E-mails frauduleux MetaMask : comment les repérer et protéger votre portefeuille

Vous ouvrez votre boîte de réception et y trouvez un e-mail qui semble venir de MetaMask. Le logo est le bon, la mise en page est soignée et le message vous presse d’agir : vérifier votre portefeuille, éviter une suspension ou confirmer votre phrase secrète de récupération dans le cadre d’une mise à jour de sécurité. S’il a l’air authentique, c’est qu’il a été conçu dans ce but. C’est un e-mail de phishing, et la page vers laquelle renvoie son bouton est faite pour prendre le contrôle de votre portefeuille.

Vous avez peut-être lu que MetaMask n’envoie jamais d’e-mails. L’affirmation est trop générale. MetaMask peut vous écrire au sujet d’une demande d’assistance que vous avez ouverte, et il envoie des newsletters et des actualités sur la MetaMask Card aux personnes qui se sont inscrites pour les recevoir. Ce qu’il ne fait jamais, c’est prendre l’initiative du contact. Il n’envoie pas d’e-mails non sollicités, ne vous demande jamais par e-mail votre phrase secrète de récupération, votre mot de passe ou les informations de votre compte Google ou Apple, et ne vous demande jamais de vérifier, de mettre à niveau ou de restaurer votre portefeuille. Un e-mail qui fait l’une de ces choses est une arnaque, aussi authentique qu’il paraisse.

Pourquoi les e-mails frauduleux MetaMask fonctionnent

MetaMask est une cible toute désignée. Il se présente comme le portefeuille en auto-conservation le plus utilisé, avec plus de 100 millions de téléchargements : un faux e-mail MetaMask envoyé à une longue liste d’adresses atteint donc de nombreux utilisateurs réels.

Beaucoup de ces utilisateurs connaissent mieux les comptes sur les plateformes d’échange que les portefeuilles. Une plateforme d’échange dépositaire conserve vos cryptomonnaies pour votre compte : elle dispose donc de votre adresse e-mail, peut geler votre compte et vous envoie des e-mails liés à ce compte. Un portefeuille en auto-conservation, aussi appelé non dépositaire, vous laisse la garde des clés. Vos comptes se trouvent sur la blockchain, et non chez MetaMask : MetaMask n’a donc rien à suspendre ni à vérifier. Les escrocs comptent sur le fait que beaucoup ignorent cette différence.

Ces e-mails jouent aussi sur les émotions. Un ultimatum comme « your wallet will be locked in 24 hours » (votre portefeuille sera bloqué dans 24 heures) vous pousse à agir avant de réfléchir. Un avertissement signalant une « suspicious activity », c’est-à-dire une activité suspecte, fait passer le clic pour un geste responsable, et une invitation à « update your security », autrement dit à mettre à jour votre sécurité, paraît raisonnable plutôt que suspecte. Chacun de ces procédés vous détourne de la question qui met fin à l’arnaque : ai-je déjà communiqué cette adresse e-mail à MetaMask, et dans quel but ?

À quoi ressemblent les e-mails frauduleux MetaMask

Les e-mails de phishing qui visent les utilisateurs de MetaMask reprennent une poignée de modèles, et le centre d’aide de MetaMask met en garde contre ces mêmes prétextes. Reconnaître le modèle reste la meilleure défense.

L’e-mail « verify your wallet »

Cette variante affirme que vous devez vérifier votre portefeuille pour pouvoir continuer à utiliser MetaMask. Un bouton comme « Verify Now » ou « Confirm Wallet » mène à un faux site MetaMask qui vous demande votre phrase secrète de récupération, c’est-à-dire les mots qui servent de sauvegarde à votre portefeuille. Dès que vous la saisissez, l’escroc contrôle tous les comptes dérivés de cette phrase et peut les vider un par un. MetaMask affirme ne jamais vous demander de vérifier votre compte.

Une version plus récente vous propose un « upgrade » vers un compte intelligent (smart account). MetaMask affiche bien des invitations à passer un compte en compte intelligent, mais uniquement dans l’extension ou dans l’application mobile. Un e-mail ou un site web qui vous pousse à faire cette mise à niveau ne vient pas de MetaMask.

