{"id":904,"date":"2026-11-05T22:26:19","date_gmt":"2026-11-05T22:26:19","guid":{"rendered":"https:\/\/hoge.gg\/fr\/phishing-crypto-2026-bot-telegram-discord-appat\/"},"modified":"2026-11-05T22:26:19","modified_gmt":"2026-11-05T22:26:19","slug":"phishing-crypto-2026-bot-telegram-discord-appat","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/phishing-crypto-2026-bot-telegram-discord-appat\/","title":{"rendered":"Phishing crypto 2026 : le bot est devenu l’app\u00e2t"},"content":{"rendered":"

Ce 5 novembre 2026, Bitcoin repasse au-dessus de 71 600 euros environ (pr\u00e8s de 80 200 dollars) et reprend son souffle apr\u00e8s les \u00e9lections de mi-mandat am\u00e9ricaines, selon les donn\u00e9es de march\u00e9 relay\u00e9es par crypto.news<\/a>. Pour un d\u00e9tenteur de cryptomonnaies, pourtant, la fen\u00eatre la plus dangereuse de la journ\u00e9e n’est pas une m\u00e8che rouge sur un graphique. C’est le moment o\u00f9 un bot que l’on croyait officiel affiche une demande de v\u00e9rification dans un groupe Telegram, avec un compte \u00e0 rebours de soixante secondes.<\/p>

Voici le fait contre-intuitif de l’ann\u00e9e : le phishing par wallet drainer, celui qui volait des fortunes via une fausse page et une signature pi\u00e9g\u00e9e, s’est effondr\u00e9. Les pertes sont tomb\u00e9es de 83 pour cent en 2025, \u00e0 environ 75 millions d’euros (83,85 millions de dollars), d’apr\u00e8s le bilan annuel de Scam Sniffer<\/a>. Et pourtant, la fraude crypto dans son ensemble a atteint un record d’environ 15,2 milliards d’euros (17 milliards de dollars), selon le rapport 2026 de Chainalysis<\/a>. L’argent n’a pas disparu. Il a d\u00e9m\u00e9nag\u00e9.<\/p>

Il a d\u00e9m\u00e9nag\u00e9 l\u00e0 o\u00f9 vit r\u00e9ellement la crypto : sur les messageries. Telegram et Discord ne sont pas des canaux p\u00e9riph\u00e9riques pour le secteur, ce sont ses places publiques. C’est l\u00e0 que se lancent les projets, que se forment les communaut\u00e9s, que se diffusent les annonces, que se rend le support. Et c’est pr\u00e9cis\u00e9ment le mobilier de confiance de ces applications (bots de v\u00e9rification, badges certifi\u00e9s, messages \u00e9pingl\u00e9s, bots de trading, messages priv\u00e9s du support) qui a \u00e9t\u00e9 retourn\u00e9 en m\u00e9canisme de livraison. Le bot que l’on vous a appris \u00e0 croire est devenu l’app\u00e2t. Cet article cartographie cette surface d’attaque de bout en bout, du faux bot Safeguard au d\u00e9tournement du script Polymarket, en passant par le casse Binance \u00e0 5,6 milliards d’euros, puis d\u00e9taille les d\u00e9fenses qui fonctionnent vraiment.<\/p>

Le paradoxe \u00e0 deux vitesses : le drainer de masse meurt, le bot prosp\u00e8re<\/h2>

Pour comprendre pourquoi les campagnes ont migr\u00e9 vers les messageries, il faut regarder deux courbes qui divergent. La premi\u00e8re est celle du phishing on-chain classique, mesur\u00e9e par Scam Sniffer sur les seuls vols par drainer de portefeuille. Elle s’\u00e9croule : 75 millions d’euros de pertes en 2025 contre environ 441 millions d’euros (494 millions de dollars) en 2024, une chute de 83 pour cent, et un nombre de victimes en recul de 68 pour cent, autour de 106 000. Le nombre d’incidents d\u00e9passant le million de dollars est pass\u00e9 de 30 \u00e0 seulement 11. Scam Sniffer r\u00e9sume la situation sans triomphalisme : l’\u00e9cosyst\u00e8me des drainers reste actif, les anciens partent et de nouveaux \u00e9mergent.<\/p>

La seconde courbe grimpe en fl\u00e8che. Chainalysis chiffre \u00e0 environ 17 milliards de dollars les revenus totaux de l’arnaque crypto en 2025, avec des arnaques par usurpation d’identit\u00e9 en hausse de 1 400 pour cent sur un an et un paiement moyen par victime qui bondit de 782 \u00e0 2 764 dollars, soit plus de 250 pour cent. Les deux chiffres ne se contredisent pas : ils d\u00e9crivent deux \u00e9conomies distinctes. La voie \u00e9troite du drainer automatique s’est ass\u00e9ch\u00e9e parce que les portefeuilles simulent d\u00e9sormais les transactions et bloquent les signatures connues. La voie large, celle de l’ing\u00e9nierie sociale et de l’usurpation, a explos\u00e9 parce qu’elle ne d\u00e9pend pas du code mais de la confiance humaine. Et la confiance humaine, dans la crypto, se n\u00e9gocie sur Telegram et Discord.<\/p>

