Vérifier les canaux officiels : le contrôle à faire avant de cliquer

La vérité inconfortable à propos de la plupart des arnaques aux récompenses crypto, c’est que rien n’est piraté. Aucun chiffrement n’est cassé, aucun wallet n’est forcé, aucun exploit ingénieux n’est déployé. Quelqu’un vous amène simplement sur le mauvais site web, ou dans une conversation avec la mauvaise personne, et vous faites le reste vous-même en vous sentant parfaitement raisonnable.

C’est une bonne nouvelle, car cela signifie que la défense n’est pas technique non plus. C’est une habitude qui prend une vingtaine de secondes, exécutée dans le même ordre à chaque fois, avant de taper ou de cliquer sur quoi que ce soit d’important.

Lisez le domaine, caractère par caractère

La barre d’adresse est l’information la plus importante de toute page, et c’est celle que l’on regarde le moins. Un site copié peut être identique au pixel près. Le domaine, lui, ne peut pas être copié, seulement imité.

Alors lisez-le délibérément, lentement, un caractère à la fois. Cherchez :

• Des lettres interverties ou doublées que l’œil lisse d’un simple coup d’œil, en particulier dans les noms de marque longs.
• Des caractères sosies issus d’autres alphabets, ou des substitutions de chiffres à des lettres, qui s’affichent presque à l’identique dans de nombreuses polices.
• Des traits d’union insérés dans un nom qui n’en comporte normalement pas, ou retirés d’un nom qui en comporte.
• Une terminaison différente. La partie après le dernier point n’est pas décorative. Un nom familier sur une extension inhabituelle est un site différent, sans aucun lien avec l’original.
• Des mots supplémentaires accolés, comme un nom de marque suivi de « -rewards », « -claim », « -airdrop » ou « -support ».

L’astuce de la lecture de droite à gauche

Les navigateurs lisent les domaines de droite à gauche, et vous devriez faire de même. Repérez la terminaison, puis remontez jusqu’au véritable nom du site, immédiatement avant elle. Tout ce qui se trouve à gauche est un sous-domaine, et n’importe qui peut y mettre n’importe quels mots. Un nom de marque connu apparaissant tôt dans une longue adresse ne signifie absolument rien si le vrai nom enregistré, situé juste avant la terminaison, est un nom que vous n’avez jamais vu.

Cette seule habitude de lecture déjoue à elle seule une grande part des pages d’usurpation.

Arrivez depuis un point de départ auquel vous faites déjà confiance

Vérifier un domaine fonctionne d’autant mieux que vous savez déjà à quoi ressemble le bon. C’est pourquoi la manière dont vous arrivez compte autant que ce que vous lisez.

La route la plus sûre est celle que vous avez établie alors que rien ne se passait : un favori enregistré au calme, une application installée délibérément, ou un lien depuis une source de référence sur laquelle vous vous appuyez déjà. Constituez cet ensemble de favoris un jour ordinaire, pas au milieu d’une fenêtre de réclamation.

Considérez ces voies d’arrivée comme non vérifiées jusqu’à preuve du contraire :

• Les résultats de recherche et les placements payants. La première place n’est pas un gage d’authenticité, et les usurpateurs achètent de la visibilité.
• Les liens dans les messages, les e-mails ou les commentaires, y compris les réponses à des publications authentiques provenant de comptes authentiques.
• Les QR codes présents dans des images, des captures d’écran ou des lieux physiques, qui masquent entièrement la destination jusqu’à ce que vous y soyez déjà arrivé.
• Les liens raccourcis, qui font la même chose par conception.

Lorsque quelque chose vous parvient par l’une de ces voies, ne cliquez pas dessus. Notez le nom, puis rendez-vous sur le site de façon indépendante, par votre propre route de confiance, et cherchez-y la même annonce. Si une opportunité authentique existe, elle existera aussi sur la page officielle. Si elle n’existe que dans le message, vous avez votre réponse.

