Arnaques crypto aux faux portails KYC : le scénario RWA

Pourquoi les levées d’actifs tokenisés attirent autant le phishing

La tokenisation des actifs du monde réel (RWA) est devenue l’un des segments les plus actifs de la crypto. Des produits comme ONDO, BUIDL, PAXG et XAUT représentent des droits sur des bons du Trésor américains, des fonds monétaires et de l’or, et ils sont commercialisés à la fois auprès des investisseurs natifs de la crypto et des desks de finance traditionnelle. Comme les actifs sous-jacents sont des titres réglementés, les plateformes qui les distribuent sont légalement tenues de vérifier l’identité de leurs clients avant que des tokens n’arrivent dans un wallet.

Cette exigence est précisément la raison pour laquelle cette catégorie d’arnaque existe. Un utilisateur présent dans la crypto depuis des années sait que publier une photo de passeport et un selfie sur un site web n’est pas un comportement crypto normal, mais un utilisateur intégré à un fonds tokenisé de bons du Trésor s’attend à ce qu’on le lui demande. L’arnaque emprunte la légitimité de la finance réglementée et l’associe à la rapidité des interactions avec les wallets crypto.

Il existe aussi un facteur de timing. Lorsqu’un véritable émetteur annonce une levée ou une vente publique, l’information se diffuse en quelques heures sur X, Telegram, Discord et par e-mail. Les opérateurs de kits de drainer surveillent ces mêmes canaux, et ils peuvent enregistrer un domaine ressemblant et mettre en ligne une page de destination clonée le jour même. Au moment où un investisseur curieux recherche le nom du projet, le résultat de recherche payant, le tweet sponsorisé et la réponse sponsorisée sur Discord peuvent tous pointer vers l’arnaque.

Il en résulte un environnement où ce qui rend une plateforme RWA digne de confiance, à savoir l’onboarding réglementé, est aussi ce qui vide les victimes. La défense ne consiste pas à refuser le KYC, mais à apprendre à distinguer un KYC légitime de la version scénarisée utilisée par les attaquants.

Comment les kits de drainer ont industrialisé les faux parcours KYC

Il y a deux ou trois ans, les kits de phishing étaient rudimentaires. Un escroc pouvait copier une page MetaMask ou Uniswap, demander une phrase de récupération et espérer qu’un utilisateur non technique la saisisse. Ces kits existent encore, mais un marché parallèle a mûri autour de services comme le drainer-as-a-service, où un développeur vend un tableau de bord sur abonnement qui automatise tout le déroulement de l’attaque.

Les kits de drainer modernes sont livrés avec des modèles pour des dizaines de cibles, y compris des plateformes d’actifs tokenisés. Un modèle regroupe généralement une page de destination qui reprend les couleurs de marque et le logo de l’émetteur, un formulaire d’envoi de documents qui imite les questions qu’un vrai prestataire KYC poserait, et un backend qui transmet la pièce d’identité envoyée à l’attaquant tout en affichant à la victime un faux écran de vérification. Une fois l’envoi terminé, la page invite la victime à connecter un wallet pour « recevoir des tokens », et c’est là que la demande de signature apparaît.

C’est pourquoi le détail essentiel mérite d’être souligné : le leurre n’est plus une page générique « connectez votre wallet pour réclamer un airdrop ». C’est un parcours d’onboarding crédible, marqué, et d’apparence réglementée. Le rôle du kit est de faire avancer la victime à travers les étapes jusqu’à ce qu’une signature de wallet, que la victime interprète comme une connexion de routine, accorde en réalité une approbation de tokens à un contrat contrôlé par l’attaquant.

Comme les kits sont des produits par abonnement, les opérateurs améliorent ce qui fonctionne. Si l’image de marque d’un émetteur particulier convertit bien, le modèle est réutilisé lors de chaque levée ultérieure organisée par cet émetteur. Si un régulateur fait fermer un domaine ressemblant, le propriétaire du kit en lance simplement un autre auprès d’un registrar qui ne répond pas rapidement aux demandes de retrait.

Les trois étapes qu’un kit de drainer enchaîne

• Leurre. Un e-mail, un DM, une publicité payante ou une réponse Discord piratée indique à la victime qu’elle a été sélectionnée, qu’une allocation lui a été attribuée ou qu’elle est sur liste d’attente pour une offre d’actifs tokenisés nécessitant un KYC.
• Capture d’identité. La victime arrive sur une page clonée et envoie une pièce d’identité officielle, un selfie et parfois un justificatif de domicile. L’attaquant dispose alors de suffisamment d’informations personnelles pour tenter une fraude à l’identité hors plateforme.
• Vidage du wallet. La page invite à connecter un wallet, demande une signature, souvent déguisée en étape de vérification ou en réclamation sans frais de gas, et utilise cette signature pour accorder des approbations de tokens à un contrat contrôlé par l’attaquant. Un bot de balayage séparé transfère ensuite les actifs de la victime en quelques minutes.