Indicateur<\/th>2024<\/th>2025<\/th>Tendance<\/th><\/tr><\/thead>
Pertes phishing drainer (Scam Sniffer)<\/td>494 M$ (441 M\u20ac)<\/td>83,85 M$ (75 M\u20ac)<\/td>-83 %<\/td><\/tr>
Victimes de drainer<\/td>~332 000<\/td>~106 000<\/td>-68 %<\/td><\/tr>
Incidents sup\u00e9rieurs \u00e0 1 M$<\/td>30<\/td>11<\/td>-63 %<\/td><\/tr>
Revenus totaux des arnaques (Chainalysis)<\/td>~12 Md$<\/td>~17 Md$ (15,2 Md\u20ac)<\/td>+42 %<\/td><\/tr>
Arnaques par usurpation (glissement annuel)<\/td>r\u00e9f\u00e9rence<\/td>+1 400 %<\/td>explosion<\/td><\/tr>
Paiement moyen par victime<\/td>782 $<\/td>2 764 $<\/td>+253 %<\/td><\/tr><\/tbody><\/table>
Deux \u00e9conomies en miroir : le drainer automatique recule, la fraude par usurpation et ing\u00e9nierie sociale s’envole. Sources : Scam Sniffer 2025, Chainalysis 2026.<\/figcaption><\/figure>

Pourquoi Telegram et Discord ? L\u00e0 o\u00f9 la crypto vit et fait confiance<\/h2>

Un filtre anti-phishing d’e-mail, un bloqueur de liens, un carnet de navigateur qui signale les domaines douteux : toute la d\u00e9fense grand public des dix derni\u00e8res ann\u00e9es supposait que l’attaque arrivait par e-mail ou par un site web ouvert dans un onglet. La crypto a d\u00e9plac\u00e9 la conversation ailleurs. Un investisseur passe sa journ\u00e9e dans des dizaines de groupes Telegram et de serveurs Discord. Il y lit les annonces d’un protocole, y pose ses questions au support, y suit les alertes d’un bot de trading, y rejoint la communaut\u00e9 d’un nouveau jeton via un lien d’invitation. Chacune de ces actions repose sur un signal de confiance que l’application elle-m\u00eame fabrique.<\/p>

C’est ce mobilier de confiance que les campagnes retournent. Un badge certifi\u00e9 sur X renvoie vers une cha\u00eene Telegram qui para\u00eet officielle. Un bot de v\u00e9rification reproduit \u00e0 la lettre l’interface d’un outil que tout le monde utilise. Un message \u00e9pingl\u00e9 annonce un airdrop urgent. Un compte au pseudo presque identique \u00e0 celui d’un mod\u00e9rateur envoie un message priv\u00e9 pour aider. Aucun de ces \u00e9l\u00e9ments n’exploite une faille de code. Ils exploitent le fait que, dans une messagerie, l’utilisateur a baiss\u00e9 la garde parce qu’il se croit entre pairs. La surface d’attaque n’est pas le contrat intelligent, c’est le r\u00e9flexe de confiance.<\/p>

Le faux bot Safeguard : la v\u00e9rification qui installe le malware<\/h2>

Le cas d’\u00e9cole de cette migration porte un nom presque officiel : Safeguard. Dans sa forme l\u00e9gitime, Safeguard est un type de bot anti-spam que de nombreux serveurs crypto utilisent pour filtrer les robots \u00e0 l’entr\u00e9e. Les attaquants ont clon\u00e9 l’id\u00e9e. La cha\u00eene d\u00e9bute hors de Telegram : un faux compte X usurpe l’identit\u00e9 d’un influenceur crypto connu, badge certifi\u00e9 compris, et promet des conseils ou un acc\u00e8s privil\u00e9gi\u00e9 via un groupe Telegram. Une fois l’utilisateur dans le groupe, un bot nomm\u00e9 par exemple OfficiaISafeguardBot l’invite \u00e0 se v\u00e9rifier. Le pi\u00e8ge typographique est subtil : le \u00ab I \u00bb majuscule remplace le \u00ab l \u00bb minuscule, de sorte que le pseudo se lit \u00ab Official \u00bb l\u00e0 o\u00f9 il affiche \u00ab OfficiaI \u00bb.<\/p>

Le bot cr\u00e9e ensuite une urgence artificielle, une courte fen\u00eatre de v\u00e9rification, puis demande \u00e0 la victime de r\u00e9aliser une action en apparence anodine pour prouver qu’elle n’est pas un robot. C’est l\u00e0 que le vol se produit, non pas en volant une signature, mais en poussant la victime \u00e0 ex\u00e9cuter elle-m\u00eame du code. Scam Sniffer, l’entreprise d’analyse on-chain qui a document\u00e9 la m\u00e9thode, souligne sa nouveaut\u00e9 : d’apr\u00e8s ses analystes, c’est la premi\u00e8re fois qu’ils observent cette combinaison pr\u00e9cise de faux comptes X, de fausses cha\u00eenes Telegram et de bots Telegram malveillants, une m\u00e9canique relay\u00e9e par Cointelegraph<\/a>. Selon les relev\u00e9s de la soci\u00e9t\u00e9 cit\u00e9s par crypto.news<\/a>, ce type de campagne a progress\u00e9 de plus de 2 000 pour cent depuis fin 2024 et remplace peu \u00e0 peu le phishing traditionnel.<\/p>

