Comment repérer un faux explorateur de blocs

Pourquoi les faux explorateurs fonctionnent du tout

Un explorateur est juste un site web qui affiche des données. Rien sur la page ne prouve d’où viennent ces données.

Un vrai explorateur lit une blockchain. Un faux lit une base de données que son opérateur contrôle, et peut donc montrer une transaction qui n’a jamais eu lieu, un montant jamais envoyé, un nombre de confirmations inventé, et un solde d’adresse choisi pour être convaincant.

En construire un n’est pas difficile. Cloner le design visuel d’un explorateur connu, enregistrer un domaine qui semble à peu près correct, et servir des pages depuis sa propre base de données. Un après-midi de travail produit quelque chose qui convaincra la plupart des gens, car la plupart des gens n’ont aucune raison de se méfier d’une page qui ressemble exactement à celle qu’ils ont déjà utilisée.

Cela mérite un guide plutôt qu’une simple note de bas de page car cette technique est un composant standard de plusieurs fraudes courantes, et les victimes sont souvent des personnes prudentes qui ignoraient simplement que cette catégorie existait.

Les trois schémas que vous rencontrerez réellement

Preuve d’un paiement jamais effectué. Quelqu’un qui vous achète quelque chose prétend avoir payé et envoie un lien « vers la transaction ». La page montre un transfert confirmé vers votre adresse. Vous expédiez les biens. La transaction n’existe sur aucun véritable explorateur. C’est la version la plus courante et elle fonctionne sur les places de marché, les échanges de pair à pair et les ventes privées.

Faux solde pour soutenir une histoire. Un schéma d’investissement vous montre un tableau de bord, et un lien pour « vérifier sur la blockchain » qui affiche votre solde en croissance. L’explorateur est le leur. Le solde est un chiffre dans leur base de données. Ce schéma maintient les gens investis bien après le moment où une vraie vérification aurait mis fin à tout cela.

Récolte de phrases de récupération. Une page se présentant comme un explorateur propose de « valider », « synchroniser », « déverrouiller » ou « récupérer » votre portefeuille, et demande votre phrase de récupération ou une connexion de portefeuille. C’est du vol pur et simple. Un vrai explorateur lit des données publiques et n’a besoin de rien de votre part — il n’existe aucune fonction qu’il pourrait offrir nécessitant une clé privée.

Lié, et à connaître : la même technique est utilisée contre des sociétés financières réglementées, pas seulement des explorateurs. Les régulateurs financiers publient des alertes de « sociétés clonées » précisément parce que des imposteurs copient le nom, l’image de marque et le numéro d’enregistrement d’une véritable société sur un domaine imitateur. Si un site vous demande d’agir avec de l’argent, la vérification est la même que celle décrite ici — confirmez le domaine indépendamment plutôt que via un lien qu’on vous a envoyé.

Les signes précis

Vous êtes arrivé par un lien que quelqu’un vous a envoyé. C’est le signal le plus fort, et il vaut plus que toutes les vérifications techniques combinées. Si le lien vient de la personne qui profite de votre croyance en la page, traitez la page comme de la fiction jusqu’à preuve du contraire.

Le domaine est presque correct. Regardez attentivement l’orthographe et le suffixe. Les vrais explorateurs incluent blockchain.com, blockchair.com, mempool.space, blockstream.info, etherscan.io, tronscan.org. Un faux ressemblera à blockchain-explorer.info ou etherscan.io.com — plausible au premier regard et faux.

Rien d’autre sur le site ne fonctionne. Les vrais explorateurs ont des blocs, des statistiques, des graphiques, une documentation d’API et des années d’historique. Un faux ne fait généralement qu’une seule page en profondeur. Cliquez sur quelque chose de sans rapport avec la transaction qu’on vous a envoyée et voyez si quoi que ce soit de réel se produit.

La transaction n’est sur aucun autre explorateur. C’est la vérification décisive et elle est détaillée ci-dessous.

Quelque chose demande une clé. Disqualification instantanée et inconditionnelle. Fermez l’onglet.

La vérification qui tranche

Prenez le hash de transaction — juste le hash, pas le lien — et recherchez-le sur un explorateur vers lequel vous avez navigué vous-même en tapant l’adresse, depuis un favori, ou depuis notre annuaire.

Ne cliquez sur aucun lien qu’on vous a donné. Ne recherchez pas le nom de l’explorateur et cliquez sur le premier résultat, car des résultats de recherche payants pour des noms d’explorateurs ont servi à diffuser des clones. Tapez l’adresse ou utilisez un favori.

Si la transaction existe sur un vrai explorateur avec les montants et adresses revendiqués, elle est réelle. Si elle n’existe pas, ou existe avec des détails différents, vous avez votre réponse.

