Imaginez que vous suivez une leçon en ligne, que vous copiez un code présenté comme pédagogique, que vous cliquez vous-même sur déployer, puis que vous alimentez un robot censé chasser les écarts de prix entre plateformes. Rien ne ressemble à un lien douteux. Rien ne demande votre phrase secrète. Pourtant, l’Ether disparaît. C’est exactement ce qui s’est produit pour 224 personnes : 234 contrats déployés, 274,6 ETH siphonnés, soit environ 517 000 dollars au moment des transferts. La médiane des pertes ? Un ETH par incident. Pas un hold-up unique. Une série de petites captures, méthodiques.
Comment Des Leçons En Ligne Sont Devenues Une Machine À Vider Les Comptes
Le récit commence sur YouTube. Neuf vidéos presque jumelles, présentées sous des identités différentes, promettaient de construire un bot d’arbitrage crypto entièrement automatisé grâce à un modèle d’intelligence artificielle très médiatisé. Des hôtes virtuels, des voix de synthèse, un ton professoral : le décor d’un tutoriel indépendant. Les spectateurs n’étaient pas renvoyés vers une page qui réclamait immédiatement l’accès au portefeuille. On leur expliquait, étape par étape, comment écrire, compiler et déployer.
Cette mise en scène change tout. Dans beaucoup d’attaques classiques, la victime signe une autorisation trop large ou visite un site clone. Ici, chaque geste on-chain partait du propriétaire du portefeuille. Déploiement, dépôt, appel de fonction : le journal des transactions avait l’air d’un apprentissage sérieux. Les filtres habituels peinent à crier au loup quand l’utilisateur est, formellement, l’auteur de l’action.
Neuf Vidéos, Une Seule Recette
Les enquêteurs ont isolé neuf tutoriels très proches. Même promesse d’arbitrage, même recours à une marque d’IA pour donner du prestige, même invitation à coller un code dans un compilateur choisi par le présentateur. Certains sites imitaient l’interface de Remix, l’environnement navigateur que des milliers de développeurs Ethereum utilisent tous les jours. La familiarité visuelle fait baisser la garde.
Une fois le portefeuille connecté, la victime compilait ce qu’elle croyait être un logiciel de trading, puis déployait le contrat. Ensuite venait le financement : du capital « pour que le bot puisse travailler ». Sauf qu’aucune stratégie d’arbitrage n’existait dans la variante malveillante examinée. Pas de boucle de marché. Pas d’appel à un modèle. Juste une capacité à recevoir de l’Ether… et à l’envoyer ailleurs.
Chiffre à retenir. 224 victimes, 234 contrats, six adresses de collecte, 274,6 ETH. La dispersion des pertes montre une campagne industrielle, pas un coup isolé sur une baleine.
Le Compilateur Qui Mentait Sur Le Code
Le cœur du piège n’était pas seulement la vidéo. C’était le backend du site de compilation. Dans une version documentée, un script ignorait le code source collé par l’utilisateur. Le navigateur affichait un programme « propre ». Le serveur, lui, préparait un autre contrat, récupéré chez les opérateurs, prêt à être déployé.
Résultat : l’écran et la chaîne ne racontaient pas la même histoire. Vérifier visuellement la fenêtre du compilateur ne suffisait plus. Le contrat réellement publié pouvait accepter des dépôts, comme un bot qui a besoin de fonds. Passé 0,05 ETH de solde, un appel aux boutons Start ou Withdraw déclenchait le transfert vers une adresse contrôlée par les escrocs. Deux libellés rassurants. Une seule fonction réelle : vider.
Appuyer sur Démarrer n’activait aucune stratégie. Appuyer sur Retirer ne rendait rien à l’utilisateur. Les deux chemins menaient au même collecteur.
Pourquoi Les Protections Habituelles Ont Loupé Le Coche
Les campagnes de phishing crypto s’appuient souvent sur des domaines copiés, des résultats de recherche empoisonnés, des demandes d’autorisation trop vastes. Listes noires et simulations de portefeuille peuvent alors signaler une adresse connue, un nom de domaine trompeur, une transaction qui cède le contrôle d’actifs déjà détenus.
Ici, chaque victime devenait le déployeur d’un contrat neuf. Une adresse fraîche n’apparaît pas forcément dans une blacklist. Le propriétaire autorisait le déploiement et le financement sans livrer sa seed. Le portefeuille pouvait afficher fidèlement : « vous déployez un contrat », « vous envoyez de l’ETH », « vous appelez une fonction ». Il manquait le contexte : le tutoriel et le compilateur avaient substitué le code.
