Fake Airdrops and Giveaway Scams: How to Keep Your Crypto Funds Safe

Fake airdrops and crypto giveaway scams succeed because they imitate something that can be legitimate: projects really do distribute tokens, reward early users, run community campaigns, and announce promotions. The safe outcome is not to become suspicious of every promotion. It is to build a repeatable verification process that lets you separate a plausible offer from a request that could expose your wallet, credentials, or funds.

A good safety process should give you three results. First, you should be able to decide whether an offer can be independently verified through official channels. Second, you should understand exactly what your wallet is being asked to sign or approve before you authorize anything. Third, if something has already gone wrong, you should know what to secure, document, revoke, and report without making the situation worse.

What fake airdrops and giveaway scams are trying to make you do

The surface story varies, but the end goal is usually simple: get you to send cryptocurrency, reveal a recovery phrase or private key, sign a harmful message, or approve a smart contract that can move tokens from your wallet.

The Federal Trade Commission warns that scammers often use promises of free money, prizes, or unusually large returns to create urgency and lower a victim's skepticism. It also advises against clicking unexpected links and notes that legitimate prizes should not require you to send money first. See the FTC's guidance on cryptocurrency scams and fake prize and sweepstakes scams.

In Web3, the request can be more subtle than “send us crypto and we will send back more.” A fake claim site may ask you to connect a wallet and approve a transaction that looks routine. MetaMask's official documentation explains that token approvals can give a decentralized application permission to move a specified token on your behalf, and malicious approvals may request excessive or even effectively unlimited access. Its safety guidance describes fake airdrops as a common lure for phishing and harmful approvals. See MetaMask's explanations of token approvals and Web3 safety.

What a successful verification process should prove

Do not judge an airdrop by how polished the page looks, how many replies a social post has, or whether a familiar logo appears. A useful verification process should produce evidence you can trace back to the project's official presence.

1. You can reach the promotion without using the message that advertised it

Si un airdrop est authentique, vous devriez pouvoir y accéder depuis une source fiable : le site web officiel du projet, sa documentation, l’application vérifiée ou le compte officiel sur les réseaux sociaux que vous avez consulté indépendamment. N’utilisez pas le lien figurant dans un message privé non sollicité, une réponse, une publicité, une annonce sur un moteur de recherche ou une publication transférée comme unique moyen d’accéder à la page de récupération.

Le résultat essentiel est la reproductibilité indépendante. Si la promotion n'existe que via le lien qu'un inconnu vous a donné, ou si vous ne trouvez aucune annonce correspondante par les canaux officiels, arrêtez-vous là.

2. Le domaine et la destination de la revendication correspondent aux informations vérifiées du projet.

Les domaines frauduleux peuvent utiliser des mots supplémentaires, des lettres inversées, des sous-domaines trompeurs ou des caractères visuellement similaires. Lisez attentivement le nom d'hôte complet avant de connecter un portefeuille. Une page peut parfaitement imiter une marque tout en envoyant des requêtes de portefeuille depuis un domaine ou un contrat intelligent sans rapport.

Ne considérez pas un cadenas ou le protocole HTTPS comme une preuve d'authenticité d'une promotion. HTTPS signifie que la connexion est chiffrée ; cela ne garantit pas la fiabilité de l'opérateur.

3. Le modèle économique est logique.

Une distribution réelle de jetons peut nécessiter des frais de transaction réseau, selon les modalités de mise en œuvre, mais cela est très différent du fait de vous demander de transférer des cryptomonnaies pour « débloquer », « vérifier », « activer » ou « doubler » une récompense. La FTC met en garde contre les demandes d'envoi anticipé de cryptomonnaies pour recevoir un prix ou de l'argent gratuit, qui sont caractéristiques des arnaques.

Une règle utile consiste à se demander quelle valeur est en jeu dans chaque sens. Si le prétendu cadeau dépend de l'envoi préalable de fonds importants à une adresse contrôlée par un tiers, le risque n'est pas un simple détail technique ; il est au cœur même de la transaction.

Lisez la demande de portefeuille, pas l'étiquette du bouton.

Le moment le plus important survient souvent après avoir cliqué sur « Réclamer ». Un bouton sur un site web peut afficher n'importe quoi. C'est dans la confirmation du portefeuille que vous devez vérifier ce qui sera réellement autorisé.