ClickFix : quand la victime ex\u00e9cute elle-m\u00eame le malware<\/h2>

Le rouage central de ces campagnes porte un nom dans le milieu de la s\u00e9curit\u00e9 : ClickFix. Le principe est d’une simplicit\u00e9 redoutable. Plut\u00f4t que de faire t\u00e9l\u00e9charger un fichier suspect, qu’un antivirus bloquerait, le faux bot demande \u00e0 la victime de r\u00e9aliser une manipulation pr\u00e9sent\u00e9e comme une v\u00e9rification humaine ou une correction technique. Sous Windows, cela donne : appuyez sur les touches Windows et R, collez ce que nous venons de copier dans votre presse-papiers, puis validez. Sous macOS, la variante demande d’ouvrir le Terminal et d’y coller une commande qui t\u00e9l\u00e9charge et ex\u00e9cute un script. Dans les deux cas, la victime lance elle-m\u00eame l’installation du logiciel malveillant.<\/p>

L’efficacit\u00e9 de ClickFix tient \u00e0 ce qu’il contourne presque toutes les d\u00e9fenses traditionnelles. Il n’y a pas de pi\u00e8ce jointe \u00e0 analyser, pas de lien de phishing \u00e0 comparer \u00e0 une liste noire, pas d’e-mail \u00e0 filtrer : l’ordre arrive dans un chat, et la commande est d\u00e9j\u00e0 dans le presse-papiers de la victime. Le code s’ex\u00e9cute avec les droits de l’utilisateur, souvent via PowerShell sous Windows, ce qui laisse peu de traces. C’est aussi une technique qui traverse les syst\u00e8mes d’exploitation : la m\u00eame logique sociale fonctionne sous Windows, macOS et Linux, seul l’habillage change. ClickFix est devenu le tissu conjonctif de presque toutes les arnaques sur messagerie, parce qu’il transforme la victime en complice involontaire de sa propre compromission.<\/p>

Les bots de trading clon\u00e9s et le pi\u00e8ge de la seed phrase<\/h2>

Telegram n’h\u00e9berge pas que des groupes de discussion : c’est aussi la plateforme de nombreux bots de trading qui ex\u00e9cutent des ordres en quelques secondes, tr\u00e8s pris\u00e9s pour attraper les nouveaux jetons. Deux risques distincts s’y superposent, et il faut les s\u00e9parer pour ne pas se tromper de d\u00e9fense. Le premier est un risque de concentration bien r\u00e9el : en septembre 2024, des utilisateurs du bot Banana Gun ont \u00e9t\u00e9 vid\u00e9s d’environ 500 ether (plus d’un million d’euros \u00e0 l’\u00e9poque), un \u00e9pisode qui, comme l’a rapport\u00e9 Cointelegraph<\/a>, touchait un nombre limit\u00e9 de comptes isol\u00e9s et non un d\u00e9faut du contrat de la plateforme, qui comptait alors plus de 10 000 utilisateurs. Confier ses cl\u00e9s \u00e0 un bot de trading, m\u00eame l\u00e9gitime, revient \u00e0 d\u00e9l\u00e9guer la garde de ses fonds \u00e0 un logiciel tiers.<\/p>

Le second risque est purement du phishing : le bot clon\u00e9. L’attaquant publie, dans un groupe ou en message priv\u00e9, un bot qui imite l’interface d’un outil de trading populaire. \u00c0 un moment de la configuration, le faux bot demande \u00e0 l’utilisateur d’importer son portefeuille en collant sa phrase de r\u00e9cup\u00e9ration, ses fameux douze ou vingt-quatre mots, pour \u00ab connecter \u00bb le compte. C’est la ligne rouge absolue. Aucun bot l\u00e9gitime, aucun support, aucun processus de v\u00e9rification ne demande jamais une seed phrase. Un bot de trading r\u00e9el se connecte via une cl\u00e9 g\u00e9n\u00e9r\u00e9e c\u00f4t\u00e9 application ou un portefeuille d\u00e9di\u00e9, jamais en aspirant le secret ma\u00eetre. D\u00e8s qu’une seed phrase est demand\u00e9e dans un chat, l’arnaque est certaine, quel que soit le reste de l’habillage. Le m\u00eame r\u00e9flexe prot\u00e8ge contre les faux airdrops de jeux Web3, un terrain o\u00f9, comme le d\u00e9taille notre enqu\u00eate sur les rug pulls GameFi<\/a>, la promesse d’un gain gratuit sert d’app\u00e2t \u00e0 l’extraction de la phrase secr\u00e8te.<\/p>