L’e-mail « security alert »

Cette version, présentée comme une alerte de sécurité, prévient qu’une activité non autorisée a été détectée sur votre portefeuille, ou que celui-ci est restreint, bloqué ou suspendu, et vous presse de le sécuriser au moyen d’un lien. Ce lien mène à une page MetaMask clonée qui enregistre tout ce que vous saisissez. Si l’e-mail cite de vraies données de transaction, cela ne prouve rien : n’importe qui peut consulter les transactions de n’importe quelle adresse sur un explorateur de blocs public.

L’e-mail « KYC requirement »

Celui-ci prétend que de nouvelles réglementations imposent à MetaMask de vérifier votre identité (KYC, pour « know your customer », la connaissance du client). On vous demande de transmettre des documents et de connecter votre portefeuille sur un site extérieur. MetaMask n’a pas de procédure KYC propre. Des vérifications d’identité peuvent avoir lieu lorsque vous achetez des cryptomonnaies dans MetaMask ou que vous demandez la MetaMask Card. Elles font partie de cet achat ou de cette demande de carte et sont effectuées par le prestataire concerné : vérifiez donc si le message se rapporte à un service que vous avez réellement sollicité. Aucune vérification d’identité, réelle ou fausse, ne justifie de divulguer votre phrase de récupération ou votre clé privée.

L’e-mail « airdrop » ou « reward »

Celui-ci promet des jetons gratuits, un airdrop rétroactif ou une récompense (reward) réservée aux utilisateurs fidèles de MetaMask, à condition de connecter votre portefeuille sur le site vers lequel pointe le lien. MetaMask n’offre aucun actif : ni jetons, ni NFT, ni airdrops, ni cadeaux distribués au hasard. La page censée permettre de les réclamer exige soit votre phrase de récupération, soit la signature d’une autorisation de jeton, qui donne au site la permission de prendre vos jetons au lieu de vous en envoyer. Cette autorisation est inscrite sur la blockchain : elle reste donc active après la fermeture du site, jusqu’à ce que vous la révoquiez.

La fausse réponse du support

Certaines arnaques visent des personnes qui ont réellement contacté MetaMask. MetaMask prévient que des escrocs ont abordé des utilisateurs dont la demande d’assistance était en cours pour leur réclamer leur phrase secrète de récupération. Les véritables e-mails liés à une demande d’assistance proviennent uniquement de support@metamask.io, ne concernent qu’un dossier que vous avez ouvert via le chat du centre d’aide et ne vous demandent jamais votre phrase. Le support MetaMask ne vous contacte jamais en premier, n’a pas de numéro de téléphone et ne vous joindra ni par WhatsApp, ni par Telegram, ni par Instagram, ni par SMS, ni par message privé sur X.

Comment identifier un faux e-mail MetaMask

Si vous n’avez ni ouvert de demande d’assistance, ni rejoint le forum MetaMask Community, ni demandé à recevoir des e-mails de MetaMask, un e-mail qui prétend venir de MetaMask est faux, aussi professionnel qu’il paraisse. Dans le cas contraire, les vérifications suivantes permettent de distinguer l’original d’une copie.

Comparez l’expéditeur avec les adresses officielles de MetaMask

MetaMask indique six adresses à partir desquelles il envoie des e-mails. Cliquez sur le nom de l’expéditeur ou survolez-le pour afficher l’adresse complète, car n’importe qui peut choisir un nom d’affichage comme « MetaMask Support ».

Les e-mails de phishing proviennent généralement d’adresses qui ressemblent à s’y méprendre aux vraies : un domaine qui ajoute au nom de la marque un mot comme « support » ou « security », une extension différente comme .team au lieu de .io, ou un long domaine qui se contente de commencer par metamask.io (metamask.io.example.net appartient à example.net, pas à MetaMask). Une adresse identique à l’une de celles-ci est bon signe, mais elle ne prouve pas à elle seule qu’un e-mail soit authentique. C’est ce que le message vous demande de faire qui tranche.

Vérifiez où mène un lien, mais ne l’utilisez pas

Survolez un lien avant de cliquer. La plupart des logiciels de messagerie affichent alors la véritable destination en bas de la fenêtre ou dans une infobulle. Si elle pointe ailleurs que vers metamask.io ou l’un de ses sous-domaines, comme support.metamask.io, méfiez-vous. Un lien qui semble correct peut tout de même tromper, car certaines applications de messagerie n’affichent pas la cible réelle. Les vrais e-mails de MetaMask peuvent contenir des liens, par exemple pour confirmer un nouveau compte Community, mais vous n’en avez jamais besoin pour gérer votre portefeuille.