Risques : ce qui se passe réellement pour les victimes

Les risques d’une arnaque crypto avec faux portail KYC se répartissent en trois catégories, et le risque financier n’est que le plus visible. L’usurpation d’identité est la conséquence plus discrète et plus durable. Un scan de passeport, un selfie avec ce passeport à la main et une facture de services publics suffisent à un attaquant pour ouvrir des comptes frauduleux, demander un crédit ou vendre l’ensemble à d’autres criminels sur des marchés du dark web. Les victimes le découvrent souvent des mois plus tard, lorsqu’une vérification de solvabilité échoue ou qu’une adresse de facturation qu’elles ne reconnaissent pas apparaît sur un compte financier.

Le risque on-chain est plus rapide et plus visible. La signature que la victime signe est rarement un simple message. Il s’agit généralement d’une autorisation de token qui permet à un contrat spécifique de déplacer un token spécifique, et dans de nombreux kits de drainer, l’autorisation est illimitée, sans plafond de dépense, de sorte que l’attaquant peut déplacer tout ce qui se trouve dans le wallet. Certains kits ajoutent une signature de suivi pour une autorisation ERC-721 ou ERC-1155 afin de pouvoir aussi s’emparer des NFTs. Un utilisateur qui signe une fois puis s’en va peut revenir et trouver un wallet vide.

Il existe aussi un risque lié à la récupération, qui ne reçoit pas assez d’attention. Comme la victime a téléversé de vrais documents dans un formulaire qui semble réel, il existe une période pendant laquelle elle peut continuer à interagir avec l’escroc en croyant que l’intégration est toujours en cours. Certains kits incluent un faux "chat d’assistance" tenu par l’attaquant, qui posera poliment des questions de suivi jusqu’à ce que la victime ait transmis une seed phrase ou transféré des fonds pour "vérifier le wallet". Plus la victime croit longtemps que le processus est légitime, plus les pertes augmentent.

Schémas historiques à connaître

• L’empoisonnement d’adresse a utilisé des astuces de timing similaires pour vider des wallets : une transaction de 0,001 $ depuis une adresse ressemblante, suivie du vidage de la véritable adresse par un copier-coller effectué dans la panique. Les drainers KYC utilisent la même logique émotionnelle : l’urgence plus un petit engagement, comme le téléversement d’une pièce d’identité, qui réduit la résistance face à l’engagement suivant, à savoir une signature.
• Les autorisations d’ice phishing, popularisées en 2022 et 2023, ont montré qu’une signature en apparence anodine pouvait accorder de larges permissions sur des tokens. Les drainers KYC modernes intègrent des charges utiles d’ice phishing dans des parcours de marque afin que la signature ressemble à une étape de connexion de routine.
• Les cycles d’engouement avant lancement pour tout produit de bons du Trésor tokenisés ou d’or tokenisé produisent de manière prévisible une vague de fausses pages KYC. Le schéma se répète parce qu’il convertit.

Comment distinguer un faux portail KYC d’un vrai

Le KYC légitime existe. L’objectif n’est pas de le refuser, mais d’exiger la preuve que la page qui le demande est bien la page de l’émetteur. Quelques indices concrets permettent de distinguer les deux.

Premier indice : le domaine. Le signal le plus fort est l’URL dans la barre d’adresse. ONDO Finance se trouve sur un seul domaine canonique, ondo.finance. Les drainers enregistrent des variantes : ondo-fi.com, ondofinance.io, ondo-finance.app, ondo-claims.net. Ils peuvent ajouter des sous-domaines qui semblent plausibles, comme kyc.ondo-finances.com, pour enfouir le vrai domaine enregistré au milieu d’une longue chaîne. Si l’URL n’est pas exactement celle que vous avez déjà vu l’émetteur utiliser, considérez-la comme hostile.

Deuxième indice : l’urgence. Une intégration réglementée réelle n’expire pas en quinze minutes. Les appâts de drainer, eux, expirent. Des phrases comme "vérifiez dans les 30 prochaines minutes ou votre allocation sera perdue", "limité aux 200 premiers candidats" ou "votre place sera libérée si vous ne terminez pas la vérification d’identité maintenant" existent pour empêcher la victime de faire une pause et de réfléchir. Toute fenêtre d’intégration légitime se compte en jours, pas en minutes.

Troisième indice : la demande de signature après le téléversement. C’est le rare signal d’alerte sans ambiguïté. Un parcours KYC réglementé demande des documents et attend qu’un examinateur humain ou un prestataire tiers, comme Onfido, Sumsub, Persona ou Jumio, renvoie une décision. Il ne demande pas ensuite immédiatement à l’utilisateur de signer un message de wallet pour "confirmer la réception des tokens". Un parcours combinant identité et signature dans une seule session est aujourd’hui un schéma d’arnaque quasi universel. La signature est ce qui vide le wallet ; la pièce d’identité est ce qui met la victime suffisamment en confiance pour signer.