Vérifiez si la requête correspond à une simple connexion de portefeuille, une signature de message, une approbation de jeton, une approbation de NFT ou un transfert sur la blockchain. Ces actions sont différentes. MetaMask précise que connecter un portefeuille est distinct de l'octroi d'autorisations de jetons : une approbation peut autoriser une application décentralisée ou un contrat à déplacer des jetons, tandis qu'une simple connexion ne lui confère pas automatiquement ce pouvoir.

Si vous ne pouvez pas expliquer la demande clairement, ne la signez pas encore. Il est préférable de ne pas tenter de deviner. Fermez la fenêtre, vérifiez le contrat ou l'application à l'aide des documents officiels, et poursuivez uniquement si l'autorisation demandée correspond à la fonction que vous comptiez utiliser.

Des signaux d'alarme qui devraient immédiatement modifier votre approche.

Certains signaux sont tellement forts qu'il vaut mieux cesser toute interaction plutôt que de perdre du temps à tenter de justifier l'offre :

• Il vous est demandé une phrase de récupération, une phrase secrète de récupération, une clé privée ou des mots de sauvegarde de votre portefeuille.
• Vous devez d'abord envoyer des cryptomonnaies pour en recevoir davantage en retour.
• L'offre est uniquement disponible par message direct non sollicité, en réponse à une demande ou via un groupe privé.
• Vous subissez la pression d'un compte à rebours, d'un avertissement de « dernière chance » ou de la menace que votre allocation disparaisse en quelques minutes.
• Le site demande des approbations de jetons qui ne correspondent pas à l'actif revendiqué.
• L'allocation est extrêmement élevée et il n'y a aucune raison claire à cela.
• Le site web officiel du projet et ses canaux officiels ne font aucune mention de l'événement.
• Le personnel d'assistance vous demande de poursuivre la conversation sur un canal privé et de partager des secrets ou des informations d'authentification.

Un seul signal d'alarme ne suffit pas toujours à prouver une fraude. Par exemple, des applications décentralisées légitimes peuvent demander l'approbation de jetons. La décision doit être prise en fonction du contexte : l'application est-elle authentique ? L'autorisation demandée est-elle nécessaire ? En comprenez-vous la portée ? L'objectif de qualité est une confiance fondée sur des preuves, et non un score obtenu à l'aide d'une liste de contrôle.

Adoptez des habitudes plus sûres avant de prétendre quoi que ce soit.

Utilisez un portefeuille dédié aux applications décentralisées expérimentales et aux demandes de jetons, plutôt que d'exposer un portefeuille contenant la majeure partie de vos actifs. Séparez vos investissements à long terme des comptes utilisés pour tester de nouveaux protocoles. Cela ne vous protège pas contre un contrat malveillant, mais peut réduire les risques encourus en cas d'erreur.

Vérifiez régulièrement vos autorisations de jetons. La documentation officielle de MetaMask recommande de contrôler les autorisations en vigueur et de révoquer celles dont vous n'avez plus besoin. La révocation est une action effectuée sur la blockchain des réseaux compatibles et entraîne généralement des frais de réseau ; il est donc préférable de la considérer comme une mesure d'entretien régulière de votre portefeuille plutôt que comme un mécanisme de récupération miracle.

Ajoutez à vos favoris les sites officiels des projets que vous utilisez fréquemment. Pour les opérations importantes, vérifiez les adresses des contrats dans la documentation officielle plutôt que de vous fier aux noms ou aux symboles des jetons, qui peuvent être copiés. Si une promotion est suffisamment importante pour justifier un investissement financier, il est essentiel de la vérifier auprès de plusieurs sources officielles indépendantes.

Si vous avez déjà effectué une connexion, signé, approuvé ou envoyé des fonds

Votre réponse doit dépendre des circonstances exactes. Consulter une page est différent de saisir une phrase de récupération, d'accorder une autorisation ou d'envoyer des ressources.

Si vous avez connecté un portefeuille mais n'avez rien signé ni approuvé

Si vous n'avez plus confiance en ce site, déconnectez-le de votre portefeuille, fermez-le et vérifiez si une transaction distincte a été effectuée. La simple connexion ne signifie généralement pas que vous êtes autorisé à dépenser des jetons ; il est donc conseillé de vérifier l'activité de votre portefeuille plutôt que de supposer qu'aucune opération n'a eu lieu.

