien recevoir, n’est pas un revenu. D’autres airdrops et d’autres pays ont leurs propres règles : pour la France, voir notre leçon sur la fiscalité des cryptos en France, et nos bases de la fiscalité crypto posent les principes généraux. Les jetons piégés que vous n’avez jamais réclamés et ne pouvez pas vendre sont une autre affaire : n’interagissez pas avec eux pour les « signaler ».
Une habitude couvre l’essentiel de cette leçon : avant de signer ou d’envoyer, cherchez vous-même la page de réclamation, le contrat ou l’adresse, dans une source que vous connaissez déjà. La prochaine leçon de ce parcours regarde ce qui se passe après un vol, ce que le traçage, les gels par les plateformes et les plaintes peuvent obtenir, et où ils s’arrêtent.
