Les jetons ont disparu du portefeuille des utilisateurs après l'achat : l'astuce cachée des nouvelles escroqueries cryptographiques

Ces derniers jours, plusieurs utilisateurs du secteur de la cryptographie ont signalé avoir acheté un token sur des plateformes décentralisées, pour ensuite le voir disparaître de leur portefeuille quelques secondes après avoir confirmé la transaction. Le phénomène qui rend fous de nombreux traders concerne spécifiquement certains nouveaux pièces frauduleuses sur la chaîne Robinhoodbien qu’une dynamique similaire puisse facilement se produire sur n’importe quel autre réseau.

La tendance des tokens malveillants semble faire son retour DéFi: il y a quelques années, la pratique de ce qu'on appelle « pot de miel »c'est-à-dire des crypto-monnaies conçues pour permettre aux utilisateurs d'acheter, mais empêcher leur vente grâce à des limitations particulières sur les contrats intelligents. Cette fois, l'arnaque a lieu à manière légèrement différentemême si les mêmes précautions et règles de base s'appliquent – que nous verrons dans cet article – pour éviter de tomber dans le piège.

Le cas des crypto tokens disparaissant des portefeuilles des utilisateurs : que se passe-t-il ?

Cette semaine, de nombreux utilisateurs se sont plaints sur X de se retrouver avec i les jetons ont littéralement disparu de votre portefeuille immédiatement après les avoir achetés sur DEX. Ceci, comme nous l'avons dit plus haut, s'est produit au sein de l'écosystème Robin des Bois après qu'un événement se soit produit boom des activités commerciales sur la nouvelle chaîne L2, notamment sur les actifs peu capitalisés comme les memecoins.

Ce trader, par exemple, dit avoir acheté le jeton $WOLF (un ticker qui a actuellement plusieurs versions frauduleuses) et avoir vu l'actif transféré à une autre adresse seulement 4 secondes après l'approbation de la transaction.

Le problème ne vient pas de la plateforme dans lequel l'interaction a eu lieu : dans ce cas, l'achat a eu lieu sur Uniswap, qui représente le plus grand échange décentralisé du monde DeFi, ainsi que l'un des plus sûrs. Les causes de l'accident ne dépendent pas du DEXmais directement de contrat intelligent de jeton en question, qui dans ce cas a été programmé pour disparaître du portefeuille des acheteurs.

Pour les moins expérimentés, rappelons que sur les marchés décentralisés comme Uniswap, n'importe qui peut créer une arnaque symboliqueimplémentant un contrat personnalisé malveillant avec une logique cachée, puis le listant publiquement. En pratique, en achetant ce type de coin vous acceptez formellement un contrat automatisé qui n'est pas clairement visible au moment de l'opération, mais qui s'active ensuite au détriment de l'utilisateur lui-même, déclenchant des transferts ou des limitations.

Techniquement, comment fonctionne l’arnaque ?

L’arnaque peut se révéler de plusieurs manières. Lors de la création du jeton malveillant, les développeurs ajoutent fonctions cachées dans le code du contrat qui, en cas d'achat ou d'interaction, sont rappelés. Les cas les plus courants concernent des fonctions qui :

• Ils empêchent les ventes, permettant uniquement et exclusivement l'achat (pot de miel).
• Ils facturent des frais de 100 % sur l’achat du jeton. Taxe qui revient évidemment au créateur de la pièce.
• Ils transfèrent automatiquement le jeton vers une adresse de gravure ou vers le portefeuille du créateur.
• Ils activent une autorisation qui permet au créateur de dépenser toutes les cryptomonnaies trouvées dans le portefeuille.

De toute évidence, en mettant en œuvre ces logiques, celui qui crée le jeton définit ffonctions administratives qui lui permettent d'obtenir ces privilèges. Dans le jargon, on dit que le propriétaire du contrat, c'est-à-dire l'adresse qui détient le contrôle du code, peut insérer une liste noire, forceTransfer, wipeBalance et d'autres fonctions logiques cachées.

Comment se protéger de ces arnaques crypto ?

Tout d'abord, l'une des premières recommandations est de reste très vigilant lors de l’interaction avec de nouveaux produits et blockchains dans le monde de la cryptographie. Robinhood a lancé sa couche 2 Ethereum seulement début juillet, et il est dans un certain sens « normal » que de nombreuses arnaques circulent compte tenu de l'effet de nouveauté du nouveau réseau, et surtout vu les volumes importants qu'il mobilise.

Dans ces contextes, les infrastructures de support en chaîne n'ont pas encore eu le temps de s'adapter au nouveau réseau et aux nouveaux contrats, et ne sont donc pas prêtes à bloquer ou limiter ces arnaques. L'agrégateur bridge/swap Relais il a en fait déclaré que essaie de bloquer tous les contrats malveillants depuis son interface utilisateur sur Robinhood. Alors attendre quelques jours avant de se lancer dans la mêlée est certainement un excellent moyen de filtrer certaines arnaques.

Un deuxième avertissement est celui de bougez avec modération lorsque vous échangez des jetons exotiques et les pièces à petite capitalisation. Échanger des memecoins sur de nouveaux réseaux est clairement une opération qui nous expose à des contrats non vérifiés ou en tout cas à des actifs sans historique suffisant pour évaluer les risques et la fiabilité. Il y a une grande différence entre trader $DOGE, $SHIB ou $PEPE et trader un nouveau mème de capitalisation boursière de 10 millions sur Robinhood Chain.

De plus, il n’est même pas certain que prendre de tels risques puisse être réellement rentable. Hier, notre rédacteur en chef Gianluca Grossi je t'en ai parlé tendance qui a déjà produit les premiers chanceux mais qui risque de ne pas durer beaucoup plus longtemps. Pendant les saisons des mèmes, de nouveaux millionnaires naissent, mais ils se comptent souvent sur les doigts d’une main comparés à un public de milliers de traders, et la plupart du temps ces chanceux sont simplement des initiés détenant des informations privilégiées.

Quelques outils pour opérer en toute sécurité dans le monde DeFi et éviter les arnaques cryptographiques

Pour les plus geeks qui ne peuvent s'empêcher de plonger dans la jungle du secteur DeFi, il est conseillé d'installer sur votre navigateur une extension capable de analyser les contrats avec lequel vous vous apprêtez à interagir, afin d'en vérifier la légitimité avant de passer à la signature irréversible.

Il existe des outils comme Univers de poche qui permettent de simuler des opérations avant leur exécution, transformant le langage technique du code en un écran compréhensible pour l'utilisateur et permettant ainsi de comprendre à l'avance ce que vous signez.

Quelques portefeuille comme Rabby par défaut, ils intègrent des protections qui avertissent l'utilisateur s'il est sur le point d'interagir avec un contrat malveillant ou un token suspect. De plus, si vous souhaitez obtenir une plus grande sécurité, vous pouvez coller l'adresse du contrat du token que vous souhaitez acheter sur un scanner comme Renifleur de jetons ou Scanner De.Fi.

Dans tous les cas, lorsqu’on opère dans le monde DeFi, le mot d’ordre est prudence : souvent les plus grosses erreurs sont commises en agissant dans la précipitation et sans effectuer les contrôles de sécurité nécessaires.