Cette bascule est stratégique. Au lieu de faire confiance à un contrat déjà en ligne, on convainc la personne qu’elle fabrique elle-même l’outil. Le sentiment de maîtrise est un anesthésiant. On relit moins. On compare moins le bytecode. On suppose que ce que l’on a collé est ce qui part on-chain.
Ce Que Les Chiffres Racontent Vraiment
274,6 ETH, c’est un stock. 224 personnes, c’est une foule. Six adresses de collecte, c’est une logistique. La médiane d’un ETH par affaire dit que le modèle économique n’avait pas besoin d’un seul gros poisson. Il suffisait d’un flux régulier de dépôts « raisonnables », ceux que l’on consacre à un test, à un premier robot, à une expérience.
Des participants ont même créé plus d’un contrat. L’acharnement pédagogique de la vidéo poussait à recommencer si « ça ne marchait pas ». Chaque nouvel essai était une nouvelle chance pour le backend de servir le contrat de substitution. La répétition, dans un tutoriel, passe pour de la rigueur. Dans une arnaque, c’est un multiplicateur.
| Élément | Lecture |
|---|---|
| Victimes | 224 personnes distinctes |
| Contrats déployés | 234 |
| Ether siphonné | 274,6 ETH ≈ 517 000 $ |
| Seuil de drainage | solde supérieur à 0,05 ETH |
| Collecte | six adresses opératrices |
L’Ia N’Était Qu’Une Vitrine
Le nom d’un grand modèle servait d’argument de vente. Sur la chaîne, aucun modèle n’interagissait avec le contrat déployé. Le code recevait des dépôts et déplaçait les soldes éligibles. Point. L’aura de l’automatisation intelligente masquait une mécanique triviale : une tirelire avec une trappe.
Cette dissonance n’est pas un détail de communication. Elle révèle un marché de l’attention où « bot + IA + arbitrage » suffit à faire cliquer. Les écarts de prix entre places existent. Les bots sérieux aussi. Mais un tutoriel qui promet un système « complet » en quelques minutes, sans audit, sans testnet obligatoire, sans lecture du bytecode, vend une illusion de compétence instantanée.
Le Décalage Avec Les Drainers Classiques
Les drainers habituels poussent souvent à approuver un contrat déjà malveillant, qui pourra ensuite transférer des jetons pendant que la chaîne enregistre une action « autorisée ». Ici, la tromperie est déplacée plus tôt : au moment de la génération et du déploiement du code. On ne demande plus de faire confiance à un contrat existant. On fait croire que l’utilisateur est l’auteur du logiciel.
D’autres affaires récentes ont montré comment la publicité en ligne peut diriger vers une infrastructure hostile : site clone, résultat sponsorisé, répartition automatique des fonds entre adresses liées. Des écosystèmes de drainers industrialisent le vol, le swap, la consolidation et le partage des recettes, pendant que d’autres équipes se chargent uniquement d’attirer le trafic. Le schéma des tutoriels IA s’insère dans cette logique de spécialisation : l’un fabrique l’appât pédagogique, l’autre opère le compilateur, un troisième agrège les collectes.
Psychologie Du Clic Pédagogique
Pourquoi autant de gens sont-ils allés jusqu’au dépôt ? Parce que la leçon construit un récit de progrès. On copie. Ça compile. On déploie. On envoie un peu d’Ether « pour tester ». Chaque étape réussie valide la précédente. Le doute arrive trop tard, souvent après le bouton qui devait lancer le robot.
Le seuil de 0,05 ETH n’est pas anodin. Il est assez bas pour paraître un simple ticket d’entrée, assez haut pour que le volume agrégé paie l’opération. Beaucoup de victimes n’ont pas mis « toute leur trésorerie ». Elles ont mis ce qu’elles pensaient pouvoir perdre dans un essai. L’addition de ces essais fait le butin.
Les hôtes virtuels ajoutent une couche d’autorité sans visage responsable. Une voix posée, un visage généré, un rythme de tutoriel tech : le cerveau classe ça dans « formation », pas dans « demande d’argent ». Or déployer un contrat et le financer, c’est précisément une décision financière irréversible.
Ce Qu’Un Portefeuille Voit… Et Ce Qu’Il Ne Voit Pas
Un bon portefeuille simule souvent une transaction : il prévient si une approbation donne un pouvoir trop large, si un destinataire est déjà signalé, si un contrat connu est dangereux. Il est plus faible face à un contrat tout neuf, déployé par vous, financé par vous, appelé par vous. La vérité technique de l’écran n’est pas la vérité économique de l’intention.