Si vous avez accordé une approbation de jeton suspecte

Examinez et révoquez l'autorisation concernée à l'aide d'une méthode prise en charge par votre portefeuille ou réseau. Le guide officiel de MetaMask explique la différence entre la déconnexion d'une application décentralisée et la révocation d'une autorisation de contrat intelligent ; la déconnexion du site n'annule pas nécessairement l'approbation d'un jeton sur la blockchain. Consultez le guide relatif à la révocation des autorisations de contrats intelligents et des approbations de jetons .

Si des actifs importants restent menacés, envisagez de transférer les actifs non affectés vers un nouveau portefeuille dont la phrase de récupération et les clés privées n'ont jamais été divulguées. Ne réutilisez pas une phrase de récupération qui pourrait avoir été compromise.

Si vous avez divulgué une phrase de récupération ou une clé privée

Considérez ce portefeuille comme compromis. Une phrase de récupération ne peut être rendue secrète une fois qu'elle a été obtenue par un tiers. Créez un nouveau portefeuille à l'aide d'un logiciel ou d'un matériel de confiance et transférez vos fonds restants dès que possible. Ne vous fiez pas à la modification du mot de passe de votre portefeuille ; un mot de passe local ne rend pas invalide une phrase de récupération ou une clé privée volée.

Si vous avez envoyé des cryptomonnaies à un escroc

Agissez rapidement et conservez les hachages de transaction, les adresses des destinataires, les captures d'écran, les messages, les noms d'utilisateur, les sites web et les horodatages. Contactez la plateforme d'échange, le fournisseur de portefeuille ou le service concerné, le cas échéant. La FTC conseille aux victimes de contacter l'entreprise de cryptomonnaie impliquée et de signaler la transaction comme frauduleuse, même si les transferts de cryptomonnaie sont souvent difficiles, voire impossibles, à annuler.

Aux États-Unis, le FBI demande aux victimes d'escroqueries aux cryptomonnaies de signaler les détails des transactions pertinentes au Centre de signalement des crimes sur Internet (IC3). Ses recommandations insistent sur les adresses des portefeuilles, les montants, les dates et les identifiants de transaction, et mettent également en garde contre les escroqueries de « récupération » qui suivent. Consultez les recommandations du FBI concernant le signalement des escroqueries aux cryptomonnaies via l'IC3 .

Comment évaluer l'efficacité de votre processus de sécurité ?

L’objectif n’est pas de cliquer plus rapidement sur les invites de paiement, mais de prendre moins de décisions sous l’effet de l’urgence, de l’image de marque ou de la preuve sociale. Votre processus fonctionne lorsque vous pouvez systématiquement répondre à ces questions avant d’entreprendre une action irréversible :

• Où ai-je vérifié de manière indépendante l'existence de ce largage aérien ou de cette distribution gratuite ?
• Suis-je sur le domaine officiel exact ?
• Qu’autorisera cette signature ou cette transaction ?
• De quel jeton, contrat, dépensier et montant s'agit-il ?
• Pourquoi cette autorisation est-elle nécessaire pour la revendication énoncée ?
• Quel est le montant maximal que je pourrais perdre si mon hypothèse est fausse ?

Si vous ne pouvez pas répondre à ces questions, changez de stratégie : arrêtez-vous, vérifiez auprès de sources officielles, réduisez le montant exposé ou renoncez complètement à la demande. Rater un airdrop représente généralement un coût d'opportunité limité. Signer une approbation malveillante ou divulguer une phrase de récupération peut entraîner des risques bien plus importants.

Limites de toute liste de contrôle anti-escroquerie

Aucune liste de contrôle ne peut garantir la sécurité d'un contrat intelligent, d'un site web ou d'un projet. Des sites légitimes peuvent être compromis, des comptes de réseaux sociaux officiels piratés, des interfaces de portefeuilles électroniques modifiées, et certaines transactions malveillantes sont difficiles à interpréter pour les non-spécialistes. Les alertes de sécurité sont des signaux utiles, mais ne remplacent pas la compréhension de l'action que vous autorisez.

Pour les transactions inhabituelles ou de valeur élevée, il est conseillé d'attendre une confirmation indépendante de l'équipe officielle du projet et de la communauté de sécurité, d'utiliser un portefeuille distinct avec des fonds limités, ou de faire examiner la transaction par un expert technique avant de signer. La meilleure habitude à prendre est simple : considérez chaque signature de portefeuille comme une autorisation, et non comme une simple formalité pour obtenir une récompense.