Quatrième indice : l’origine du lien. Les vrais émetteurs annoncent l’intégration via leurs propres canaux : un compte X vérifié, un article de blog officiel sur leur domaine canonique ou un e-mail envoyé depuis un domaine correspondant à l’émetteur. Un lien envoyé en DM par un compte créé la semaine dernière, un résultat de recherche sponsorisé affiché au-dessus du véritable émetteur ou un message Telegram provenant d’un "admin" ne sont pas équivalents. Traitez les liens non sollicités comme coupables jusqu’à preuve du contraire.

Mesures pratiques si vous avez déjà téléversé des documents

Si vous avez déjà téléversé une pièce d’identité sur une page que vous pensez désormais fausse, l’ordre des actions compte. Premièrement, ne signez plus rien sur cette page et n’échangez avec aucun chat de "support" qu’elle propose. Fermez l’onglet. Deuxièmement, si vous avez connecté un wallet et signé ne serait-ce qu’une fois, considérez ce wallet comme compromis : déplacez les actifs restants vers un nouveau wallet qui n’a jamais interagi avec le site suspect, et révoquez toutes les autorisations de tokens que vous pouvez trouver avec un outil de révocation avant de faire quoi que ce soit d’autre avec l’ancienne adresse.

Troisièmement, partez du principe que les documents que vous avez téléversés seront détournés. Un scan de passeport avec un selfie et un justificatif de domicile constitue un kit de départ complet pour l’usurpation d’identité. Déposez un signalement auprès de l’autorité locale compétente en matière d’usurpation d’identité ou de fraude, surveillez vos rapports de crédit pendant les prochains mois et envisagez de placer une alerte à la fraude auprès des principaux bureaux de crédit afin que toute ouverture de nouveau compte exige une vérification supplémentaire.

Quatrièmement, signalez la page. Le canal d’assistance officiel de l’émetteur voudra généralement l’URL afin de pouvoir avertir les autres utilisateurs et demander un retrait. Les bureaux d’enregistrement de domaines et les hébergeurs disposent aussi de contacts pour les abus qui, même s’ils sont lents, agissent parfois. Le signalement ne permet pas de récupérer ce qui a été perdu, mais il réduit la perte de la prochaine victime.

Comment vérifier une intégration RWA légitime

La seule vérification qui compte est indépendante. Ne cliquez pas sur le lien qui vous a été envoyé. Ouvrez un nouvel onglet de navigateur, saisissez à la main le domaine canonique de l’émetteur ou utilisez un favori que vous aviez enregistré plus tôt, puis accédez à la page de l’application depuis cet endroit. Si le projet propose un KYC, la page de l’application sera accessible depuis la navigation propre à l’émetteur, et non depuis une page d’atterrissage séparée promue par des publicités ou des DMs.

Une fois sur le site officiel, cherchez deux éléments. D’abord, le nom du fournisseur KYC. Les plateformes légitimes nomment leur prestataire, comme Sumsub, Onfido, Persona ou Jumio, et créent un lien vers le domaine de ce prestataire depuis le parcours de vérification. Vous pouvez confirmer en vérifiant l’URL pendant l’étape de téléversement : si elle ne pointe pas vers le domaine réel du prestataire nommé, c’est une fausse page. Ensuite, l’étape de connexion du wallet. Les plateformes RWA réelles n’exigent soit aucune signature de wallet pendant le KYC, soit une simple signature en lecture seule, c’est-à-dire un message signé qui prouve la propriété de l’adresse sans accorder aucune autorisation. Un parcours qui demande une transaction d’autorisation, surtout avec un plafond de dépense illimité, n’est pas légitime.

Il est également utile de considérer les canaux d’annonce officiels de l’émetteur comme la source de vérité. Le compte X vérifié, le blog officiel et la liste e-mail du domaine canonique sont les trois canaux qu’un attaquant ne peut pas usurper de manière fiable en même temps. Si l’intégration qu’on vous demande de terminer n’est mentionnée dans aucun de ces trois endroits, elle n’existe pas.

Suivez les levées RWA sans tomber dans un drainer

L’actualité des actifs tokenisés évolue vite, tout comme les copies frauduleuses qui la suivent. Lire chaque annonce manuellement, vérifier deux fois chaque domaine et attendre la confirmation de la communauté avant de cliquer sur quoi que ce soit est le bon réflexe, mais ce n’est pas scalable. Zippfeed suit les gros titres RWA avec une notation du sentiment (bullish, neutral ou bearish) et une note d’importance, afin que vous puissiez voir quelles histoires de tokenization gagnent réellement en traction et confirmer chaque étape d’onboarding depuis un seul flux vérifié, au lieu de courir après des liens dans les DMs et les publicités de recherche.