Notre radar recense les programmes que nous avons examinés et indique où se trouve leur présence réelle, ce qui vous donne un second point de référence indépendant.

Traitez toute aide non sollicitée comme hostile jusqu’à preuve du contraire

Voici un schéma à mémoriser, car il se vérifie remarquablement bien : une assistance légitime ne vous contacte jamais en premier.

Publiez publiquement un problème de wallet et vous recevrez peut-être plusieurs messages privés amicaux en quelques minutes. Ils emploieront la bonne terminologie, ils seront patients et polis, et ils vous orienteront vers une page, un formulaire, une étape de « validation » ou un « outil de synchronisation ». Certains seront un compte d’assistance dont le nom affiché correspond parfaitement au vrai, car les noms affichés sont gratuits et peuvent être n’importe quoi.

Ce qui suit est toujours une demande portant sur quelque chose dont aucun processus authentique n’a besoin : une phrase de récupération, une clé privée, un accès à distance à votre écran, un paiement d’avance pour débloquer un retrait, ou une signature sur une transaction dont l’objet n’est pas expliqué.

Adoptez une règle absolue et tenez-la sans exception : c’est vous qui contactez l’assistance, l’assistance ne vous contacte pas. Quiconque inverse ce sens vous a dit ce qu’il est. Vous ne lui devez ni politesse, ni explication, ni réponse.

Ne laissez jamais l’urgence penser à votre place

Chaque élément fabriqué d’une arnaque existe pour raccourcir l’écart entre voir et agir. Des comptes à rebours. Des allocations limitées. Une fenêtre de réclamation qui se ferme ce soir. Un avertissement indiquant que votre compte sera suspendu dans les heures qui viennent. Un wallet qui doit être vérifié immédiatement sous peine de perdre l’accès.

L’urgence n’est pas la preuve d’une opportunité. C’est le mécanisme. Une décision sous pression est une décision prise sans vérifier, et la vérification est la seule chose qui vous sépare de la perte.

Alors placez une règle entre le ressenti et l’action : lorsque vous remarquez de l’urgence, ralentissez au lieu d’accélérer. Éloignez-vous dix minutes. Les programmes de récompenses authentiques survivent sans dommage à une pause de dix minutes. Les frauduleux dépendent du fait que vous ne la preniez pas.

Si un délai devait réellement vous coûter quelque chose de concret, c’est précisément la situation que la pression a été conçue pour créer.

La vérification, dans l’ordre

Mise bout à bout, l’habitude complète est assez courte pour être appliquée à chaque fois :

• Remarquez que vous êtes sur le point d’agir sur quelque chose que vous n’avez pas cherché.
• Arrêtez-vous. Ne cliquez pas sur le lien qui vous est parvenu.
• Naviguez de façon indépendante, depuis un favori ou une source à laquelle vous faites déjà confiance.
• Lisez le domaine caractère par caractère, de droite à gauche.
• Confirmez que l’offre existe sur la page officielle, et pas seulement dans le message.
• Si quelqu’un demande une phrase de récupération, une clé, des frais ou une signature inexpliquée, arrêtez tout.

Vous pouvez soumettre une offre à notre vérificateur d’arnaques comme étape supplémentaire, et comment nous vérifions explique ce que nous contrôlons et, honnêtement, ce que nous ne pouvons pas contrôler. Notre rubrique alertes arnaques suit les schémas récurrents.

Un dernier mot sur TokenSpin lui-même. Nous sommes uniquement informatifs. Nous ne vous demandons jamais de connecter un wallet, de signer une transaction, d’approuver un token ou de saisir une phrase de récupération, et personne de TokenSpin ne vous écrira jamais en privé pour vous proposer de l’aide avec vos fonds. Si quelqu’un le fait, ce n’est pas nous. Appliquez exactement la vérification ci-dessus à toute page se réclamant de notre nom.