Qu’est-ce que le social engineering dans la crypto et comment le reconnaître ?

Le social engineering est important à reconnaître, car un seul message convaincant, un seul fichier erroné ou une seule confirmation irréfléchie peut suffire à donner accès à des systèmes sensibles ou à de la crypto.

L’ampleur des conséquences est particulièrement visible en ce moment chez Binance. Le 29 octobre 2026, des milliards de dollars de crypto ont été déplacés depuis des wallets de la plateforme d’échange crypto. Binance enquête encore sur l’incident et indique qu’un ordinateur portable compromis d’un ingénieur DevOps pourrait avoir été le premier point d’accès. Selon Binance, l’attaquant aurait pu, via cet ordinateur portable, accéder à un conteneur de service et soumettre des retraits non autorisés.

L’impact total est actuellement estimé par Binance à environ 6,3 milliards de dollars. Environ 3 milliards de dollars de crypto touchés ont déjà été gelés on-chain, selon la plateforme d’échange crypto. Binance affirme n’avoir trouvé aucune preuve de fuite des clés privées des wallets et indique que toutes les pertes seront couvertes par le fonds SAFU et par ses propres fonds d’entreprise. Les dépôts fonctionnent à nouveau normalement, tandis que les retraits sont encore suspendus au moment de la rédaction en raison d’ajustements de l’infrastructure de retraits.

La manière exacte dont l’ordinateur portable a été compromis n’est pas encore connue. Il n’y a donc pas encore de confirmation que du phishing, une fausse offre d’emploi ou une autre forme de social engineering ait provoqué l’attaque. L’incident montre toutefois pourquoi les attaquants ciblent souvent des personnes et des appareils disposant de droits d’accès élevés. Un seul compte ou appareil compromis peut donner accès à des systèmes bien plus importants.

C’est précisément cela, le social engineering : il ne s’agit pas nécessairement de casser directement une protection technique, mais de tromper une personne afin qu’elle donne involontairement l’accès, partage des informations ou exécute une action nuisible.

À retenir

• Le social engineering consiste à tromper des personnes pour qu’elles partagent elles-mêmes des informations ou exécutent une action nuisible.
• Les attaquants cherchent par exemple à obtenir des identifiants de connexion, des codes de vérification, des seed phrases ou des private keys.
• Une transaction nuisible ou un token approval peut aussi causer un préjudice financier sans que l’attaquant connaisse votre seed phrase.
• Le hack Binance en cours montre à quel point les conséquences peuvent être importantes lorsqu’un appareil ou un compte disposant de nombreux droits d’accès est compromis.

Qu’est-ce que le social engineering dans la crypto ?

Le social engineering dans la crypto consiste à manipuler des personnes afin qu’elles partagent elles-mêmes des informations sensibles ou exécutent une action nuisible. L’attaquant n’a donc pas toujours besoin de s’introduire techniquement dans un système. Souvent, il essaie plutôt de vous convaincre d’ouvrir un lien, de transmettre un code, d’envoyer de la crypto ou de confirmer une demande de wallet.

Imaginez un faux message d’une plateforme d’échange crypto, une personne se faisant passer pour un employé d’un wallet crypto ou encore quelqu’un qui prétend être un ami. L’objectif peut être d’obtenir vos identifiants de connexion, un code de vérification à usage unique, une seed phrase ou une private key. Un attaquant peut aussi essayer de vous pousser à signer une transaction nuisible ou à accorder une autorisation pour déplacer des tokens depuis votre wallet.

Le phishing est une forme bien connue de social engineering. Dans ce cas, on vous attire par exemple vers un site imité sur lequel on vous demande de saisir des identifiants ou d’autres informations sensibles. Avec la self custody, le risque est encore plus élevé. Quiconque possède votre seed phrase ou votre private key peut, en pratique, gérer la crypto contenue dans ce wallet.

Un attaquant n’a toutefois pas toujours besoin de votre seed phrase pour causer des dommages. Avec un token approval nuisible, vous donnez par exemple à une dApp ou à un Smart Contract l’autorisation de déplacer certains tokens depuis votre wallet. Si vous accordez une telle autorisation à une partie malveillante, ces tokens peuvent potentiellement être retirés de votre wallet.

