Faux site d'échange crypto : le repérer avant d'envoyer
Équipe NoxSwap
Sur un échange crypto, la façon la plus courante de perdre ses fonds n'est pas un piratage. C'est une copie : un site identique en tout point à un vrai service d'échange, souvent trouvé via une annonce sur un moteur de recherche ou un lien posté dans un chat. Un seul détail change, et c'est le seul qui compte : l'adresse de dépôt appartient à l'escroc. Une fois les cryptos envoyées, personne ne peut les récupérer. Bonne nouvelle, quelques vérifications prennent moins d'une minute et déjouent presque toutes les arnaques de ce genre. Voici ce qu'il faut regarder, et comment une signature PGP permet de prouver qu'un service d'échange est bien celui qu'il prétend être.
Comment fonctionne l'arnaque au faux site d'échange
Les escrocs copient le design, les textes et jusqu'au parcours de commande d'un vrai service d'échange, puis publient le tout sur un domaine presque identique : une lettre en plus, une autre extension, .co au lieu de .io par exemple, ou un tiret glissé au milieu. Ils achètent des annonces sur le nom de la marque dans les moteurs de recherche, diffusent le lien dans des groupes Telegram et sur des forums, ou répondent aux personnes qui demandent de l'aide pour un échange.
Sur le faux site, tout semble fonctionner. Vous choisissez une paire, saisissez votre adresse, obtenez un devis et une adresse de dépôt. Seule cette adresse a changé. Certains clones affichent même ensuite un écran de progression convaincant, si bien que la victime attend des heures avant de comprendre que rien n'arrivera.
La même ruse existe sur Tor. N'importe qui peut générer une adresse onion qui commence par les mêmes lettres qu'une vraie : un faux miroir peut donc paraître légitime au premier coup d'œil.
Les signaux d'alerte à vérifier en quelques secondes
Regardez l'adresse complète dans la barre du navigateur, pas seulement le logo. Saisissez le domaine vous-même ou passez par un marque-page, plutôt que de cliquer sur des liens venus d'annonces, de chats ou d'e-mails. Si vous êtes arrivé sur le site par un résultat sponsorisé, fermez-le et rendez-vous à l'adresse que vous connaissez.
Méfiez-vous de tout ce qui vous contacte en premier. Le support d'un vrai service d'échange n'engage pas la conversation par message privé, ne demande jamais votre phrase de récupération ni vos clés privées, et ne vous demande jamais d'envoyer un paiement test vers un portefeuille personnel. Un taux bien meilleur que chez tous les concurrents est un autre signal d'alerte : un devis qui bat le marché de 10 % est un appât, pas une bonne affaire.
Vérifiez aussi où mènent les canaux de support. Si le seul moyen de joindre le service est un compte Telegram vers lequel le site officiel ne renvoie nulle part, considérez-le comme non vérifié.
Ce que prouve une signature PGP
PGP est un standard de signature de messages vieux de plusieurs décennies. Un service garde une clé privée secrète et publie la clé publique correspondante. Tout ce qui est signé avec la clé privée peut être vérifié par quiconque détient la clé publique, et la vérification échoue si un seul caractère du texte signé a été modifié.
Un clone peut copier un site au pixel près, mais il ne peut pas produire de signature valide sans la clé privée. C'est pourquoi les services de confidentialité sérieux signent ce qui compte : leurs adresses officielles et le détail de chaque commande.
Les lettres de garantie signées de NoxSwap
Chaque commande NoxSwap est accompagnée d'une lettre de garantie signée avec notre clé PGP. Elle consigne l'ID de commande, ce que vous envoyez et à quelle adresse de dépôt, ce que vous recevez et à quelle adresse de paiement, ainsi que le délai de dépôt. Vous la trouvez sur la page de votre commande, juste sous l'ID de commande, avec des boutons pour la copier, la télécharger et la vérifier.
Avant de payer, vérifiez la lettre et comparez l'adresse de dépôt qu'elle contient avec celle vers laquelle vous vous apprêtez à envoyer. Elles doivent être identiques. Si un site ne peut pas vous montrer de lettre, ou si la signature n'est pas valide, n'envoyez rien.
La liste de nos adresses officielles, le site et le miroir Tor, est signée avec la même clé et publiée sur notre page de vérification PGP sous le nom mirrors.txt.
Trois façons de vérifier une signature
La plus rapide : l'outil de vérification de notre page PGP. Collez la lettre entière, et la vérification s'exécute dans votre navigateur, sans que le texte soit envoyé nulle part. Le bouton Vérifier de la page de commande l'ouvre avec votre lettre déjà collée.
Si vous préférez ne pas vous fier à notre propre site, BitList, un annuaire indépendant de services de confidentialité, publie notre clé publique sur sa propre page et vérifie les lettres NoxSwap en un clic.
Pour une vérification entièrement hors ligne, utilisez GnuPG : importez la clé depuis noxswap.io/pgp.txt, enregistrez la lettre dans un fichier texte et lancez gpg --verify sur ce fichier. Quel que soit l'outil, comparez l'empreinte de la clé avec celle publiée sur BitList et sur notre site. Si elles diffèrent un jour, ne faites pas confiance à la clé.
Si vous pensez être tombé sur un faux
N'envoyez rien et ne saisissez aucun identifiant de portefeuille. Notez l'adresse du site et l'endroit où vous avez trouvé le lien, puis signalez-le-nous à info@noxswap.io : nous pourrons prévenir les autres utilisateurs et demander à l'hébergeur ou au registraire de le fermer.
Si vous avez déjà envoyé des fonds vers une fausse adresse, aucun service d'échange ne peut annuler la transaction, pas même le vrai. Signalez-la à la plateforme où vous avez trouvé le lien et à la police de votre pays ; le relevé de la transaction sur la blockchain appuie le signalement.
Prêt à échanger ?
Taux fixe garanti, tous les frais inclus, paiement depuis une adresse neuve.
Lancer un échange