Discord : le d\u00e9tournement d’annonces et de webhooks<\/h2>

Sur Discord, l’attaque la plus rentable ne vise pas les membres un par un : elle vise le canal d’annonces. Si un attaquant compromet le compte d’un administrateur ou d\u00e9tourne un webhook, il peut publier un message officiel, dans le vrai serveur, sous le vrai nom du projet. Un faux mint, un faux airdrop, une fausse migration urgente de jetons : le message arrive l\u00e0 o\u00f9 la communaut\u00e9 attend des informations fiables, avec toute l’autorit\u00e9 du canal \u00e9pingl\u00e9. Les victimes cliquent parce que le contexte est authentique, seule la destination est pi\u00e9g\u00e9e.<\/p>

Le groupe Pink Drainer a industrialis\u00e9 cette approche. Ses op\u00e9rateurs usurpaient l’identit\u00e9 de journalistes de m\u00e9dias crypto reconnus pour solliciter de fausses interviews, puis orientaient les cibles vers un pr\u00e9tendu contr\u00f4le d’identit\u00e9 qui d\u00e9robait en r\u00e9alit\u00e9 leurs jetons d’authentification Discord, comme l’a d\u00e9taill\u00e9 BleepingComputer<\/a> en documentant un vol d’environ 2,7 millions d’euros (pr\u00e8s de 3 millions de dollars) sur un peu moins de 2 000 victimes. Une fois le compte d’un membre influent ou d’un mod\u00e9rateur pris, il servait de tremplin pour pi\u00e9ger le serveur entier. Sur l’ensemble de sa carri\u00e8re, avant de se retirer en mai 2024, le kit Pink Drainer a \u00e9t\u00e9 associ\u00e9 \u00e0 plus de 85 millions de dollars d\u00e9rob\u00e9s et plus de 21 000 victimes, selon Hackread<\/a>. L’enqu\u00eateur on-chain ZachXBT, qui a traqu\u00e9 l’op\u00e9ration, fait partie de ceux qui ont rendu visible l’ampleur de ces campagnes, longtemps sous-estim\u00e9e faute de d\u00e9claration.<\/p>

Le pi\u00e8ge de l’invitation : des liens Discord recycl\u00e9s<\/h2>

Une campagne mise au jour par Check Point Research en 2025 illustre jusqu’o\u00f9 va la r\u00e9utilisation du mobilier de confiance. Les attaquants ont exploit\u00e9 une particularit\u00e9 du syst\u00e8me d’invitation de Discord : les codes de liens personnalis\u00e9s expir\u00e9s ou supprim\u00e9s peuvent, dans certaines conditions, \u00eatre r\u00e9enregistr\u00e9s. Un lien d’invitation partag\u00e9 il y a des mois sur un site l\u00e9gitime, une page de projet ou un ancien tweet, pouvait ainsi \u00eatre rachet\u00e9 par un attaquant et pointer d\u00e9sormais vers un serveur malveillant. L’utilisateur clique sur une source qu’il croit fiable et atterrit sur une page de v\u00e9rification pi\u00e9g\u00e9e.<\/p>

La suite suit le sch\u00e9ma ClickFix : la fausse page de v\u00e9rification demande d’ex\u00e9cuter une commande PowerShell, qui d\u00e9clenche une cha\u00eene de t\u00e9l\u00e9chargement en plusieurs \u00e9tapes s’appuyant sur des services l\u00e9gitimes comme GitHub, Bitbucket ou Pastebin pour \u00e9chapper aux filtres. La charge finale associe le cheval de Troie AsyncRAT, qui donne un contr\u00f4le complet de la machine, et un voleur Skuld personnalis\u00e9 qui cible sp\u00e9cifiquement les portefeuilles Exodus et Atomic : il injecte du code dans la fonction de d\u00e9verrouillage du portefeuille pour r\u00e9cup\u00e9rer le mot de passe saisi, puis la phrase de r\u00e9cup\u00e9ration. Check Point d\u00e9crit dans son analyse technique<\/a> des victimes r\u00e9parties dans le monde entier, de l’Am\u00e9rique du Nord \u00e0 l’Europe, en passant par le Vietnam. Le lien d’invitation, brique la plus banale de Discord, devient le point d’entr\u00e9e.<\/p>

La boucle infostealer : un compte vol\u00e9 en infecte dix<\/h2>

Ce qui rend l’\u00e9cosyst\u00e8me des messageries si r\u00e9sistant, c’est qu’il se nourrit de lui-m\u00eame. Les logiciels de type infostealer, comme Skuld ou AsyncRAT, ne se contentent pas d’aspirer les portefeuilles crypto et les identifiants stock\u00e9s dans le navigateur. Ils r\u00e9cup\u00e8rent aussi les jetons de session Discord de la victime, c’est-\u00e0-dire la cl\u00e9 qui permet d’ouvrir son compte sans mot de passe ni double authentification. Avec ce jeton, l’attaquant devient la victime : il publie depuis son compte, \u00e9crit \u00e0 ses contacts, rejoint ses serveurs priv\u00e9s.<\/p>

La boucle se referme : chaque compte compromis sert \u00e0 diffuser l’app\u00e2t vers le cercle de confiance du propri\u00e9taire, qui n’a aucune raison de se m\u00e9fier d’un message venant d’un ami ou d’un mod\u00e9rateur connu. Un seul clic ClickFix peut ainsi alimenter une dizaine de compromissions en aval. C’est la raison pour laquelle ces campagnes survivent aux retraits spectaculaires, comme celui de Pink Drainer : l’infrastructure n’est pas un serveur central que l’on peut \u00e9teindre, c’est un r\u00e9seau auto-entretenu de confiance d\u00e9tourn\u00e9e. Le tableau ci-dessous r\u00e9capitule les principaux vecteurs d\u00e9crits jusqu’ici.<\/p>

