Depuis quelques semaines, avec l’augmentation spectaculaire du cours de l’ether et la frénésie des ICO ou token sales, les tentatives d’arnaques diverses et variées se multiplient. Attention à vos biens, fussent-ils immatériels ! Recommandations diverses et exemples à éviter.

1. Sites frauduleux / phishing

Les tentatives de phishing sont très nombreuses depuis quelques semaines. De très nombreuses arnaques visent à vous alarmer sur un événement qui serait intervenu sur la blockchain Ethereum afin de vous conduire sur un faux site internet, copie conforme d’un site de confiance comme MyEtherWallet. Les moyens de vous solliciter sont nombreux : liens sponsorisés sur Google, messages privés dans des slacks publics dédiés à la crypto, sur reddit, dans vos emails, etc.

Exemples de messages reçus de façon non-sollicitée :

En règle de bonne pratique, ne visiter jamais un site comme MyEtherWallet en cliquant sur un lien, surtout reçu de façon non-sollicitée. Si une source non-vérifiée vous informe d’un hack, soyez méfiants, vérifiez avec plusieurs sources que c’est exact. Le subreddit /r/Ethereum est probablement la meilleure source « grand public » pour suivre l’actualité d’Ethereum : si rien n’y est indiqué, rien ne s’est passé.

Et vérifiez toujours que vous êtes sur le bon site internet et pas sur une copie avant d’envoyer votre clé privée ou d’entrer votre mot de passe.

Quelques exemples de sites vous subtilisant vos ethers :

• myetherwallt . com
• myetherwallet .com.co
• myetherwallet .ca
• myetherswallet .com
• myetherwallet . info
• myetc wallet . com
• etherclassicwallet .com
• myetherwalet . com
• myetherwailet .com
• etc.

2. Adresses Ethereum – arnaques et erreurs

Récemment, le site d’une ICO (CoinDash.io) a été piraté au moment où la vente de tokens commençait et l’adresse de collecte de fonds a été modifiée par le pirate, conduisant plus de 2000 personnes à envoyer des ethers au dit pirate…

Vérifiez donc toujours, avec plusieurs sources si possible, que l’adresse sur laquelle vous envoyez des ethers bonne, surtout si le montant est important.

Pour les ICO, soyez présent sur le slack officiel du projet au moment du lancement, suivez ses membres sur twitter; et vérifiez que tout se passe bien avant d’envoyer de l’argent. Il vaut mieux rater une vente de tokens que perdre ses ethers ! Un indice : l’adresse d’un pirate sera probablement une adresse classique et non un smart-contract d’émission de tokens.

De façon générale, la manipulation d’adresses est encore complexe sur Ethereum. Par conséquent, lorsque vous utilisez votre adresse pour envoyez des ethers ou autres tokens Ethereum, suivez ces recommandations (liste inspirée par un post de la créatrice de MyEtherWallet sur reddit) :

1. N’écrivez jamais votre adresse à la main.
2. Utilisez la version de l’adresse qui contient des caractères majuscules et minuscules (0x7Ef2Ebc7…. plutôt que 0x7ef2ebc7….).
3. N’écrivez jamais à la main votre clé privée. Vérifiez trois ou quatre fois les mots de votre clé mnéminique si vous les écrivez à la main (par exemple les mots permettant de sauvegarder la clé de votre hardware wallet).
4. Toujours envoyer d’abord une petite quantité d’ETH ou de tokens à une adresse et s’assurer que tout se passe bien et qu’il arrive à l’adresse que vous souhaitiez, avant d’envoyer le reste.
5. Lorsque vous utilisez un service, un adresse pour la première fois, faites des tests de réception et d’envoi avec de très petites quantités d’ether. Vérifiez que tout va bien et que vous avez bien accès à la nouvelle adresse, y compris pour renvoyer les ethers, avant de gérer de grosses quantités d’argent
   
6. Sauvegardez vos clés privées dans un endroit sûr avant d’envoyer des ethers / tokens dessus.
7. N’envoyez jamais votre clé privée par email.
8. Ne postez jamais votre clé privée sur Reddit, Twitter, Slack ou tout autre moyen de communication non sécurisé.
9. Ne sauvegardez pas votre clé privée sur Dropbox ou un autre service de sauvegarde dans le cloud.
10. Faites des doubles ou triples vérifications. Vérifiez et revérifiez ce que vous envoyez, combien et à quelle adresse.

3. ICO frauduleuses

Du fait de l’explosion du nombre d’ICO, un nombre très conséquent d’arnaque est constatée par les experts du domaine depuis quelques mois. Or, même si les projets financés par ICO sont généralement expérimentaux et qu’aucune garantie ne peut être apportée sur leur réussite à long terme, certaines token sale sont clairement des arnaques ou font naître un doute important sur l’avenir du projet.

Sans citer de noms de projets, voici une série d’indices qui doivent vous avertir :

• Le projet, ses étapes de développement, son intérêt, ne sont pas clairement définis, le whitepaper est rachitique voire carrément inexistant (!) ;
• Le whitepaper est focalisé sur le token et sa vente et pas sur le projet lui-même ;
• Le rôle du token vendu dans le projet développé n’est pas clair, il aurait été possible de créer exactement le même projet sans token ;
• La vente est annoncée très peu de temps avant l’événement, l’adresse du contrat de collecte est dévoilée le jour même ;
• Il y a une campagne de publicité agressive sur des canaux très (trop) larges (reddit, facebook, sites commerciaux…), sans vraie communication construite en dehors de ces canaux.
• Le projet sort de nulle part, n’a jamais été soumis à une communauté blockchain (bitcointalk, /r/ethereum, cryptofr) ;
• Le projet vous promets un rendement sur le token, promettant même parfois des gains précis (!!).
• Le projet a été déjà repéré comme un scam potentiel par la communauté (exemple).

Pour aller plus loin

Si vous avez un doute, demandez de l’aide sur le forum ou le slack de CryptoFR, la communauté est toujours prête à vous aider à identifier une potentielle arnaque.

Deux vidéos informatives ont d’ailleurs été réalisées par des membres de la communauté CryptoFR à l’occasion des 3 ans de la communauté, je vous recommande chaudement leur vision.

Bref, faites attention !