Comment fonctionne le social engineering dans la crypto ?

Le social engineering fonctionne en combinant une histoire crédible avec une action que l’attaquant veut obtenir de vous. Cette action peut sembler anodine, comme ouvrir un lien ou consulter un fichier, mais elle peut finalement donner accès à des données, à des comptes ou à de la crypto.

La première étape consiste généralement à établir le contact. Cela peut se faire par e-mail, SMS, téléphone, réseaux sociaux, site imité ou même via une offre d’emploi. Ensuite, l’attaquant tente d’instaurer la confiance ou de créer un sentiment d’urgence. Vient alors la véritable demande, par exemple ouvrir un logiciel, transmettre un code de vérification, envoyer de la crypto ou signer une transaction dans votre wallet.

Une attaque peut aussi viser des employés d’entreprises crypto. Dans le vol DMM de 2024, un attaquant s’est par exemple fait passer pour un recruteur et a réussi, via un test de candidature malveillant, à obtenir un accès aux systèmes d’une entreprise qui travaillait avec DMM Bitcoin. L’attaque complète est présentée plus loin comme exemple.

Le principe reste le même : l’attaquant ne cherche pas seulement à contourner une protection technique, il convainc d’abord une personne de faire quelque chose qui ouvre l’accès.

Quelles formes de social engineering sont fréquentes ?

Plusieurs formes de social engineering peuvent être combinées dans une même attaque. Une personne se faisant passer pour un employé d’une plateforme d’échange peut, par exemple, commencer par vous appeler, puis envoyer un lien et enfin vous demander de confirmer une demande de wallet.

• Phishing : un faux message, souvent par e-mail, avec par exemple un lien vers une fausse page de connexion.
• Smishing : du phishing par SMS ou via des applications de chat comme WhatsApp et Telegram.
• Vishing : une tromperie par téléphone, par exemple par une personne se faisant passer pour le service client.
• Impersonation : une personne se fait passer pour une plateforme d’échange crypto, un fournisseur de wallet, une autorité publique, un employeur, une personnalité connue ou un influenceur.
• Fraude à l’investissement et fraude sentimentale : un attaquant construit la confiance sur une longue période, puis tente de vous faire investir de l’argent ou de la crypto via une fausse plateforme.
• Airdrop et approval phishing : une offre de tokens gratuits vous attire vers une fausse dApp ou tente de vous faire signer une transaction nuisible ou un token approval.
• Fraudes au recrutement : une fausse offre d’emploi, un exercice de programmation ou un test de candidature est utilisé pour diffuser un malware, voler des données ou obtenir l’accès à un compte.

La crypto gratuite semble attrayante. C’est précisément pourquoi un airdrop inattendu ou un lien de réclamation exclusif doit vous inciter à vérifier avec encore plus de prudence qui est l’expéditeur et vers quel site vous êtes redirigé.

Comment la confiance et l’urgence sont-elles exploitées ?

Les attaquants essaient souvent d’abord de gagner votre confiance en se faisant passer pour quelqu’un que vous connaissez ou pour une organisation qui semble fiable. Pensez au service client d’une plateforme d’échange crypto, à votre banque, à un employeur, à un ami ou à une personne avec qui vous avez noué une relation en ligne.

Ensuite vient souvent la pression du temps. On vous dit par exemple que votre compte va être bloqué, qu’une fraude a été détectée ou que vous devez transférer immédiatement votre crypto vers un autre wallet. L’objectif est que vous agissiez vite avant de vérifier si l’histoire est vraie.

Dans la crypto, cette pression s’accompagne souvent d’une demande d’envoi de crypto vers un prétendu wallet sécurisé, de scan d’un QR code, de transmission d’un code de vérification ou de signature immédiate d’une transaction. Les promesses de rendement garanti, de crypto gratuite et de gains exceptionnellement élevés sont aussi des signaux d’alerte clairs.

Un message urgent n’est pas automatiquement une fraude. Mais la pression du temps, combinée à une demande de mots de passe, de codes de vérification, de seed phrases, de private keys, de crypto ou de confirmation de wallet, constitue un signal d’alarme fort.

