MetaMask en alerte : une attaque de phishing sophistiquée utilise de fausses notifications 2FA pour piéger les utilisateurs
Les portefeuilles auto-custodiaux viennent de subir une escalade dans la guerre des menaces. Une nouvelle campagne de phishing cible spécifiquement les détenteurs de MetaMask avec un stratagème diaboliquement simple : des alertes 2FA factices qui semblent légitimes.
Le mécanisme de l'attaque
L'arnaque ne repose pas sur un bug technique mais sur l'ingénierie sociale. Les utilisateurs reçoivent des notifications push ou des pop-ups imitant parfaitement les demandes d'authentification à deux facteurs de services connus. En cliquant pour « confirmer » ou « annuler » la connexion supposée, ils sont redirigés vers une page malveillante qui siphonne les phrases de récupération de leur portefeuille.
Pourquoi ça fonctionne
La force de cette attaque réside dans son timing et son réalisme. Elle exploite la paranoïa légitime des utilisateurs face aux tentatives de connexion non autorisées. Dans la précipitation à sécuriser leur compte, beaucoup valident l'alerte sans vérifier sa provenance réelle. Une faille dans le réflexe de sécurité humain, pas dans le code.
Se protéger contre cette menace
MetaMask lui-même n'envoie jamais de notifications 2FA. Toute alerte de ce type est une arnaque, point final. Ne cliquez jamais sur un lien dans une notification inattendue. Accédez toujours à vos services directement via vos signets ou en tapant l'URL manuellement. Activez les fonctionnalités de sécurité avancées comme les listes blanches de contrats si disponibles.
Le côté obscur de la décentralisation
Cet incident rappelle une vérité fondamentale, souvent éclipsée par les discours sur la souveraineté financière : avec une grande liberté vient une grande responsabilité, et un risque personnel total. Dans la finance traditionnelle, une fraude peut parfois déclencher un remboursement par la FSA. Dans le Web3, votre portefeuille est un coffre-fort dont vous êtes le seul gardien – et parfois la seule cible. Une leçon coûteuse en sécurité, bien plus efficace qu'un whitepaper sur la self-custody.
Nouvelle arnaque de phishing sur MetaMask
Le CSO de la société de sécurité blockchain SlowMist a tiré la sonnette d’alarme quant à cette arnaque dans un récent post sur X (Twitter). Cette opération de phishing utilise plusieurs couches de tromperie pour compromettre les wallets des utilisateurs.
Les victimes reçoivent des courriels qui semblent provenir du support MetaMask, annonçant un requis obligatoire de double authentification. Ces courriels utilisent une identité visuelle professionnelle, intégrant le logo du renard MetaMask et la palette de couleurs de la marque.
Le post a révélé que les attaquants emploient des domaines presque identiques au domaine officiel. Dans le cas recensés, le faux domaine ne différait que d’une seule lettre, ce qui le rend difficile à repérer au premier coup d’œil.
Une fois arrivés sur le site de phishing, les utilisateurs sont guidés dans ce qui semble être un processus de sécurité légitime. À la dernière étape, les victimes sont invitées à saisir leur phrase de récupération, sous prétexte de finaliser une « vérification de sécurité 2FA ».
C’est là le moment clé de l’arnaque. La phrase de récupération d’un wallet (aussi appelée recovery phrase ou phrase mnémonique) constitue la clé maîtresse du wallet. Toute personne y ayant accès peut alors :
- Transférer des fonds à l’insu ou sans l’approbation du propriétaire d’origine
- Recréer le wallet sur un autre appareil
- Obtenir un contrôle total sur toutes les clés privées associées
- Signer et exécuter des transactions de façon autonome
Une fois que quelqu’un met la main sur une phrase de récupération, il peut accéder au wallet sans avoir besoin de mot de passe, de double authentification ni d’approbation de l’appareil. C’est pourquoi les fournisseurs de wallets rappellent constamment aux utilisateurs de ne jamais, en aucune circonstance, partager leur phrase de récupération.
Bien que la double authentification soit conçue pour protéger les utilisateurs, les attaquants exploitent sa réputation afin de les tromper. Cette tactique psychologique, associée à des astuces techniques et au sentiment d’urgence, demeure une menace redoutable.
L’arnaque a lieu dans un contexte de ralentissement généralisé des pertes liées au phishing. En effet, les données indiquent que les pertes dues au phishing crypto ont fortement baissé en 2025, diminuant d’environ 83 % pour s’établir autour de 84 millions de dollars, contre près de 494 millions l’année précédente.
« Les pertes liées au phishing ont suivi de près l’activité du marché. Le troisième trimestre a vu à la fois le plus fort rallye eth et les pertes de phishing les plus élevées (31 millions $). Lorsque les marchés sont actifs, l’activité globale des utilisateurs augmente, et une part tombe dans le piège – le phishing opère donc comme une fonction de probabilité de l’activité utilisateur », peut-on lire dans le rapport de Scam Sniffer.
Alors que l’activité des marchés montre des premiers signes de reprise début 2026, notamment avec le retour des rallyes meme coin et des signaux de participation accrue des investisseurs particuliers, les attaquants refont également surface. Par conséquent, une sensibilisation accrue aux méthodes de phishing et une manipulation prudente des identifiants wallet demeurent essentielles.