D’où l’importance de relire le bytecode, de comparer le hash de ce qui est déployé avec ce qui a été compilé localement, d’utiliser un environnement local ou une instance Remix officielle plutôt qu’un clone recommandé dans une vidéo. Tant que le compilateur n’est pas sous votre contrôle, le texte affiché n’est qu’une suggestion cosmétique.
Comment Vérifier Avant De Déployer
La première règle est triviale et trop souvent sautée : ne jamais financer un contrat issu d’un tutoriel inconnu sans l’avoir compilé soi-même, hors du site imposé par la vidéo. La deuxième : lire les fonctions qui bougent l’Ether. Si Start et Withdraw font la même chose, le nommage est un décor.
La troisième : tester sur un réseau d’essai avec de faux jetons. Un bot d’arbitrage qui « a besoin » d’Ether réel dès la première minute pour « s’activer » raconte une histoire commerciale, pas une histoire d’ingénierie. La quatrième : limiter le premier dépôt à une somme dont la perte ne change rien à votre mois. La cinquième : vérifier les adresses de collecte potentielles dans le code, les variables immuables, les appels transfer et call vers des destinataires fixes.
Check-list express avant un déploiement « tutoriel »
- Compiler en local ou sur l’outil officiel, jamais sur le domaine de la vidéo.
- Comparer bytecode local et bytecode proposé à la signature.
- Chercher les adresses en dur et les seuils de solde.
- Déployer d’abord sur testnet.
- Ne jamais lier un portefeuille de long terme à une manip pédagogique.
Portefeuille Jetable, Habitude Durable
Si l’on insiste pour suivre un tutoriel on-chain, le minimum est un portefeuille neuf, alimenté uniquement pour l’exercice, sans NFT de valeur, sans liquidités de protocole, sans historique de trésorerie. La compartimentation ne rend pas le contrat honnête. Elle borne le dégât.
Beaucoup d’attaques réussissent parce que le même compte sert à tout : expérimenter, trader, stocker. Un compilateur malveillant n’a alors qu’une session à corrompre. Séparer les rôles — coffre, trading, laboratoire — reste l’une des rares habitudes qui tiennent face à des contrats inédits.
Signaux D’Alarme Dans Une Vidéo « Éducative »
Plusieurs indices reviennent. Des créateurs multiples qui recyclent le même script. Une voix clairement synthétique associée à une promesse de rendement automatique. Un lien unique vers un compilateur « plus simple ». L’injonction de coller tout le code sans le lire. L’urgence à déposer « pour activer ». L’absence de dépôt Git public auditable. L’absence de licence, de tests, de documentation autre que la vidéo elle-même.
Un vrai guide de développement montre aussi les échecs : gaz insuffisant, erreur de compilation, besoin d’oracles, risque d’arbitrage raté, frais qui mangent le spread. Une leçon qui ne montre que le succès fluide vend un produit, pas une compétence.
Arbitrage Réel Contre Arbitrage De Salon
L’arbitrage crypto existe. Il exige des connexions rapides, des frais maîtrisés, une gestion du risque de change et de liquidation, parfois des inventaires sur plusieurs places. Ce n’est pas un contrat de quelques lignes qui « démarre » après 0,05 ETH. Réduire cette industrie à un bouton dans un tutoriel de dix minutes est déjà, en soi, un signal.
Les spreads se referment vite. Les MEV searchers professionnels se battent pour des miettes à la milliseconde. Un particulier qui découvre Solidity via YouTube n’entre pas dans cette course en déployant un contrat opaque. Le récit inverse — « l’IA s’occupe de tout » — est précisément le carburant de la campagne.
Que Faire Si L’Argent Est Parti
Une fois le transfert confirmé vers une adresse de collecte, le recouvrement est difficile. On peut pourtant documenter : identifiants des transactions, adresses des contrats déployés, URL des vidéos, captures du compilateur, horodatage. Aux États-Unis, le centre de plaintes pour la cybercriminalité du FBI accepte les signalements liés à la fraude en cryptomonnaie. L’agence indique que ces données aident à relier les dossiers, à suivre les méthodes émergentes et, parfois, à geler des fonds.
Les pertes internet déclarées y ont atteint 16,6 milliards de dollars en 2024, après 12,5 milliards en 2023. Même hors de ce pays, consigner l’affaire auprès des autorités locales et des équipes de sécurité on-chain reste utile : les collecteurs se réutilisent, les infrastructures se recoupent, les listes se mettent à jour.
Des alliances de sécurité autour d’Ethereum ont aussi renforcé le suivi des drainers. On a cité des pertes liées à ces outils autour de 84 millions de dollars en 2025, un plus bas enregistré selon certains réseaux qui partagent des indicateurs entre portefeuilles populaires. Cela n’efface pas les campagnes nouvelles. Cela montre que le partage d’intelligence réduit certaines recettes classiques… pendant que d’autres se déplacent vers le tutoriel et le compilateur menteur.