Vecteur<\/th>Plateforme<\/th>M\u00e9canisme<\/th>Exemple<\/th><\/tr><\/thead>
Faux bot de v\u00e9rification<\/td>Telegram<\/td>Faux influenceur X puis bot Safeguard typosquatt\u00e9 puis ClickFix<\/td>OfficiaISafeguardBot<\/td><\/tr>
Bot de trading clon\u00e9<\/td>Telegram<\/td>Interface imit\u00e9e, demande de phrase de r\u00e9cup\u00e9ration<\/td>Clones de bots de sniping<\/td><\/tr>
D\u00e9tournement d’annonces<\/td>Discord<\/td>Compte admin ou webhook compromis, faux mint ou airdrop<\/td>Pink Drainer<\/td><\/tr>
D\u00e9tournement d’invitation<\/td>Discord<\/td>Lien personnalis\u00e9 expir\u00e9 r\u00e9enregistr\u00e9 puis ClickFix<\/td>Campagne AsyncRAT et Skuld<\/td><\/tr>
Boucle infostealer<\/td>Les deux<\/td>Vol de jeton de session, rebond vers le cercle de confiance<\/td>Skuld, AsyncRAT<\/td><\/tr>
Usurpation du support<\/td>Les deux<\/td>Message priv\u00e9 non sollicit\u00e9, fausse assistance<\/td>Faux support en message priv\u00e9<\/td><\/tr><\/tbody><\/table>
Taxonomie des campagnes de phishing sur messagerie en 2026, du faux bot de v\u00e9rification \u00e0 l’usurpation du support.<\/figcaption><\/figure>

L’usurpation du support : le faux conseiller qui \u00e9crit en premier<\/h2>

Le vecteur le plus simple, et sans doute le plus efficace, ne demande aucun malware. Il suffit d’un message priv\u00e9. Un utilisateur pose une question dans le canal public d’un projet, mentionne qu’un retrait est bloqu\u00e9 ou qu’une transaction a \u00e9chou\u00e9 ; quelques minutes plus tard, un compte au nom et \u00e0 l’avatar presque identiques \u00e0 ceux d’un membre de l’\u00e9quipe lui \u00e9crit en priv\u00e9 pour l’aider. La conversation para\u00eet naturelle, le faux agent est patient, courtois, comp\u00e9tent. Au bout du fil, l’objectif est toujours le m\u00eame : obtenir une phrase de r\u00e9cup\u00e9ration, une connexion \u00e0 un faux portail de r\u00e9solution, ou une signature sur une transaction pi\u00e9g\u00e9e.<\/p>

La r\u00e8gle d’or tient en une phrase : un vrai support n’\u00e9crit jamais en premier en message priv\u00e9. Les \u00e9quipes l\u00e9gitimes r\u00e9pondent dans les canaux publics ou via des tickets officiels, elles ne sollicitent pas spontan\u00e9ment. Cette usurpation fonctionne dans les deux sens. Tant\u00f4t le faux support contacte la victime ; tant\u00f4t l’attaquant tient un faux canal de support vers lequel la victime se pr\u00e9cipite d’elle-m\u00eame apr\u00e8s avoir cherch\u00e9 de l’aide. La fronti\u00e8re avec le spear phishing cibl\u00e9 est mince : lorsque le pr\u00e9texte devient une fausse interview ou un faux entretien d’embauche, on bascule dans une autre cat\u00e9gorie, que nous avons d\u00e9taill\u00e9e dans notre article sur l’entretien qui \u00e9tait l’attaque<\/a>. Sur les messageries grand public, le pr\u00e9texte reste le plus souvent l’assistance.<\/p>

Quand le script du site devient le drainer : l’affaire Polymarket<\/h2>

La logique du mobilier de confiance ne s’arr\u00eate pas aux messageries. Le 29 octobre 2026, la plateforme de march\u00e9s pr\u00e9dictifs Polymarket a subi une attaque qui en est la version web. Un script tiers de mesure de performance, fourni par le prestataire DebugBear et charg\u00e9 sur polymarket.com, a \u00e9t\u00e9 compromis : son code l\u00e9gitime a \u00e9t\u00e9 remplac\u00e9 par un script con\u00e7u pour drainer les utilisateurs. Pour quiconque avait le site ouvert au mauvais moment, le script malveillant exploitait la session active pour vendre des positions et d\u00e9placer des fonds hors des portefeuilles.<\/p>

