Prise de contrôle de compte crypto : comment s'en protéger

La fraude par prise de contrôle de compte (account takeover) se produit lorsqu'un criminel prend le contrôle d'un compte existant appartenant à quelqu'un d'autre, comme un accès à une plateforme d'échange crypto, une boîte e-mail ou un compte bancaire, et l'utilise pour voler de l'argent ou des données. En crypto, elle fait des dégâts particuliers, car une fois les jetons retirés vers une adresse externe, il n'existe généralement ni rétrofacturation ni moyen simple d'annuler le transfert.

Ce guide explique comment se produisent les prises de contrôle de compte, pourquoi les comptes crypto sont une cible privilégiée, ce que les utilisateurs peuvent faire pour verrouiller leurs comptes et comment les plateformes détectent et bloquent ces attaques. Il s'adresse aux utilisateurs ordinaires comme aux équipes fraude et conformité qui les protègent.

Qu'est-ce que la fraude par prise de contrôle de compte

Le FBI décrit la fraude par prise de contrôle de compte (ATO) comme l'accès non autorisé de criminels au compte en ligne d'une cible auprès d'un établissement financier, d'un service de paie ou d'un compte épargne santé, « dans le but de voler de l'argent ou des informations à des fins personnelles ». Dans un avis au public daté du 25 novembre 2025, il indiquait que l'Internet Crime Complaint Center (IC3) avait reçu plus de 5 100 plaintes pour ATO depuis janvier 2025, pour des pertes supérieures à 262 millions de dollars (FBI IC3, I-112525-PSA).

Deux détails de cet avis comptent pour les utilisateurs de crypto. D'abord, le FBI précise que les fonds volés sont souvent virés vers des comptes contrôlés par les criminels, « dont beaucoup sont liés à des portefeuilles de cryptomonnaies », si bien qu'ils sont rapidement dispersés et difficiles à tracer et à récupérer. Ensuite, dans presque tous les cas d'ingénierie sociale, les criminels ont changé le mot de passe du compte et en ont bloqué l'accès au titulaire.

L'ATO diffère de la fraude à l'ouverture de compte. Dans la fraude à l'identité synthétique, les criminels ouvrent de nouveaux comptes avec de fausses identités. Dans l'ATO, ils détournent un compte qui appartient déjà à un client réel et vérifié, et c'est précisément ce qui en fait la valeur : le compte a passé le KYC, possède un historique et contient souvent des fonds.

Comment les attaquants prennent le contrôle des comptes

La plupart des prises de contrôle reposent sur une poignée de techniques, souvent combinées :

Credential stuffing. L'OWASP le définit comme « l'injection automatisée de paires identifiant/mot de passe volées » dans des formulaires de connexion. Comme beaucoup de personnes réutilisent leurs mots de passe, des identifiants divulgués lors d'une fuite ouvrent des comptes ailleurs. L'OWASP y voit l'une des techniques les plus courantes de prise de contrôle de compte (OWASP).
Faux support et hameçonnage. Le FBI décrit des criminels se faisant passer pour des employés de banque, le service client ou le support technique afin de convaincre les victimes de leur communiquer identifiants et codes à usage unique, puis de réinitialiser eux-mêmes le mot de passe. Il signale aussi le « SEO poisoning » : des annonces payantes dans les moteurs de recherche menant à de fausses pages de connexion convaincantes.
SIM swap. Un criminel persuade un opérateur mobile de transférer le numéro de la victime sur une carte SIM qu'il contrôle, puis reçoit les codes SMS et les messages de réinitialisation de mot de passe. Notre guide sur les attaques par SIM swap détaille cette méthode.
Détournement de session. Au lieu du mot de passe, l'attaquant vole une session déjà connectée, par exemple via un logiciel malveillant sur l'ordinateur de la victime, et l'utilise pour agir comme l'utilisateur sans repasser par l'étape de connexion.
Données clients divulguées utilisées pour des arnaques ciblées. Des données volées à une entreprise peuvent rendre un faux appel du support bien plus convaincant.

Cette dernière voie n'est pas théorique. Dans un document daté du 15 mai 2025, Coinbase a révélé qu'un acteur malveillant avait payé des sous-traitants ou des employés occupant des fonctions de support hors des États-Unis pour collecter des données clients dans des systèmes internes, puis avait exigé de l'argent pour ne pas les publier. Coinbase a indiqué qu'aucun mot de passe ni aucune clé privée n'avait été compromis, a refusé la demande de 20 millions de dollars et a estimé les coûts de remédiation et les remboursements volontaires entre environ 180 et 400 millions de dollars (Formulaire 8-K de Coinbase). Son blog en expliquait le but : une liste de clients que les criminels pourraient appeler « en se faisant passer pour Coinbase », afin de les pousser à céder leurs cryptos (Coinbase).