Confirmez donc la demande par un autre canal. Tapez support.metamask.io dans votre navigateur ou utilisez un favori, puis comparez la demande avec votre dossier d’assistance en cours ou avec le service que vous avez utilisé. Si elle ne correspond pas, ou en cas de doute, ouvrez un chat avec le bouton « Contact Support » de la page d’accueil du centre d’aide et demandez si l’e-mail est authentique.

Méfiez-vous de la pression et des menaces irréalisables

Il est rare qu’un service légitime impose un délai de 24 heures ou menace de suspendre un compte par e-mail. Dans le cas de MetaMask, la menace est en outre impossible à mettre à exécution : vos comptes existent sur une blockchain publique, et non sur les serveurs de MetaMask, et MetaMask affirme qu’ils ne peuvent être ni supprimés ni restreints. Toute urgence imposée autour de votre portefeuille doit d’emblée vous alerter.

MetaMask lui-même est-il une arnaque ?

Non. MetaMask est un portefeuille légitime, en auto-conservation, utilisé depuis 2016. Il est développé par Consensys Software Inc., qui exerce désormais son activité sous le nom de MetaMask, et le code source de l’extension de navigateur est public sur GitHub. Les arnaques ne viennent pas de MetaMask. Elles viennent de criminels qui se font passer pour MetaMask afin d’atteindre ses utilisateurs.

Cette distinction compte surtout au moment de l’installation. MetaMask existe uniquement sous forme d’extension de navigateur et d’application mobile, et l’entreprise précise qu’il ne faut l’obtenir que par le bouton d’installation de metamask.io/download ou dans la boutique officielle de votre navigateur ou de votre téléphone. Une copie obtenue ailleurs peut être conçue pour voler la phrase que vous saisissez. Et aucun portefeuille, si bien fait soit-il, ne peut vous empêcher de taper votre phrase de récupération sur un faux site.

Que faire si vous avez cliqué sur un lien de phishing

La suite dépend de ce qui s’est passé après le clic. Ouvrir une page, approuver une transaction et saisir votre phrase n’appellent pas la même réponse.

Vous avez seulement lu l’e-mail ou ouvert la page

Cela ne suffit pas à exposer vos clés. Le danger tient à ce que vous saisissez ou approuvez sur la page, souvent conçue pour recueillir votre phrase secrète de récupération. Si vous n’avez rien saisi ni rien approuvé, votre portefeuille ne risque très probablement rien. Fermez la page. Si vous avez téléchargé un fichier, ne l’ouvrez pas et analysez l’ordinateur à la recherche de logiciels malveillants. Notez ce qui s’est passé et à quel moment, et surveillez l’activité de vos comptes pendant les jours qui suivent.

Vous avez connecté votre portefeuille ou approuvé une transaction

Une connexion n’est pas une autorisation de dépenser des jetons. Connecter votre portefeuille permet à un site de voir votre adresse publique et vos soldes, et de vous proposer des transactions à confirmer. Une autorisation de jeton va plus loin : elle permet à un contrat intelligent de retirer un jeton donné de votre portefeuille, souvent sans limite de montant, jusqu’à ce que vous la révoquiez. Un site malveillant peut s’en servir pour vider ces jetons sans jamais connaître votre phrase.

Vérifiez ce que vous avez signé et quelles autorisations sont encore actives. Déconnecter un site ne révoque pas une autorisation. La révocation est une transaction distincte sur la blockchain, qui coûte des frais de réseau (gas), et elle ne peut pas annuler les transferts déjà effectués. Le guide de MetaMask sur la révocation des autorisations de jetons renvoie aux outils de vérification des autorisations proposés par les explorateurs de blocs comme Etherscan, ainsi qu’à des services comme Revoke.cash. Accédez-y par ce guide ou en tapant vous-même l’adresse, jamais par un lien « revoke » contenu dans le message suspect.