Le bilan, rapport\u00e9 par Crypto Economy<\/a>, s’\u00e9l\u00e8ve \u00e0 environ 2,4 millions d’euros (2,7 millions de dollars) d\u00e9rob\u00e9s sur quelque 710 portefeuilles. Polymarket a annonc\u00e9 un plan de remboursement d’environ 3,5 millions d’euros (3,9 millions de dollars), couvrant \u00e0 la fois les pertes et les perturbations de trading, et indiqu\u00e9 que 95 pour cent des portefeuilles touch\u00e9s avaient d\u00e9j\u00e0 \u00e9t\u00e9 int\u00e9gralement rembours\u00e9s. La le\u00e7on rejoint celle des bots : on ne faisait pas confiance au script DebugBear, on ne savait m\u00eame pas qu’il existait, mais le navigateur, lui, lui faisait confiance. Que la brique d\u00e9tourn\u00e9e soit un bot de v\u00e9rification, un webhook Discord ou un script d’analyse d’un prestataire, le sch\u00e9ma est identique : un composant de confiance, invisible pour l’utilisateur, devient le canal du vol.<\/p>

Binance, 6,3 milliards : l’humain et le poste de travail battent le contrat<\/h2>

Si l’on doute encore que le maillon faible soit humain et non technique, le casse du 29 octobre 2026 tranche le d\u00e9bat. Ce soir-l\u00e0, environ 6,3 milliards de dollars (pr\u00e8s de 5,6 milliards d’euros) ont quitt\u00e9 Binance en une vingtaine de minutes, \u00e0 travers dix blockchains, ce qui en fait le plus grand vol de l’histoire de la crypto, devant le casse de Bybit en 2025. Ethereum a \u00e9t\u00e9 la cha\u00eene la plus touch\u00e9e avec 3,8 milliards de dollars, suivie de 18 270 bitcoins, d’apr\u00e8s le r\u00e9capitulatif de CNBC<\/a>. Environ 3 milliards de dollars de stablecoins ont \u00e9t\u00e9 gel\u00e9s dans la foul\u00e9e, et la plateforme s’est engag\u00e9e \u00e0 couvrir l’int\u00e9gralit\u00e9 des pertes.<\/p>

Le point essentiel pour notre sujet n’est pas le montant, c’est le point d’entr\u00e9e. L’attaque, attribu\u00e9e au groupe nord-cor\u00e9en TraderTraitor, n’a pas exploit\u00e9 une faille des contrats de Binance : les signatures de retrait \u00e9taient valides. Le compromis est parti d’un poste de travail d’un employ\u00e9, d’un acc\u00e8s humain, pas d’un bug de code. C’est exactement la logique des campagnes sur Telegram et Discord, \u00e0 une autre \u00e9chelle : on ne casse pas la cryptographie, on casse la personne ou la machine qui tient la cl\u00e9. La cur\u00e9e on-chain qui a suivi, o\u00f9 des robots se sont ru\u00e9s sur les fonds en mouvement, a d’ailleurs fait l’objet de notre analyse d\u00e9di\u00e9e sur la MEV d\u00e9clench\u00e9e par le vol de Binance<\/a>. Taylor Monahan, responsable s\u00e9curit\u00e9 chez MetaMask, r\u00e9p\u00e8te depuis des mois ce que ce casse confirme : la plupart de ces vols sont des probl\u00e8mes de phishing et de cl\u00e9s compromises, pas des d\u00e9fauts de protocole, un diagnostic qu’elle d\u00e9veloppe dans un entretien avec Decential<\/a>.<\/p>

L’IA industrialise l’app\u00e2t<\/h2>

L’intelligence artificielle ne change pas la nature de ces attaques, elle en abaisse le co\u00fbt et en augmente le rendement. G\u00e9n\u00e9rer des centaines de faux comptes d’influenceurs cr\u00e9dibles, r\u00e9diger des messages de support sans faute dans toutes les langues, cloner une voix pour un appel vocal de confirmation, animer un chatbot qui entretient une relation pendant des semaines : tout cela co\u00fbtait du temps humain, cela co\u00fbte d\u00e9sormais quelques requ\u00eates. Chainalysis observe que les arnaques reli\u00e9es on-chain \u00e0 des fournisseurs d’IA g\u00e9n\u00e8rent en moyenne environ 2,9 millions d’euros par op\u00e9ration (3,2 millions de dollars), soit pr\u00e8s de 4,5 fois plus que les arnaques sans cette composante.<\/p>

Pour les messageries, cela se traduit tr\u00e8s concr\u00e8tement : un faux bot de support qui r\u00e9pond de fa\u00e7on fluide et contextuelle, un faux mod\u00e9rateur dont le profil tient la route sur plusieurs jours, de faux comptes d’influenceurs en nombre industriel pour amorcer les cha\u00eenes Safeguard. HOGE Wire a consacr\u00e9 un article distinct au r\u00f4le de l’IA comme moteur offensif du phishing ; ici, il suffit de retenir que l’IA rend l’app\u00e2t moins cher \u00e0 produire et plus difficile \u00e0 distinguer de l’authentique, sans rien changer \u00e0 la parade, qui reste la v\u00e9rification hors du canal.<\/p>

