Points Clés à Retenir
- Des escrocs ciblent les utilisateurs de MetaMask avec de fausses pages de "vérification de sécurité 2FA" qui imitent les alertes officielles.
- Les sites de phishing utilisent des comptes à rebours et un sentiment d'urgence pour tromper les victimes et les amener à saisir leurs phrases de récupération.
- Une fois la phrase de récupération soumise, les attaquants obtiennent un contrôle total et peuvent vider instantanément les portefeuilles.
MetaMask, le principal portefeuille Ethereum non-custodial, fait face à une arnaque active à la double authentification (2FA) qui a récemment vidé plusieurs portefeuilles utilisateurs.
La firme de cybersécurité SlowMist a signalé l'attaque le 5 janvier, notant que les escrocs attirent les victimes via une série de fausses pages web conçues pour imiter étroitement les interfaces officielles de MetaMask, finissant finalement les utilisateurs à révéler leur phrase de récupération de portefeuille.
L'attaque commence généralement par un e-mail de phishing ou un lien partagé via les réseaux sociaux, les messages directs ou des sites web compromis. Contrairement aux configurations 2FA légitimes, qui reposent sur des codes générés par des applications ou des appareils, cette arnaque invite finalement les utilisateurs à saisir leur phrase de récupération. Cela accorde aux attaquants un contrôle total et leur permet de vider les fonds en quelques secondes. Les utilisateurs reçoivent des e-mails non sollicités se faisant passer pour le "Support MetaMask", avec des objets tels que "2FA - Protégez Votre Portefeuille" ou "Action Requise : Sécurisez Votre Portefeuille avec la 2FA". Les e-mails affirment que la 2FA devient obligatoire pour prévenir les accès non autorisés et imposent souvent une fausse date limite pour créer un sentiment d'urgence. Ils présentent le logo du renard MetaMask et incluent un bouton intitulé "Activer la 2FA Maintenant !". Cliquer sur le bouton redirige les utilisateurs vers un site de phishing avec un domaine ressemblant étroitement à celui de MetaMask, utilisant souvent des techniques de typosquatting comme "matamask" au lieu de "metamask". Le site affiche une fausse alerte de sécurité avertissant de risques potentiels et exhorte à une action immédiate. Les utilisateurs sont ensuite guidés vers une interface de vérification 2FA contrefaite qui inclut des éléments réalistes, tels que des comptes à rebours (par exemple, "Terminez dans 5 minutes ou risquez une restriction de compte"), pour forcer une compliance rapide. La dernière étape demande aux utilisateurs de saisir leur phrase de récupération de 12 ou 24 mots sous le prétexte de "vérifier la propriété du portefeuille" ou de "terminer la configuration de sécurité". Certaines versions incluent un faux "vérification d'authenticité" pour instaurer la confiance. Une fois saisie, la phrase est envoyée aux attaquants, qui peuvent importer le portefeuille ailleurs et transférer tous les actifs instantanément. MetaMask lui-même n'est pas techniquement vulnérable ; l'exploit repose sur l'ingénierie sociale et l'erreur de l'utilisateur. Comme cette variante spécifique de la 2FA a été signalée publiquement pour la première fois le 5 janvier 2026, les chiffres détaillés des pertes n'ont pas encore été largement divulgués. Cependant, les premiers indicateurs suggèrent un potentiel de perte rapide dû au vol direct des phrases de récupération. Des campagnes de phishing similaires liées à MetaMask, comme l'arnaque à la "mise à jour obligatoire", ont été signalées par l'enquêteur on-chain ZachXBT juste quelques jours auparavant. Ces escroqueries ont vidé plus de 107 000 $ de centaines de portefeuilles sur les chaînes EVM. Les victimes perdent généralement de petites sommes par portefeuille (500 à 2 000 $), rendant les vols initialement plus difficiles à détecter et à tracer. Les fonds sont acheminés vers des adresses contrôlées par l'attaquant, souvent en stablecoins ou ETH, les pertes totales de l'écosystème dues aux escroqueries liées à MetaMask étant estimées à des millions annuellement. Si vous avez été victime, déconnectez immédiatement le portefeuille des sites suspects et transférez tous les fonds restants vers un nouveau portefeuille. Rester vigilant est essentiel dans le Web3 ; MetaMask souligne que la sécurité commence par la sensibilisation des utilisateurs. Tout d'abord, il est crucial pour les utilisateurs détenant des actifs dans des portefeuilles en ligne et auto-détenus de se méfier de telles attaques. Rappelez-vous toujours : aucun portefeuille, qu'il soit matériel ou logiciel, custodial ou non-custodial, ne devrait jamais vous demander votre phrase de récupération. Cependant, en raison de la sophistication de ces escroqueries, il est difficile de les détecter tout le temps. Voici un guide étape par étape pour toujours vérifier deux fois tout e-mail de ce type, créant un sentiment d'urgence :
QQuelle est la principale méthode utilisée par les escrocs pour cibler les utilisateurs de MetaMask ? ALes escrocs utilisent principalement des e-mails de phishing ou des liens partagés via les réseaux sociaux, les messages directs ou les sites web compromis, imitant des alertes officielles de MetaMask pour tromper les utilisateurs. QQue demandent les sites de phishing aux utilisateurs pour finalement vider leurs portefeuilles ? ALes sites de phishing demandent aux utilisateurs de saisir leur phrase de récupération (seed phrase) de 12 ou 24 mots sous prétexte de 'vérifier la propriété du portefeuille' ou de 'finaliser la configuration de sécurité'. QQuel élément les escrocs utilisent-ils pour créer un sentiment d'urgence et pousser à l'action rapide ? AIls utilisent de fausses alertes de sécurité avec des compte à rebours (par exemple, 'Terminer dans 5 minutes ou risquer une restriction de compte') pour créer un sentiment d'urgence. QQue doivent faire les utilisateurs s'ils sont victimes de cette arnaque ? AIls doivent immédiatement déconnecter leur portefeuille des sites suspects et transférer tous les fonds restants vers un nouveau portefeuille généré avec une nouvelle phrase de récupération. QQuel est le conseil le plus important pour éviter de divulguer sa phrase de récupération ? AIl ne faut jamais saisir sa phrase de récupération ailleurs que lors de la configuration initiale ou de la récupération d'un portefeuille sur un appareil de confiance. Aucun portefeuille légitime ne la demandera.Que s'est-il passé ?
Les Utilisateurs Risquent de Perdre l'Intégralité de Leurs Actifs
Comment Éviter de Telles Arnaques
Questions liées
Lectures associées
Trading