Vous avez déjà saisi votre phrase de récupération sur un site suspect

Partez du principe que la phrase et tous les comptes qu’elle contrôle sont compromis. Changer le mot de passe local de MetaMask ne servira à rien, car quiconque détient la phrase peut restaurer le portefeuille sur son propre appareil. Une clé privée que vous avez saisie expose son compte de la même manière. N’ajoutez pas de fonds aux comptes concernés. Les mesures recommandées par MetaMask en cas de portefeuille compromis se résument ainsi :

1. Installez MetaMask dans un autre navigateur ou un autre profil de navigateur, ou sur un second appareil mobile.
2. Créez-y un nouveau portefeuille avec une nouvelle phrase secrète de récupération. Si l’ancien portefeuille utilisait un compte Google ou Apple, ne connectez pas ce même compte au nouveau portefeuille.
3. Notez la nouvelle phrase dans le bon ordre et conservez-la hors ligne.
4. Transférez tout ce qui reste dans l’ancien portefeuille vers le nouveau.
5. Cessez d’utiliser l’ancien portefeuille et tous les comptes liés à la phrase compromise.

La rapidité compte, mais vous ne prendrez pas un script de vitesse. Certains attaquants font tourner des bots de type sweeper, qui transfèrent presque instantanément hors d’une adresse compromise les fonds qui y arrivent : si vous soupçonnez la présence d’un tel bot, n’envoyez pas d’ETH sur l’ancien portefeuille pour payer les frais de gas, car le bot s’en emparerait aussi. Le guide de MetaMask sur les bots de type sweeper traite ce cas, et notre guide de récupération d’un portefeuille MetaMask explique que faire après une compromission.

Vous avez saisi votre mot de passe ou vos identifiants Google ou Apple

Le risque dépend de la façon dont vous avez configuré MetaMask. Si vous avez créé le portefeuille uniquement avec une phrase secrète de récupération, le mot de passe déverrouille MetaMask sur votre propre appareil et, à lui seul, ne permet à personne d’accéder à vos comptes. Changez-le quand même. Si vous avez créé le portefeuille avec un compte Google ou Apple, ce compte, associé à votre mot de passe MetaMask, ouvre tous vos comptes. Si une fausse page a capté les deux, suivez les étapes ci-dessus pour un portefeuille compromis et sécurisez aussi le compte Google ou Apple.

Signalez l’e-mail et tout vol éventuel

Signalez l’e-mail de phishing à MetaMask par le chat « Contact Support » du centre d’aide, en indiquant l’adresse de l’expéditeur et le lien qu’il contenait, puis marquez-le comme hameçonnage dans votre messagerie et supprimez-le. Si vous avez perdu des fonds, le guide de MetaMask sur le signalement d’une arnaque explique comment signaler l’adresse de l’escroc sur Etherscan et à quelles autorités de lutte contre la cybercriminalité s’adresser ; aux États-Unis, il s’agit de l’IC3 du FBI. Décrivez ce qui a été divulgué, mais n’indiquez jamais la phrase ou la clé elle-même.

Crypto Recovers ne traite pas les dossiers de vol de cryptomonnaies ou d’arnaque. Une transaction blockchain confirmée ne peut pas être annulée, et le FBI avertit que quiconque prétend pouvoir récupérer vos fonds après une arnaque est peut-être en train d’en monter une autre ; notre guide pour distinguer les sociétés de récupération légitimes des fausses montre comment fonctionnent ces offres. Crypto Recovers rétablit l’accès des propriétaires légitimes qui ne parviennent plus à ouvrir leur portefeuille, par exemple après l’oubli d’un mot de passe MetaMask, et ne détient ni ne déplace jamais les fonds de sa clientèle. Si c’est votre cas, consultez notre page récupération de portefeuille MetaMask.

Comment vous protéger à l’avenir

La protection la plus efficace est aussi la plus simple : ne saisissez jamais votre phrase de récupération en ligne, que ce soit dans un formulaire reçu par e-mail, sur un site web, dans un chat ou dans une fenêtre pop-up. MetaMask ne cite que deux moments légitimes pour la saisir : lorsque vous créez un portefeuille et confirmez que vous l’avez notée, et lorsque vous restaurez le portefeuille ou réinitialisez son mot de passe dans l’extension ou l’application officielle. Dans tout autre cas, il s’agit probablement d’une arnaque.

