Arnaques crypto : comment les reconnaître, guide pratique pour particuliers et PME

Les arnaques liées aux cryptomonnaies fonctionnent presque toujours de la même manière : elles exploitent la précipitation, la confiance ou l'ignorance d'un mécanisme technique. Les transactions ne pouvant pas être annulées, prévenir est bien plus efficace que réparer. Ce guide résume les mécanismes les plus courants, décrits dans la documentation de Bitcoin et d'Ethereum, et les règles pratiques pour particuliers et petites entreprises.

Trois principes qui couvrent presque tout

Bitcoin.org en indique trois. Premier : les transactions sont irréversibles, on vérifie avant d'envoyer. Deuxième : on contrôle l'adresse de destination en entier et pas seulement les premiers ou derniers caractères. Troisième : aucune personne, entreprise ou équipe d'assistance légitime ne demandera jamais la phrase de récupération ou la clé privée. La documentation d'Ethereum confirme le même point : celui qui se fait passer pour un agent capable de récupérer des fonds en échange des clés privées exploite le fait que beaucoup ignorent que le réseau n'a aucune fonction de ce genre.

Les mécanismes les plus courants

Parmi les types d'arnaque listés par Bitcoin.org, les plus pertinents pour un débutant sont les suivants :

• Faux support et faux recouvrement : quelqu'un se présente comme l'assistance d'un wallet ou d'une plateforme, souvent après une question publique, et demande la phrase de récupération ou un accès à distance. Une variante vise les personnes déjà escroquées et promet de récupérer les fonds contre un paiement d'avance ; selon la source, aucune entreprise légitime ne garantit le recouvrement.
• Phishing et faux sites : courriels et liens menant à des répliques de sites pour voler des identifiants ou faire installer des logiciels malveillants. Ils peuvent aussi apparaître comme résultats sponsorisés dans les moteurs de recherche ou comme fausses applications dans les boutiques d'applications.
• Adresses factices (address poisoning) : l'auteur envoie de petites transactions depuis des adresses ressemblant à celles que l'on utilise d'habitude, en espérant que la victime copie la mauvaise adresse depuis l'historique. On contrôle l'adresse en entier et l'on utilise un carnet d'adresses enregistré.
• Arnaques à l'investissement : une relation construite sur des semaines ou des mois, souvent via les réseaux sociaux ou des applications de rencontre, qui mène à une fausse plateforme. Les premiers petits retraits fonctionnent, puis viennent des demandes de frais ou d'impôts qui ne finissent jamais. Bitcoin.org désigne cette catégorie comme la plus importante parmi les pertes signalées aux forces de l'ordre.
• Hardware wallets contrefaits : appareils vendus sur des places de marché tierces, parfois avec une phrase de récupération déjà connue de l'auteur. On n'achète qu'auprès du fabricant ou d'un revendeur autorisé, on contrôle l'emballage et l'on génère soi-même la phrase de récupération.
• Cadeaux et fausses identités : promesses de cadeaux ou fausses identités, y compris générées par intelligence artificielle, pour pousser à envoyer des fonds.

Ce que disent les autorités

L'ESMA, dans sa réponse du 30 septembre 2026 à la révision de MiCA, observe que la fraude en ligne est transfrontalière, car des domaines frauduleux peuvent être enregistrés et promus hors des juridictions des victimes, et propose des pouvoirs explicites pour que les autorités nationales ordonnent la suppression de sites frauduleux ou non autorisés. Elle demande aussi des règles pour les influenceurs et tiers qui promeuvent des cryptoactifs et davantage de transparence sur les coûts. En Suisse, la FINMA publie une liste d'avertissement de sociétés et de personnes soupçonnées d'exercer une activité non autorisée sur le marché financier ; l'inscription sur la liste ne signifie pas nécessairement que l'activité est illicite, et l'absence d'un nom ne vaut pas autorisation (cette précision est de nous). Pour vérifier un prestataire, on peut aussi consulter la liste des entreprises autorisées.

Le cas de la fausse application Ledger Live

CoinDesk rappelle une campagne de phishing d'avril avec une fausse application Ledger Live dans une boutique d'applications, qui aurait soutiré au moins 9,5 millions de dollars à des utilisateurs ayant saisi leur phrase de récupération. Elle montre que même une application trouvée dans une boutique officielle doit être vérifiée, et qu'aucune application légitime ne demande la phrase de récupération.

Règles pour les petites entreprises

Celui qui gère des actifs numériques pour l'entreprise peut appliquer quelques règles de bon sens, d'usage courant et non tirées d'une source précise :

• séparer celui qui prépare un paiement de celui qui l'approuve ;
• vérifier les adresses de destination par un second canal ;
• limiter les fonds dans les wallets utilisés chaque jour ;
• former les personnes qui travaillent avec les courriels et réseaux sociaux de l'entreprise à reconnaître le phishing ;
• documenter à qui s'adresser en cas d'incident.

Si l'on est touché

Les transactions ne s'annulent pas et aucun service sérieux ne garantit le recouvrement. Le Centre national pour la cybersécurité (NCSC) est le point de contact de la Confédération pour les entreprises et la population sur les questions de cybersécurité, et la FINMA recueille des signalements sur le marché financier. Il convient aussi de conserver preuves, adresses et messages et d'envisager un dépôt de plainte auprès de la police (indication générale).

Sources

• Bitcoin.org, Avoid scams : https://bitcoin.org/en/scams
• ethereum.org, Ethereum security and scam prevention : https://ethereum.org/en/security/
• FINMA, Warnings : https://www.finma.ch/en/finma-public/warnungen/
• NCSC, Centre national pour la cybersécurité : https://www.ncsc.admin.ch/ncsc/en/home.html
• ESMA, réponse à la consultation sur la révision de MiCA, 30.09.2026 : https://www.esma.europa.eu/sites/default/files/2026-09/ESMA75-113276571-1721_Response_to_the_EC_consultation_MiCA_regulation_review.pdf
• CoinDesk, Ledger claims CryptoBilis cases are limited as up to $93 million is traced, $10 million frozen, 12.10.2026 : https://www.coindesk.com/tech/2026/10/12/ledger-claims-cryptobilis-cases-are-limited-as-up-to-usd93m-is-traced-usd10m-frozen

Information, pas un conseil.