Jeton inconnu dans votre wallet : spam, dusting ou arnaque ?
Un jeton que vous n’avez jamais acheté est apparu dans votre wallet, parfois avec une valeur alléchante ou une adresse de site dans son nom. Il ne peut rien vous prendre tant que vous n’y touchez pas. Voici ce qu’il cherche à obtenir, et comment le reconnaître.
Un jeton inconnu dans votre wallet, c’est banal sur Ethereum, Base ou Solana : connaître votre adresse suffit pour vous envoyer n’importe quoi. Chez moi, 23 de mes 46 positions on-chain sont des jetons que je n’ai jamais demandés, reçus sur six wallets en un an et demi. Je n’en ai jamais rien fait, et c’était la bonne réponse.
Pourquoi on reçoit des jetons qu’on n’a pas demandés
Créer un jeton et l’envoyer à des milliers d’adresses coûte peu, surtout sur un réseau bon marché comme Base. L’expéditeur arrose les adresses actives et attend que quelques-unes mordent. Voici les miens :
| Ce que j’ai reçu | Combien | Ce que ça cherche |
|---|---|---|
Un faux SHIB et un faux DOGE, sur Ethereum | 1 et 2 unités | se faire passer pour la vraie monnaie, et son cours avec |
REKT, KING, WAR, BEAR | 1 unité chacun | attirer la curiosité |
Un jeton nommé T.ME/S/US_POOL, sur Base | 750 unités | vous envoyer sur un groupe Telegram |
KPER, PF, NOODLE | de 162 à 2 400 unités | faire croire à un airdrop qui vaut quelque chose |
Le nom est le message : il vous donne rendez-vous sur un site ou dans un groupe. Le piège est là-bas, jamais dans le jeton.
Spam, dusting ou empoisonnement d’adresse : trois pièges différents
Le mot « dusting » recouvre en fait trois techniques, qui ne visent pas la même chose.
Le jeton spam, ou faux airdrop
C’est la grande majorité. Le nom du jeton promet une récompense, ou affiche une adresse web. Le site vous demande de connecter votre wallet et de signer pour « débloquer » le jeton. Cette signature donne à un contrat le droit de dépenser vos vrais jetons, ou les transfère tout de suite. Ethereum.org décrit ce scénario en toutes lettres.
Le dusting, sur Bitcoin surtout
Quelques satoshis sans valeur (dust, la poussière), envoyés pour vous suivre. Si vous les dépensez avec vos autres bitcoins, la transaction relie vos adresses : l’expéditeur sait qu’elles sont à la même personne. Cette poussière est du vrai bitcoin. Gelez-la si votre portefeuille le permet (le coin control), sinon ne la dépensez pas avec le reste.
L’empoisonnement d’adresse
Le plus vicieux des trois. L’escroc fabrique une adresse qui commence et finit comme celle d’un de vos destinataires habituels. Depuis celle-ci, il vous envoie une transaction de montant nul, qui s’affiche dans votre historique à côté de la vraie. Le jour où vous copiez « la dernière adresse utilisée », vous copiez la sienne.
La transaction peut aussi porter une poussière d’un vrai jeton. Chez moi, sept adresses sosies m’ont envoyé entre 0,00001 et 0,0004 USDC, ou un millionième de SOL, de deux secondes à six semaines après le mouvement qu’elles imitaient.
MetaMask documente cette technique (en anglais). La parade : copier une adresse depuis le carnet d’adresses, jamais depuis l’historique. Sur mon wallet Arbitrum, plusieurs faux USDC jouent le même rôle, certains écrits avec un S et un C cyrilliques.
Ce qu’il ne faut surtout pas faire
Un jeton posé dans votre wallet est inerte. Le danger vient toujours d’un geste de votre part :
- ne l’échangez pas, ni sur le site qu’il indique ni sur une plateforme connue : l’échange exécute le code de son contrat, écrit par l’escroc ;
- ne l’approuvez pas, et ne signez rien sur un site qui prétend le « débloquer » ou le « réclamer » ;
- ne visitez pas l’adresse écrite dans son nom, ni le groupe Telegram qu’il cite ;
- ne l’envoyez pas ailleurs pour « faire le ménage » : vous payez des frais et exécutez encore son contrat ;
- ne copiez jamais une adresse depuis votre historique ;
- ne donnez jamais votre phrase de récupération, à personne, pour aucune raison.