AMF, MiCA et cybermalveillance.gouv.fr : ce que peut la r\u00e9gulation<\/h2>

C\u00f4t\u00e9 fran\u00e7ais, l’Autorit\u00e9 des march\u00e9s financiers tient une liste noire des sites et acteurs non autoris\u00e9s, et l’usurpation y constitue la plus grande cat\u00e9gorie : des escrocs se font passer pour des soci\u00e9t\u00e9s agr\u00e9\u00e9es, pour des courtiers connus, et parfois pour l’AMF elle-m\u00eame. Le r\u00e9gulateur met r\u00e9guli\u00e8rement \u00e0 jour ses mises en garde sur ses listes noires officielles<\/a>, mais une liste noire agit a posteriori : elle recense des entit\u00e9s d\u00e9j\u00e0 signal\u00e9es, quand le phishing sur messagerie cr\u00e9e une cha\u00eene jetable (faux compte, faux bot, faux lien) qui vit quelques heures et dispara\u00eet avant tout signalement.<\/p>

Depuis la fin de la p\u00e9riode transitoire pour les prestataires fran\u00e7ais, le 1er juillet 2026, l’activit\u00e9 de services sur crypto-actifs rel\u00e8ve du r\u00e9gime MiCA et d’un agr\u00e9ment de l’AMF ; le calendrier r\u00e9glementaire europ\u00e9en reste charg\u00e9, comme le rappelle notre compte \u00e0 rebours vers d\u00e9cembre<\/a>. Mais aucun agr\u00e9ment n’emp\u00eache un utilisateur de coller une commande PowerShell dans un chat. C’est pourquoi la r\u00e9ponse publique passe aussi par la pr\u00e9vention : le dispositif cybermalveillance.gouv.fr rappelle, dans ses notes d\u00e9di\u00e9es au secteur crypto<\/a>, qu’aucune autorit\u00e9 et aucun service l\u00e9gitime ne demandera jamais une phrase de r\u00e9cup\u00e9ration, et que le faux support fait partie des menaces les plus courantes. La r\u00e9gulation encadre les prestataires ; elle ne tient pas la main de l’utilisateur au moment du clic.<\/p>

Se d\u00e9fendre : la check-list anti-bot<\/h2>

La bonne nouvelle, c’est que presque toutes ces campagnes se d\u00e9sarment avec une poign\u00e9e de r\u00e9flexes, parce qu’elles reposent sur le m\u00eame ressort social. Une phrase les neutralise en bloc : rien de l\u00e9gitime n’exige jamais que vous ex\u00e9cutiez une commande ou que vous r\u00e9v\u00e9liez un secret \u00e0 l’int\u00e9rieur d’un chat. Voici les r\u00e8gles qui tiennent face \u00e0 l’ensemble des vecteurs d\u00e9crits plus haut.<\/p>

  • Ne collez jamais une commande dans la fen\u00eatre Ex\u00e9cuter de Windows (touches Windows plus R), dans PowerShell ou dans le Terminal macOS parce qu’un bot vous le demande : c’est la signature de ClickFix.<\/li>
  • Aucune phrase de r\u00e9cup\u00e9ration (douze ou vingt-quatre mots) ne se saisit jamais dans un bot, un formulaire web ou un message : elle ne sert qu’\u00e0 restaurer un portefeuille dans l’application officielle.<\/li>
  • Un vrai support n’\u00e9crit jamais en premier en message priv\u00e9 ; traitez tout message priv\u00e9 d’assistance non sollicit\u00e9 comme hostile par d\u00e9faut.<\/li>
  • V\u00e9rifiez hors du canal : si une annonce Discord ou un bot Telegram r\u00e9clame une action urgente, confirmez via le site officiel du projet ou un second canal, jamais via le lien fourni.<\/li>
  • M\u00e9fiez-vous des pi\u00e8ges typographiques (I majuscule pour l minuscule, caract\u00e8res accentu\u00e9s ou cyrilliques) dans les pseudos de bots et de comptes certifi\u00e9s.<\/li>
  • Isolez les activit\u00e9s \u00e0 risque : un appareil ou une machine virtuelle d\u00e9di\u00e9s aux appels, aux tests techniques et aux nouveaux bots limitent la casse si un infostealer passe.<\/li><\/ul>

    Un point m\u00e9rite d’\u00eatre explicite, car il d\u00e9joue une illusion r\u00e9pandue : un portefeuille mat\u00e9riel et la signature claire ne prot\u00e8gent pas contre ces attaques. La signature claire, promue via le standard ERC-7730 dont la gouvernance est pass\u00e9e \u00e0 la Fondation Ethereum, comme l’annon\u00e7ait<\/a> cette derni\u00e8re en mai 2026, r\u00e8gle un autre probl\u00e8me : elle rend lisible ce que l’on signe. Elle n’emp\u00eache pas un utilisateur de taper lui-m\u00eame sa seed phrase dans un faux bot, ni d’ex\u00e9cuter une commande ClickFix. Charles Guillemet, directeur technique de Ledger, le mart\u00e8le \u00e0 propos des fausses sollicitations visant les d\u00e9tenteurs de portefeuilles : la v\u00e9ritable application Ledger Live ne vous demandera jamais vos vingt-quatre mots, un rappel relay\u00e9 notamment par Hackread<\/a> lors d’une campagne de fausses lettres physiques. Contre une arnaque qui se joue hors de la cha\u00eene, la d\u00e9fense est hors de la cha\u00eene.<\/p>