Exemples connus de social engineering dans la crypto

Des attaques connues montrent que le social engineering peut aller bien au-delà d’un simple spam ou d’un faux e-mail. Parfois, un attaquant cible des employés d’une entreprise crypto pendant des mois afin d’obtenir finalement un accès aux systèmes internes.

Un exemple clair est le vol DMM de 2024. Un attaquant s’est fait passer pour un recruteur sur LinkedIn et a approché un employé de Ginco, une entreprise qui développe des logiciels pour des wallets crypto d’entreprise. L’employé a reçu un script Python malveillant présenté comme faisant partie d’un test de candidature.

Après avoir obtenu les données de session de l’employé, les attaquants ont pu, selon le FBI, pénétrer dans le système de communication de Ginco. Cet accès a probablement été utilisé pour manipuler une demande de transaction légitime de DMM Bitcoin. Au final, 4 502,9 BTC ont été volés, pour une valeur d’environ 308 millions de dollars à l’époque. Le FBI a attribué l’attaque à TraderTraitor, un groupe de hack nord-coréen.

Un autre schéma très courant est le approval phishing. Dans ce cas, vous signez vous-même une transaction blockchain qui donne à une adresse d’attaquant ou à un Smart Contract malveillant l’autorisation de déplacer certains tokens depuis votre wallet crypto. La transaction peut être techniquement parfaitement valide, alors que vous pensez confirmer autre chose.

Exemple : vous voyez une offre de tokens gratuits et connectez votre wallet crypto à un site. Ensuite, une demande de confirmation apparaît. Il semble que vous activiez seulement la réclamation des tokens gratuits, mais en réalité vous pouvez accorder l’autorisation de déplacer des tokens déjà présents dans votre wallet.

C’est pourquoi il ne suffit pas de vérifier si un site a l’air fiable. Regardez aussi toujours avec attention quelle transaction ou quelle autorisation votre wallet crypto affiche exactement avant de confirmer.

Le hack Binance en cours d’octobre 2026

Un exemple très récent de l’ampleur que peut prendre un seul appareil compromis est le hack chez Binance, rendu public le 29 octobre 2026. Lors de cet incident, des milliards de dollars de crypto ont été déplacés depuis des wallets de la plateforme d’échange crypto.

Binance enquête encore sur l’attaque. Selon les premiers résultats de l’enquête, un ordinateur portable compromis d’un ingénieur DevOps serait le point d’accès possible. Via cet ordinateur portable, un attaquant aurait pu accéder à un conteneur de service et soumettre des transactions de retrait non autorisées.

Binance estime actuellement l’impact total à environ 6,3 milliards de dollars. Environ 3 milliards de dollars de crypto touchés ont déjà été gelés on-chain, selon la plateforme d’échange crypto, avec l’aide d’autres acteurs du secteur crypto.

Binance affirme n’avoir trouvé à ce stade aucune preuve que les private keys de ses wallets aient elles-mêmes fuité. L’entreprise indique que les fonds des clients sont en sécurité et que toutes les pertes seront couvertes par le fonds SAFU et par ses propres fonds d’entreprise.

L’identité exacte des auteurs de l’attaque n’a pas encore été définitivement établie par Binance. Des sociétés d’intelligence blockchain comme TRM Labs voient toutefois de forts indices d’une implication de TraderTraitor, un groupe de hack nord-coréen déjà lié à d’autres grands vols de crypto.

On ne sait pas non plus encore comment l’ordinateur portable de l’ingénieur DevOps a précisément été compromis. Au 30 octobre 2026, il n’y a donc toujours pas de confirmation que du phishing, une fausse offre d’emploi ou une autre forme de social engineering ait constitué la première étape de l’attaque.

Même si le social engineering n’a donc pas encore été confirmé comme cause, l’affaire reste pertinente. Le point d’accès possible est un appareil d’employé disposant de droits d’accès techniques. Si un attaquant parvient à prendre le contrôle d’un tel appareil ou compte, cela peut finalement donner accès à des systèmes bien plus importants.

