Comment savoir si un site crypto est faux ?

Pourquoi le domaine exact est-il la première vérification ?

Le domaine est la seule partie d'une page qu'un attaquant ne peut pas copier. La mise en page, les logos et les formulations sont libres à copier, mais le nom dans la barre d'adresse appartient à celui qui l'a enregistré. Le guide Kerberus du 10 avril 2026 note que les escrocs enregistrent des sosies avec de petites substitutions de caractères, et que certains utilisent des lettres cyrilliques identiques aux lettres latines.

Lisez la partie qui précède immédiatement la première barre oblique simple. Dans https://examplecoin.com.claim-rewards.example/start, le site est claim-rewards.example, et examplecoin.com n'est qu'une étiquette placée devant lui. Le même procédé fonctionne avec un nom à trait d'union comme examplecoin-claim.com, qui est un domaine différent de examplecoin.com. Beaucoup de téléphones raccourcissent les adresses longues ; ouvrez l'adresse en entier avant de décider.

Un cadenas prouve-t-il qu'un site crypto est authentique ?

Non : un cadenas indique que la connexion est chiffrée, pas qui exploite le site. Le rapport de Blockaid du 19 mars 2026 sur les détournements de front-end de février 2026 indique que les attaquants ont émis de nouveaux certificats SSL pour chaque domaine compromis le jour de l'attaque, y compris des certificats Sectigo payants et des certificats gratuits Let's Encrypt et Google Trust Services, et que ces certificats maintenaient les sites en apparence sécurisée avec un cadenas.

Le même rapport décrit un cas où des utilisateurs étaient envoyés vers un hôte ressemblant pendant que des certificats génériques (wildcard) étaient émis pour le nom réel ; ainsi, même un domaine légitime détourné peut afficher un certificat valide. Le cadenas répond à une seule question, à savoir si un tiers peut lire le trafic. Il laisse ouverte celle qui vous importe, à savoir si le titulaire de cette adresse est le projet. La FAQ propre à Let's Encrypt, de son côté, demande aux utilisateurs de signaler à Google Safe Browsing et à Microsoft SmartScreen les sites qui abusent de ses certificats.

Qu'en est-il des lettres ressemblantes et du punycode ?

Les navigateurs masquent certains sosies en affichant xn-- à la place des lettres, mais une adresse tapée reste la défense fiable. La documentation Chromium explique que Chrome vérifie chaque étiquette d'un nom d'hôte et affiche le punycode lorsqu'une vérification échoue : scripts mélangés comme latin avec cyrillique ou grec, caractères confondables, sosies à chiffres, et étiquettes dont le squelette correspond à un domaine de premier niveau connu. Le résultat ne dépend pas des paramètres de langue du navigateur, et Chrome affiche aussi un avertissement distinct plein écran pour certaines navigations ressemblantes.

Ces protections ont des limites : un autre navigateur peut appliquer d'autres règles, et un attaquant peut utiliser des lettres ordinaires, comme rn pour m. Le mécanisme, avec des exemples, est expliqué dans ce qu'est une attaque par homographe IDN, et les grandes formes de noms ressemblants sont dans quels types de domaines ressemblants les hameçonneurs enregistrent.

Où obtenir les liens officiels d'un projet ?

Depuis les canaux vérifiés du projet, recoupés à deux endroits. Kerberus indique que le premier signal d'alerte est l'absence d'annonce sur les canaux vérifiés du projet, et conseille de mettre le site officiel en favori et de s'y rendre directement plutôt que de suivre des liens. Appliquez-le dans cet ordre :

1. Ouvrez le site du projet depuis votre favori.
2. Lisez le lien de réclamation ou de mint là, et non dans un message qui vous a été envoyé.
3. Vérifiez que le compte social vérifié pointe vers la même adresse.
4. Ignorez les messages privés proposant des tokens, un support ou un accès anticipé.
5. Rejetez toute page qui demande une phrase de récupération ou un paiement pour recevoir des tokens : Kerberus note que les airdrops réels sont gratuits.

Si vous soupçonnez un site, ne connectez pas de portefeuille. Signalez-le en suivant les étapes de comment signaler un domaine d'hameçonnage.

Pourquoi cela compte-t-il maintenant ?

Les escroqueries par usurpation ont fortement augmenté dans les dernières données de Chainalysis. Chainalysis, dans son rapport du 13 janvier 2026, indique que les escroqueries par usurpation ont progressé de plus de 1,400% par rapport à 2024, que le montant moyen versé à ces groupes a augmenté de plus de 600%, et que le paiement moyen par escroquerie est passé de $782 à $2,764. Le rapport d'Interisle du 9 septembre 2025 a établi que 77% des domaines d'hameçonnage avaient été enregistrés malicieusement, et que plus de 1.5 million de noms de domaine ont servi à l'hameçonnage entre mai 2024 et avril 2025.

Ces chiffres décrivent une offre de faux sites que les utilisateurs ne peuvent pas inspecter un par un. Le projet doit aussi agir.

Que peut faire le projet pour que les utilisateurs n'aient pas à repérer les faux ?

Enregistrez les noms évidents, pointez-les vers le site officiel et publiez une seule liste de liens officiels. Un utilisateur qui tape mal examplecoin.co ou examplecoin.xyz atterrit alors sur le vrai site plutôt que sur la page d'un inconnu. Associez cela à une courte page « liens officiels » sur le site principal, que chaque canal vérifié répète, et aux contrôles décrits dans comment protéger un projet crypto contre les domaines d'hameçonnage.

Selon l'étude de Wardmint du 12 novembre 2026, l'ensemble de base de six extensions (.com, .net, .org, .io, .xyz, .app) coûte $128.94 par an, et les neuf extensions qu'utilisent les hameçonneurs coûtent $212.41 par an, avec le même prix au renouvellement. Wardmint n'enregistre que les variantes propres à un projet, pas des sosies d'une autre marque, et ne gère ni surveillance ni retraits ; les guides présentent les outils gratuits et les voies de signalement officielles.