Ce qu’il faut faire : rien. La plupart des portefeuilles (MetaMask, Phantom, Rabby…) permettent de masquer un jeton, sans transaction ni frais.
Et si c’était un vrai airdrop ?
Il en existe. Mais un vrai airdrop se reconnaît à ce qui l’entoure, pas au jeton reçu :
| Un vrai airdrop | Un faux |
|---|---|
| Annoncé sur le site officiel du projet, que vous trouvez vous-même | Annoncé par le jeton, dans son nom ou sur le site qu’il cite |
| Son contrat est celui que publient le projet et un site de cours comme CoinGecko | Contrat inconnu, ou nom d’une monnaie célèbre sans son contrat |
| Vous savez pourquoi vous le recevez (vous avez utilisé le protocole) | Il tombe sans raison |
| Ne demande jamais votre phrase de récupération | Finit toujours par une signature ou une saisie |
Quant aux milliers de dollars parfois affichés, le créateur n’a qu’à alimenter un minuscule marché à un prix absurde. Ces dollars ne sont pas vendables : la seule « vente » proposée passe par le site piégé.
Pourquoi les tableaux et les applications de suivi s’y trompent
Un tableur ou une application qui reprend les soldes de la blockchain compte ces jetons comme le reste. Chez moi, une ligne sur deux était du bruit. Et un tableau qui additionne par symbole donne à mon faux DOGE le cours du vrai Dogecoin, et à un faux USDC un dollar par unité. Sur un faux stablecoin de quelques milliers d’unités, votre total est faux d’autant.
Le nom ne suffit pas à les trier : un faux SHIB ne se repère pas à l’œil, et une liste de mots interdits se contourne. Enfin, un vrai airdrop pas encore touché ressemble trait pour trait à un jeton poussé.
Ce que fait Crypto Master à la place
Crypto Master juge un jeton sur ce que vous en avez fait, pas sur son nom. Un jeton reçu, inconnu du catalogue de cours par son contrat, jamais échangé, approuvé ni envoyé, est présumé non sollicité.
Il est grisé, hors de tout total, et masqué par une case cochée d’office qui dit combien elle en retient : 21 symboles chez moi. Votre décision l’emporte dans les deux sens, et la présomption tombe si vous échangez le jeton. Les imitations d’une monnaie du même wallet, comme mes faux USDC, sont écartées dès l’import.
Les adresses sosies sont signalées elles aussi. Leur poussière porte un badge « sosie ? », et la page du wallet place l’adresse authentique et la fausse l’une sous l’autre, le milieu souligné, là où elles diffèrent. Les NFT poussés sont jugés de la même façon, listés à part sur la page du wallet et hors de tout total.
Crypto Master lit vos wallets par leur adresse publique et ne signe rien. Voyez comment suivre son Ledger par son adresse publique ou sa xpub, et ce que nous gardons, et ce que nous ne demandons jamais. Dans la démo, décochez la case : trois jetons poussés reviennent. L’offre gratuite couvre 3 comptes connectés et 500 transactions.
Questions fréquentes
Pourquoi j’ai des jetons inconnus dans mon wallet ?
N’importe qui peut envoyer un jeton à n’importe quelle adresse, sans votre accord. Des escrocs en arrosent des milliers d’adresses pour pousser quelques destinataires à signer.
Un jeton spam peut-il vider mon wallet ?
Pas tant qu’il reste où il est. C’est la signature qu’il vous pousse à faire, pour le « réclamer », qui donne accès à vos vrais fonds.
Faut-il vendre ou supprimer un jeton reçu par erreur ?
Non : cela exécute son contrat et coûte des frais. Masquez-le dans votre portefeuille, sans transaction.
Qu’est-ce qu’une dusting attack ?
L’envoi de quantités infimes, surtout de bitcoin, pour relier vos adresses le jour où vous les dépensez avec le reste. Ne dépensez pas cette poussière, ou gelez-la.
Comment reconnaître un vrai airdrop ?
Il est annoncé sur le site officiel du projet, et son contrat est celui que le projet publie. Un airdrop qui s’annonce dans le nom du jeton est un faux.
Le jeton affiche une valeur de plusieurs milliers de dollars : est-ce réel ?
Presque jamais : son créateur peut afficher n’importe quel prix en alimentant un marché minuscule.
Voyez trois jetons poussés grisés et tenus hors du total, sur un portefeuille fictif et sans créer de compte.
Ouvrir la démo