La situation évolue encore. Binance a annoncé qu’un rapport technique détaillé serait publié une fois l’enquête terminée. Les dépôts fonctionnent à nouveau normalement, tandis que les retraits sont encore suspendus au moment de la rédaction en raison d’ajustements de l’infrastructure de retraits.

Pourquoi les utilisateurs de crypto sont-ils vulnérables au social engineering ?

Les utilisateurs de crypto sont vulnérables au social engineering parce qu’une seule mauvaise action peut parfois avoir des conséquences financières immédiates. Si, dans un cadre de self custody, quelqu’un obtient votre seed phrase ou votre private key, il peut gérer la crypto de ce wallet. Et si vous confirmez vous-même un transfert de crypto ou une approval nuisible, cette action est généralement irréversible sur la blockchain.

Dans les services financiers traditionnels, des contrôles supplémentaires peuvent parfois permettre de bloquer ou d’examiner des paiements suspects. Avec une transaction de self custody sur la blockchain, il n’existe généralement pas d’acteur central capable d’annuler votre transaction après coup. Un attaquant n’a donc parfois besoin de vous convaincre qu’une seule fois de confirmer la mauvaise action.

Web3 complique parfois encore les choses. Les dApps légitimes demandent régulièrement une connexion de wallet, une signature ou un token approval. Une demande malveillante peut donc ressembler à quelque chose que vous voyez aussi habituellement. Or, connecter un wallet n’est pas la même chose que signer un message, et une signature n’est pas la même chose qu’un token approval ou qu’une confirmation de transaction.

Même après une première perte, les victimes restent ciblées. Des services de récupération peuvent par exemple promettre de récupérer de la crypto volée, puis demander un paiement à l’avance. Cela peut constituer une nouvelle forme de fraude.

Comment reconnaître une attaque de social engineering ?

Vous reconnaissez surtout une attaque de social engineering à la combinaison d’un contact inattendu, d’une revendication d’identité, d’une pression temporelle et d’une demande d’action. Ne regardez donc pas seulement une phrase, une photo de profil ou un logo, mais l’ensemble de la demande.

Considérez toujours comme suspecte une demande inattendue d’envoi de crypto, de connexion d’un wallet crypto, de scan d’un QR code, de partage d’une seed phrase ou de transmission d’un code de vérification. Il en va de même pour les promesses de rendement garanti, d’argent rapide sans risque, de crypto gratuite ou d’opportunité d’investissement exclusive.

Dans Web3, faites aussi très attention au type de demande affiché par votre wallet crypto. Connecter un wallet, signer un message, envoyer de la crypto et accorder un token approval sont des actions différentes. Un approval peut par exemple donner à un Smart Contract l’autorisation de déplacer certains tokens depuis votre wallet.

Vérifiez toujours une réclamation en dehors du message reçu. N’ouvrez donc pas simplement le lien joint, mais rendez-vous vous-même sur l’application ou le site officiel.

Quels signaux indiquent un message suspect ?

Un message suspect présente souvent un ou plusieurs des signaux suivants :

• Vous êtes contacté de manière inattendue avec une demande d’argent, de crypto, de données, d’identifiants ou de transaction.
• Une pression est exercée avec des phrases comme : « Votre compte va être fermé maintenant » ou « Agissez dans les dix minutes ».
• On vous demande d’envoyer de la crypto vers un prétendu wallet sécurisé.
• On vous demande de scanner un QR code pour payer ou sécuriser votre compte.
• Le lien ou le nom de domaine diffère subtilement de l’orthographe officielle.
• On vous demande d’installer un logiciel, d’ouvrir une pièce jointe ou d’exécuter du code.
• Votre wallet crypto affiche une adresse de contrat inconnue, une demande de signature peu claire ou une allowance exceptionnellement élevée ou illimitée.
• Une réclamation d’airdrop gratuit surgit de nulle part.

Les fautes d’orthographe ou de grammaire peuvent être un indice, mais ce n’est pas un test fiable. De nombreux attaquants utilisent désormais des textes convaincants et des sites au rendu professionnel.

Comment vérifier l’identité d’un contact ?