Plateformes Vidéo Et Responsabilité Floue
Neuf clones d’une même leçon posent la question de la modération. Un contenu qui oriente vers un compilateur substitutif n’est pas toujours détecté comme une publicité financière illicite. Il se présente comme de l’éducation. Les systèmes automatiques voient des mots-clés « Solidity », « bot », « Claude », « Remix ». L’intention extractive n’apparaît qu’on-chain, plus tard.
Les créateurs générés par IA compliquent encore le signalement : pas de visage réel, pas de société identifiable dans le générique. Reste le nom de chaîne, les liens en description, les domaines du compilateur. Les archiver vite compte, car ces pages disparaissent dès que le butin est consolidé.
Ce Que Change La Substitution De Code
Beaucoup d’utilisateurs croient encore que « voir le code » égale « déployer ce code ». Cette campagne démontre le contraire dès que l’outil de compilation n’est pas souverain. L’interface est un théâtre. La transaction signée porte un bytecode. Seule la comparaison des deux protège.
Les explorateurs de blocs permettent, après coup, de lire le contrat publié. Avant coup, il faut imposer sa propre chaîne d’outils : éditeur local, compilateur reproductible, estimation de gaz, simulation. Tout raccourci « tout-en-un » proposé par un inconnu est un point de capture.
Une Leçon Pour Les Formateurs Honnêtes
Les pédagogues sérieux ont intérêt à rendre leurs pipelines vérifiables : dépôts publics, checksums, interdiction d’envoyer du vrai Ether à un contrat de démo, usage exclusif du testnet, avertissement répété sur les clones d’IDE. Sinon, leurs codes de conduite seront parasités par des copies malveillantes qui parlent le même langage.
Montrer comment lire un opcode de transfert, comment chercher une adresse en dur, comment refuser un site qui ressemble à Remix sans l’être : ces gestes devraient précéder n’importe quel « hello world » de bot. La compétence minimale n’est plus d’écrire un contrat. C’est de prouver que le contrat publié est bien celui que l’on a écrit.
Le Coût Social Des Petites Pertes
Un ETH de médiane, ce n’est pas un scandale de protocole. C’est une humiliation privée, répétée deux cent vingt-quatre fois. Des gens qui voulaient apprendre. Des gens qui ont cru à un raccourci d’automatisation. Le marché des cryptos se nourrit déjà d’une volatilité brutale ; y ajouter des leçons truquées use la confiance dans les outils d’apprentissage eux-mêmes.
À force, le réflexe devient : ne plus jamais déployer. Ce serait une victoire collatérale des fraudeurs. Mieux vaut déployer moins souvent, plus lentement, avec des outils à soi. L’open source n’a de valeur que si la chaîne de compilation reste honnête.
Perspectives : Des Bots Encore Plus Bavards
Rien n’empêche la prochaine vague d’utiliser des agents conversationnels pour répondre aux doutes en direct, d’ajuster le discours selon la question de la victime, de générer un « audit » factice. La présente affaire n’avait même pas besoin d’un modèle branché au contrat. La seule étiquette suffisait. Demain, l’étiquette parlera, rassurera, débogera… tout en servant le même bytecode hostile.
Les défenses évolueront : simulation plus riche, alertes quand le bytecode diverge du source affiché, listes de domaines d’IDE officiels gravées dans les portefeuilles, signalement communautaire plus rapide des chaînes vidéo jumelles. Aucune de ces couches n’absout l’utilisateur de la règle simple : qui contrôle le compilateur contrôle le contrat.
Pour Conclure Sans Se Laisser Endormir
Cette campagne n’a pas inventé le vol d’Ether. Elle a inventé un décor scolaire autour d’un siphon. Neuf vidéos, un compilateur menteur, des boutons aux noms rassurants, six adresses pour ramasser la mise. 274,6 ETH plus tard, le mode d’emploi est public. Il servira d’autres fois, avec d’autres visages générés, d’autres noms de modèles, d’autres copies d’interfaces familières.
Garder un portefeuille de laboratoire. Compiler chez soi. Lire les transferts. Refuser le dépôt « pour activer ». Signaler les clones. Ce n’est pas une doctrine de paranoïa. C’est la seule réponse proportionnée à une arnaque qui a compris que le geste le plus dangereux, désormais, n’est pas de cliquer sur un lien. C’est de croire que l’on déploie exactement ce que l’on vient de coller.