Pour tout enjeu significatif, vérifiez deux explorateurs indépendants. Si mempool.space et Blockchair montrent tous deux la même transaction, elle a eu lieu — ils sont exploités séparément avec des index maintenus séparément, et fabriquer un accord entre les deux n’est pas quelque chose qu’un fraudeur peut faire.

Notre outil de recherche interroge directement des API de nœuds publics, ce qui signifie qu’il lit la chaîne plutôt qu’une base de données que quelqu’un contrôle. C’est une seconde source raisonnable exactement pour cet usage.

Les captures d’écran ne prouvent absolument rien

Cela mérite sa propre section car les gens continuent de les accepter.

Une capture d’écran d’une transaction est une image. En produire une convaincante nécessite d’ouvrir un vrai explorateur, de modifier la page dans les outils de développement du navigateur — ce qui prend environ trente secondes et aucune compétence technique — et de prendre une capture. Le résultat est indiscernable d’une authentique.

La même chose s’applique à un enregistrement d’écran, seulement légèrement plus difficile. Et à un PDF, et à un e-mail transféré.

La seule chose qui constitue une preuve est un hash de transaction que vous avez recherché vous-même sur un explorateur que vous avez choisi. Tout le reste, c’est quelqu’un qui vous raconte une histoire avec des images.

Si vous transigez avec un inconnu, demandez le hash plutôt qu’une capture d’écran, et dites pourquoi. Toute personne authentique le fournira immédiatement, car cela ne lui coûte rien. Une réticence à fournir un identifiant de transaction est elle-même informative.

La variante voisine : les faux tokens

Une astuce liée utilise un vrai explorateur et repose sur une mauvaise lecture de votre part, ce qui est à certains égards plus difficile à contrer.

Les noms et symboles de token sont des chaînes de caractères arbitraires choisies par celui qui déploie le contrat. Ils ne sont pas uniques et personne ne les contrôle. N’importe qui peut déployer un token appelé USDT, ou USDC, ou le nom de n’importe quel projet, et il s’affichera avec ce nom sur chaque explorateur — car l’explorateur montre fidèlement ce que dit le contrat.

Une transaction montrant un gros paiement en USDT peut donc impliquer un contrat qui n’a rien à voir avec Tether. L’explorateur ne ment pas ; vous lisez le mauvais champ.

La défense est une habitude plutôt qu’une vérification : vérifiez les tokens par leur adresse de contrat, contre l’adresse publiée par le projet lui-même, à chaque fois. Cela s’applique sur Ethereum, BNB Chain, Tron et toute autre chaîne avec un standard de token.

Les chaînes exigeant une adhésion explicite pour détenir un actif — les trustlines du XRP Ledger, les trustlines de Stellar, l’association de token de Hedera — sont structurellement immunisées contre la moitié « token non sollicité » de ce problème, un véritable avantage de conception rarement mentionné.

La seconde arnaque qui cible les victimes de la première

Il existe une fraude ultérieure qui mérite d’être nommée explicitement, car elle cible des gens déjà en détresse et elle est extrêmement courante.

Après avoir perdu des fonds, les gens recherchent de l’aide. Ce qu’ils trouvent, ce sont des services proposant de récupérer les cryptomonnaies volées — souvent avec des sites d’apparence professionnelle, des témoignages, et des relations revendiquées avec les forces de l’ordre ou des sociétés d’analyse blockchain. Certains approchent directement les victimes, dans les commentaires des publications où elles ont décrit ce qui s’est passé.

Cela ne fonctionne pas, et la raison est structurelle plutôt qu’une question de compétence. Une transaction blockchain confirmée ne peut être inversée par personne. Ni par l’explorateur, ni par le réseau, ni par un service de récupération, ni par une décision de justice contre une partie qui ne détient pas les fonds. Les seules entités qui peuvent déplacer les fonds sont celles qui détiennent les clés.

Ce que font réellement les services de récupération, c’est prendre des frais, parfois plusieurs, en escaladant à mesure qu’ils rapportent des progrès qui n’existent pas. Dans certains cas, ils sont exploités par les mêmes personnes qui ont mené la fraude d’origine, travaillant à partir d’une liste de victimes connues.

L’exception étroite est quand les fonds ont atteint une plateforme d’échange réglementée qui détient des documents d’identité du destinataire. Dans ce cas, les forces de l’ordre, en passant par la plateforme, peuvent parfois agir. Cette voie passe par la police et la plateforme, pas par une société privée facturant des frais d’avance — et une véritable société d’analyse travaille pour des institutions, pas pour des particuliers répondant à un message direct.

Signalez la fraude à la police ou au service national de signalement des fraudes où vous vivez, et à votre banque si de l’argent fiat a quitté un compte que vous contrôlez. Conservez les hashes de transaction et toute correspondance. Soyez ensuite extrêmement sceptique envers quiconque vous contacte ensuite pour proposer de l’aide, car beaucoup d’entre eux constituent la seconde moitié de la même opération.