Vérifiez l’identité via un canal que vous avez vous-même recherché, jamais via un lien, un QR code ou un numéro de téléphone figurant dans le message suspect.

Vous pouvez procéder étape par étape :

1. Cessez de répondre. Ne cliquez pas plus loin et ne transmettez aucun code ni aucune donnée. Vous évitez ainsi de confirmer quelque chose sous pression.

2. Recherchez vous-même le canal officiel. Ouvrez l’application que vous utilisez déjà ou saisissez vous-même l’adresse web officielle. Contactez ensuite le support via le canal officiel.

3. Vérifiez le nom de domaine complet. La présence d’une marque connue dans un message ne prouve rien. Regardez l’adresse web dans son ensemble, car les attaquants utilisent souvent des domaines très proches de l’adresse réelle.

4. Rappelez vous-même une personne connue. Vous recevez une demande urgente d’un ami ou d’un collègue ? Rappelez vous-même un numéro enregistré que vous connaissiez déjà, au lieu de répondre uniquement dans la même conversation.

5. Ne partagez jamais d’informations secrètes comme moyen de vérification. Un véritable agent du support n’a pas besoin de votre seed phrase, de votre private key ou de votre mot de passe pour vérifier votre identité. Soyez également très prudent avec les codes de vérification.

Un badge vérifié sur les réseaux sociaux ou une alerte de sécurité dans un wallet crypto peut être utile, mais ce n’est pas une garantie qu’une personne ou qu’un élément est sûr.

Comment vous protéger contre le social engineering dans la crypto ?

La meilleure protection consiste à vérifier, pour chaque demande inattendue, qui vous contacte et ce qu’on vous demande exactement de faire. Faites-en une habitude avant d’envoyer de la crypto, de connecter un wallet, de signer quelque chose ou de confirmer un token approval.

Accédez aux plateformes d’échange crypto, aux wallets crypto et aux dApps via une adresse officielle que vous avez enregistrée ou vérifiée vous-même. N’utilisez pas simplement des publicités, des DM ou des liens inattendus comme point d’entrée.

Pour chaque transaction, vérifiez le réseau, l’adresse de réception, le montant et le type d’action que vous effectuez. Lors d’un token approval, regardez aussi quelle partie reçoit l’autorisation et combien de tokens elle peut utiliser. Limitez les allowances lorsque c’est possible et vérifiez régulièrement les anciennes approvals. Le simple fait de déconnecter une dApp ne révoque pas automatiquement une approval existante.

Utilisez également des mots de passe uniques et solides pour vos comptes, et protégez surtout l’adresse e-mail liée à votre compte de plateforme d’échange. Activez, lorsque c’est possible, l’authentification multifacteur pour l’e-mail, les comptes de plateforme d’échange et les autres comptes importants.

La MFA rend la prise de contrôle d’un compte plus difficile lorsqu’un mot de passe est volé. Une passkey ou une clé de sécurité FIDO est, lorsqu’elle est disponible, plus résistante au phishing qu’un code de vérification saisi manuellement. Mais même une forte sécurité de compte n’empêche pas de partager soi-même une seed phrase ou de signer une transaction blockchain nuisible.

Pourquoi faut-il garder les seed phrases et les private keys secrètes ?

Vous devez garder votre seed phrase et votre private key secrètes, car elles peuvent donner accès à la crypto de votre wallet. Une seed phrase se compose souvent de 12 à 24 mots et peut servir à restaurer l’accès à un wallet. Avec ces mots ou avec votre private key, quelqu’un peut gérer votre wallet et envoyer de la crypto.

En temps normal, vous n’avez besoin de votre seed phrase que pour créer ou restaurer votre propre wallet. Pas parce qu’un agent du support vous la demande, pas pour un giveaway et pas non plus pour « valider » un wallet.

Ne partagez donc jamais ces données par chat, e-mail, capture d’écran, note cloud ou formulaire en ligne. Conservez-les hors ligne et dans un endroit auquel d’autres personnes n’ont pas accès.

