Les escrocs s’intéressent à MetaMask : comment vous protéger ?

Les arnaques aux cryptomonnaies existent depuis longtemps. Dans l’espoir de s’emparer de l’argent d’autres comptes, les cybercriminels essaient de séduire les victimes en leur proposant des virements gratuits, des dons de Bitcoin, des identifiants d’autres personnes ou du matériel de minage très convoité. Aujourd’hui, nous analysons un autre type d’escroquerie, et cette fois les cybercriminels s’en prennent aux propriétaires d’un portefeuille de cryptomonnaie MetaMask.

Qu’est-ce que MetaMask ?

MetaMask est un portefeuille Ethereum qui permet de gérer tous les types de jetons qui fonctionnent sur cette blockchain (qu’ils soient normaux ou non fongibles, c’est-à-dire les NFT). Le portefeuille fonctionne comme une extension des navigateurs de bureau Google Chrome, Firefox, Microsoft Edge et Brave, mais il y a aussi des applications pour iOS et Android. MetaMask peut être utilisé pour faire des achats ou créer et monétiser le contenu d’un réseau décentralisé.

Comme n’importe quel autre portefeuille similaire, l’accès est protégé par un mot de passe choisi par l’utilisateur lors de l’inscription, une clé privée de 64 caractères alphanumériques générée par l’application et une phrase secrète de 12 ou, plus rarement, 24 mots.

Même si la plupart des propriétaires d’un portefeuille de cryptomonnaie comprennent que le mot de passe et la clé privée sont confidentiels, certains, surtout les débutants, négligent l’importance de la phrase secrète. N’oubliez pas que cette phrase secrète est une représentation verbale de votre clé privée puisqu’elle permet de restaurer l’accès au compte. En d’autres termes, si quelqu’un connaît votre phrase secrète, cette personne peut se connecter à votre compte et vous dérober votre cryptomonnaie. D’où l’intérêt particulier des escrocs.

Un e-mail qui menace de bloquer votre compte

L’arnaque commence par un e-mail de masse qui se sert d’une des astuces psychologiques préférées des cybercriminels : l’intimidation. Les victimes craignent de voir leur compte MetaMask bloqué si elles ne le vérifient pas immédiatement.

Pour que le message soit plus convaincant, les cybercriminels ajoutent le nom et le logo de l’entreprise, et indiquent que le message a été envoyé par le service d’assistance. Ce n’est qu’en étudiant de plus près l’adresse e-mail que la victime peut avoir des doutes.

Les escrocs demandent à la victime de vérifier son compte

Le premier indice se trouve dans l’adresse e-mail puisqu’il y a une faute de frappe (metamasks au lieu de metamask). Le domaine, autrement dit la partie de l’adresse après @, est un autre signal d’alerte. Les entreprises respectables utilisent généralement leur nom comme domaine : account-security-noreply@microsoft.com. Pourtant, dans ce cas, le domaine n’a aucun lien avec MetaMask. Enfin, .de indique que l’adresse est enregistrée en Allemagne, ce qui est étrange puisque MetaMask est une entreprise américaine.

Pour vérifier le compte, les escrocs invitent la victime à cliquer sur lien reçu par e-mail. Cette demande n’inspire pas vraiment confiance : le domaine incorrect avec des mots en plus et les noms de marques étrangères indiquent clairement que ce message n’est pas fiable.

On vous demande de saisir votre phrase secrète

Si la victime ne remarque pas ces erreurs et clique sur le lien, elle est redirigée vers une fausse page de connexion qui ressemble au site officiel de MetaMask.

La victime doit saisir la phrase secrète de son portefeuille

Les escrocs demandent à la victime d’écrire sa phrase secrète dans le formulaire, soi-disant pour déverrouiller le portefeuille. Si l’utilisateur mord à l’hameçon et saisit sa phrase secrète, il est redirigé vers le vrai site de MetaMask mais son portefeuille appartient désormais aux cybercriminels.

Comment protéger votre portefeuille

Les cybercriminels ne cessent d’inventer de nouvelles techniques, toujours plus sophistiquées, pour leurrer les investisseurs en cryptomonnaie. Pourtant, la plupart des arnaques ont des points communs qui permettent de les détecter. Pour vous protéger contre les intrus, il vous suffit de suivre quelques règles de sécurité assez simples :

• Méfiez-vous des e-mails et des messages qui vous demandent d’effectuer un paiement, vous menacent de bloquer votre compte ou, au contraire, vous proposent de devenir riche rapidement.
• Analysez l’adresse de l’expéditeur. Si le nom de l’entreprise est mal écrit ou que le domaine est un ensemble de caractères sans aucun sens, il s’agit certainement d’une arnaque.
• Protégez les données et les identifiants que vous utilisez pour vous connecter à votre compte ou à votre argent. Effectuez des recherches pour savoir comment fonctionne le système de sécurité de votre portefeuille de cryptomonnaie, quelles informations le service d’assistance pourrait vous demander et quels renseignements vous ne devez pas partager.
• Installez une solution de sécurité qui vous protège contre la fraude en ligne et l’hameçonnage pour que votre argent soit à l’abri des arnaques.