Le reste est une affaire d’habitudes :

• Laissez MetaMask se mettre à jour par votre navigateur ou votre boutique d’applications. Une vraie mise à jour ne vous demande jamais de vérifier ou de restaurer votre portefeuille par e-mail.
• Ajoutez metamask.io et support.metamask.io à vos favoris, et ouvrez-les depuis ces favoris plutôt que depuis des résultats de recherche, des publicités ou des liens. Les escrocs achètent des annonces qui s’affichent au-dessus du vrai résultat, comme le montre notre article sur les signaux d’alarme des arnaques crypto.
• Conservez votre phrase secrète de récupération hors ligne, écrite sur papier ou gravée sur métal, dans un endroit sûr auquel personne d’autre que vous n’a accès. MetaMask déconseille de stocker la phrase dans le cloud ou dans un gestionnaire de mots de passe.
• Utilisez un portefeuille matériel pour des avoirs importants. MetaMask en recommande un pour les comptes de grande valeur, car les clés restent hors ligne et chaque transaction nécessite l’appareil physique.
• Si vous avez configuré MetaMask avec un compte Google ou Apple, donnez à ce compte un mot de passe unique, différent de votre mot de passe MetaMask.
• Vérifiez régulièrement vos autorisations de jetons. MetaMask suggère d’en faire une habitude, par exemple une fois par mois.
• Considérez tout message non sollicité concernant vos cryptomonnaies, qu’il arrive par e-mail, par message privé, par appel téléphonique ou en commentaire sur les réseaux sociaux, comme une arnaque tant que vous ne l’avez pas vérifié par les canaux propres à MetaMask.

Documentation officielle

• Cet e-mail vient-il vraiment de MetaMask ?
• Les canaux d’assistance officiels de MetaMask
• Révoquer les autorisations de contrats intelligents et de jetons
• Piratage ou arnaque : transactions non autorisées sur votre compte

FAQ : e-mails frauduleux MetaMask

MetaMask envoie-t-il des e-mails ?

Oui, mais seulement dans quelques situations, et jamais sans que vous l’ayez demandé. MetaMask vous écrit au sujet d’une demande d’assistance que vous avez ouverte, de l’activité du forum MetaMask Community si vous l’avez rejoint, et pour vous envoyer les newsletters ou les actualités de la MetaMask Card que vous avez demandé à recevoir. Il ne vous écrit jamais pour vous demander votre phrase secrète de récupération, votre mot de passe ou les informations de votre compte Google ou Apple, ni pour vérifier votre portefeuille. Tout autre e-mail qui se réclame de MetaMask relève du phishing.

Que dois-je faire si je reçois un e-mail de MetaMask ?

Ne cliquez pas sur ses liens, n’ouvrez pas les pièces jointes et n’y répondez pas. Comparez l’expéditeur avec les adresses officielles de MetaMask. Si vous n’avez ouvert aucune demande d’assistance ni souscrit aucun abonnement, marquez l’e-mail comme hameçonnage et supprimez-le. En cas de doute, tapez support.metamask.io dans votre navigateur et posez la question via le chat « Contact Support ».

Les escrocs peuvent-ils accéder à mon MetaMask sans ma phrase de récupération ?

Sans elle, ils ne peuvent pas prendre le contrôle de l’ensemble du portefeuille, sauf si celui-ci a été configuré avec Google ou Apple et qu’ils disposent de ce compte ainsi que de votre mot de passe MetaMask. Une clé privée que vous avez communiquée expose le compte auquel elle appartient. Les autorisations de jetons sont l’exception à surveiller : un contrat malveillant auquel vous accordez une autorisation peut déplacer les jetons concernés sans votre phrase. Un logiciel malveillant peut aussi voler une phrase stockée sur votre ordinateur. Révoquez les autorisations que vous ne reconnaissez pas et gardez la phrase à l’écart de tout appareil connecté à Internet.

J’ai communiqué ma phrase de récupération à un escroc. Puis-je retrouver mes fonds ?

Signaler le vol peut permettre aux autorités ou à la plateforme d’échange destinataire d’agir, mais la restitution des fonds n’est pas garantie. Les transactions blockchain sont irréversibles, et MetaMask indique ne pas pouvoir annuler de transactions ni restituer des fonds disparus. Crypto Recovers ne traite pas non plus les dossiers de vol de cryptomonnaies ou d’arnaque. Transférez immédiatement ce qui reste dans le portefeuille vers un nouveau portefeuille doté d’une nouvelle phrase, signalez le vol et méfiez-vous de quiconque propose de récupérer les fonds, surtout contre des frais payables d’avance.

MetaMask peut-il bloquer ou suspendre mon portefeuille ?

Non. MetaMask est un portefeuille en auto-conservation : vos comptes existent sur des blockchains publiques, et MetaMask affirme qu’ils ne peuvent être ni supprimés ni restreints. Un e-mail qui menace de bloquer, de suspendre ou de fermer votre portefeuille si vous n’agissez pas est une arnaque.