Un Portefeuille matériel conserve vos private keys hors ligne et exige généralement une confirmation physique avant l’exécution d’une transaction. Cela offre une protection supplémentaire contre certaines formes de malware et de prise de contrôle de compte. Toutefois, un portefeuille matériel ne peut pas empêcher que vous approuviez vous-même une transaction nuisible.

Comment utiliser la vérification des transactions et l’authentification multifacteur ?

Utilisez la vérification des transactions en lisant chaque demande de wallet avant d’appuyer sur confirmer. Vérifiez le réseau, l’adresse de réception, le montant et surtout le type d’action que vous effectuez : connexion, signature, envoi ou token approval.

Avec un token approval, vous donnez à une dApp ou à un Smart Contract l’autorisation de déplacer un certain token jusqu’à une certaine limite au nom de votre wallet. Une allowance illimitée peut aggraver les dommages si vous avez accordé cette autorisation à une partie nuisible ou compromise. Choisissez donc, lorsque c’est possible, une limite adaptée à ce que vous voulez réellement faire.

Les alertes de wallet et la simulation de transaction peuvent signaler des domaines, des adresses ou des données de transaction suspects. Considérez-les comme une couche de contrôle supplémentaire. Une transaction techniquement valide peut malgré tout être nuisible si elle ne correspond pas à ce que vous vouliez faire.

Activez la MFA pour votre e-mail et votre compte de plateforme d’échange crypto. L’authentification à deux facteurs, ou 2FA, est une forme de MFA qui utilise deux facteurs d’authentification différents. Une étape de vérification supplémentaire aide à se protéger contre la prise de contrôle de compte, mais les codes à usage unique saisis manuellement peuvent encore être interceptés par phishing. Choisissez donc, lorsque c’est possible, une méthode résistante au phishing comme une passkey ou une clé de sécurité FIDO.

Que faire après une attaque de social engineering ?

Cessez immédiatement de répondre à l’attaquant et agissez dès que possible via des canaux sûrs que vous avez vous-même vérifiés. N’utilisez pas les liens, numéros de téléphone ou offres de récupération contenus dans les messages de l’attaquant.

Procédez étape par étape :

1. Coupez le contact : ne répondez plus, ne cliquez sur rien et ne fournissez aucune information supplémentaire.

2. Sécurisez vos comptes : modifiez les mots de passe compromis, sécurisez votre compte e-mail et remplacez ou renforcez votre MFA si nécessaire.

3. Contactez la partie concernée : adressez-vous à la plateforme d’échange crypto, au fournisseur de wallet ou à tout autre fournisseur de compte via un canal officiel que vous avez vous-même recherché.

4. Vérifiez les token approvals : avez-vous confirmé une demande de wallet suspecte ? Vérifiez alors si vous pouvez révoquer les allowances existantes. Déconnecter une dApp ne suffit pas à supprimer un token approval existant.

5. Conservez les preuves : faites des captures d’écran et notez les messages, domaines, numéros de téléphone, profils, adresses de wallet, montants, date, heure et transaction hashes.

6. Signalez la fraude et déposez plainte : les adresses de wallet et les données de transaction peuvent constituer des preuves importantes, même si le vol a déjà eu lieu.

Ensuite, redoublez de vigilance face aux recovery scams. Une personne qui promet de récupérer votre crypto perdue et demande un paiement à l’avance peut chercher à vous exploiter à nouveau. La révocation d’une approval peut limiter un usage futur de cette autorisation, mais elle ne revient pas sur une transaction blockchain déjà exécutée.

En résumé

Le social engineering dans la crypto repose au fond sur une seule chose : quelqu’un essaie de vous amener à effectuer une action que vous ne feriez normalement pas. Il peut s’agir de partager une seed phrase, d’envoyer de la crypto, de transmettre un code ou de confirmer une demande de wallet que vous ne comprenez pas bien.

La meilleure défense n’est pas seulement technique, elle consiste aussi à vérifier avant d’agir. Contrôlez les contacts via un canal indépendant, utilisez une sécurité de compte solide et lisez chaque demande de transaction avant de confirmer.

En particulier pour les seed phrases, les private keys et les token approvals, une règle s’impose : si vous ne comprenez pas quel accès ou quelle autorisation vous accordez, ne confirmez pas la demande.