    Signal d’alerte<\/th>Ce que l’attaquant vise<\/th>La parade<\/th><\/tr><\/thead>
    Un bot demande d’appuyer sur Windows plus R ou d’ouvrir le Terminal<\/td>Ex\u00e9cution de malware par la victime (ClickFix)<\/td>Ne jamais ex\u00e9cuter ; quitter le groupe<\/td><\/tr>
    On vous demande votre phrase de r\u00e9cup\u00e9ration<\/td>Vol total du portefeuille<\/td>Refus absolu, sans exception<\/td><\/tr>
    Un support vous \u00e9crit en premier en priv\u00e9<\/td>Faux portail, fausse r\u00e9solution<\/td>Ignorer ; passer par le canal officiel<\/td><\/tr>
    Compte \u00e0 rebours ou urgence de v\u00e9rification<\/td>Court-circuiter la r\u00e9flexion<\/td>Prendre le temps, v\u00e9rifier hors canal<\/td><\/tr>
    Lien d’invitation ancien ou pseudo presque identique<\/td>Redirection vers un serveur pi\u00e9g\u00e9<\/td>Recr\u00e9er le lien depuis la source officielle<\/td><\/tr><\/tbody><\/table>
    Les signaux d’alerte des campagnes sur messagerie et la parade correspondante.<\/figcaption><\/figure>

    La bascule de 2026 n’est pas technologique, elle est g\u00e9ographique. Le vol n’a pas trouv\u00e9 une faille plus profonde, il a trouv\u00e9 un terrain o\u00f9 la victime a d\u00e9j\u00e0 baiss\u00e9 la garde. Tant que la crypto vivra sur Telegram et Discord, le bot restera l’app\u00e2t ; la seule constante d\u00e9fensive est de sortir du canal pour v\u00e9rifier, et de ne jamais laisser un chat vous dicter une commande ou vous arracher un secret.<\/p>

    Foire aux questions<\/h2>

    Comment reconna\u00eetre un faux bot de v\u00e9rification sur Telegram ?<\/h3>

    Un faux bot de v\u00e9rification joue sur l’urgence et l’imitation. M\u00e9fiez-vous d’un compte \u00e0 rebours court, d’un pseudo presque identique \u00e0 l’officiel (un I majuscule \u00e0 la place d’un l minuscule, par exemple) et de toute demande d’ex\u00e9cuter une commande ou d’installer quoi que ce soit. Aucun bot l\u00e9gitime ne vous fera appuyer sur Windows plus R ni ouvrir le Terminal pour prouver que vous \u00eates humain.<\/p>

    Un bot Telegram ou Discord peut-il vraiment vider mon portefeuille crypto ?<\/h3>

    Oui, mais presque jamais en exploitant une faille : il vous pousse \u00e0 agir contre vous-m\u00eame. Soit il vous fait ex\u00e9cuter un logiciel malveillant qui aspire vos cl\u00e9s et vos identifiants, soit il vous demande votre phrase de r\u00e9cup\u00e9ration ou une signature pi\u00e9g\u00e9e. Tant que vous ne saisissez aucun secret et n’ex\u00e9cutez aucune commande, un bot ne peut pas vider votre portefeuille \u00e0 votre place.<\/p>

    Qu’est-ce que l’attaque ClickFix et pourquoi est-elle si efficace ?<\/h3>

    ClickFix est une technique qui consiste \u00e0 faire ex\u00e9cuter le code malveillant par la victime elle-m\u00eame, sous couvert d’une v\u00e9rification humaine ou d’une correction technique. Concr\u00e8tement, on vous demande de coller une commande dans la fen\u00eatre Ex\u00e9cuter de Windows, dans PowerShell ou dans le Terminal macOS. C’est efficace parce qu’il n’y a ni pi\u00e8ce jointe ni lien \u00e0 filtrer : l’ordre arrive dans un chat et contourne les antivirus et les filtres classiques.<\/p>

    Le support d’un projet crypto peut-il me contacter en premier en message priv\u00e9 ?<\/h3>

    Non. Les \u00e9quipes l\u00e9gitimes r\u00e9pondent dans les canaux publics ou via des tickets officiels ; elles ne sollicitent jamais spontan\u00e9ment en message priv\u00e9. Tout message priv\u00e9 d’assistance non sollicit\u00e9 doit \u00eatre consid\u00e9r\u00e9 comme hostile par d\u00e9faut, m\u00eame si le pseudo et l’avatar ressemblent \u00e0 ceux d’un membre connu de l’\u00e9quipe.<\/p>

    Un portefeuille mat\u00e9riel prot\u00e8ge-t-il contre les arnaques sur Telegram et Discord ?<\/h3>

    Pas contre celles-ci. Un portefeuille mat\u00e9riel et la signature claire prot\u00e8gent la signature des transactions, mais ils n’emp\u00eachent pas de taper soi-m\u00eame sa phrase de r\u00e9cup\u00e9ration dans un faux bot ni d’ex\u00e9cuter une commande ClickFix. Comme le rappelle Ledger, l’application officielle ne demande jamais vos vingt-quatre mots ; contre une arnaque qui se joue hors de la cha\u00eene, la d\u00e9fense est elle aussi hors de la cha\u00eene.<\/p>