Pourquoi les comptes crypto sont une cible de choix

Prendre le contrôle d'un compte sur une plateforme d'échange crypto est attrayant pour trois raisons :

Rapidité et irréversibilité. Un retrait vers une adresse externe est réglé en quelques minutes, et aucun réseau de cartes ne peut l'annuler.
Identité vérifiée. Le compte a déjà passé le KYC, de sorte qu'un criminel peut l'utiliser pour déplacer ou blanchir des fonds sans fournir ses propres documents. Cela recoupe l'activité de mule financière.
Accès liés. Les comptes de plateforme sont souvent reliés à des comptes bancaires, des cartes et des clés API, ce qui élargit ce que l'attaquant peut atteindre.

Les portefeuilles en auto-conservation n'ont pas de compte à détourner, mais ils font face à la même ingénierie sociale visant un autre butin : la phrase de récupération ou une signature malveillante. Voir les wallet drainers et l'hameçonnage par approbation.

Signes que votre compte est ciblé

Des alertes de connexion ou des e-mails de réinitialisation de mot de passe que vous n'avez pas demandés.
Des appels ou SMS inattendus du « support » au sujet d'une activité suspecte, surtout s'ils vous demandent un code, un mot de passe ou de transférer vos fonds vers un portefeuille « sécurisé ».
La perte soudaine de réseau sur votre téléphone, qui peut signaler un SIM swap en cours.
De nouvelles adresses de retrait, clés API ou appareils sur votre compte que vous n'avez pas ajoutés.
Des modifications de votre compte e-mail, comme des règles de transfert que vous n'avez pas créées.

L'avertissement publié par Coinbase après l'incident de 2025 est une bonne règle pour toute plateforme : elle « ne vous demandera jamais votre mot de passe, vos codes 2FA, ni de transférer des actifs vers une adresse spécifique ou nouvelle ».

Comment protéger votre compte

Le progrès le plus important consiste à passer de codes saisis à la main à une connexion résistante à l'hameçonnage :

Utilisez des passkeys ou une clé de sécurité matérielle lorsqu'elles sont proposées. La CISA qualifie la MFA résistante à l'hameçonnage, comme FIDO/WebAuthn, de « référence absolue » et note que les autres formes de MFA peuvent être contournées par hameçonnage, push bombing ou SIM swap (fiche de la CISA). Les lignes directrices d'authentification mises à jour du NIST, finalisées en juillet 2025, précisent que les authentificateurs à code à usage unique et hors bande ne résistent pas à l'hameçonnage, car un code saisi sur un faux site peut être relayé vers le vrai (NIST SP 800-63B-4).
Si vous devez utiliser des codes, préférez une application d'authentification aux SMS. Le NIST classe les codes par SMS et par appel vocal comme authentificateurs « restreints ».
Utilisez un mot de passe long et unique pour chaque plateforme et pour votre e-mail. Le FBI recommande des mots de passe uniques et aléatoires d'au moins 16 caractères (FBI IC3, avril 2024). Un gestionnaire de mots de passe rend cela praticable.
Activez la liste blanche des adresses de retrait et tout délai que la plateforme propose pour les nouvelles adresses. Un voleur qui parvient à se connecter ne peut alors pas envoyer directement les fonds vers son propre portefeuille.
Enregistrez les pages de connexion en favoris. Le FBI déconseille d'accéder aux pages de connexion via les résultats de recherche ou les annonces, en avertissant que « la MFA ne vous protégera pas si vous arrivez sur une page de connexion frauduleuse ».
Raccrochez et rappelez. Si quelqu'un prétend appeler de la part de votre plateforme, mettez fin à l'appel et contactez l'entreprise via son application ou son site officiel.

Dans la mesure du possible, conservez vos avoirs de long terme dans un portefeuille que vous contrôlez plutôt que sur une plateforme d'échange. Les applications de JewelSwap, par exemple, sont non custodiales : vous connectez votre propre portefeuille au lieu de créer un compte JewelSwap, la sécurité dépend donc de la manière dont vous protégez ce portefeuille. Notre guide de l'auto-conservation présente les bases.

Comment les plateformes détectent et bloquent les prises de contrôle

Pour les plateformes, l'objectif est de rendre un mot de passe volé inutile et d'ajouter de la friction précisément là où l'argent sort. Les contrôles courants comprennent :

Liaison à l'appareil et signaux de risque. Une connexion depuis un nouvel appareil, un nouveau pays et une nouvelle adresse IP, suivie d'une réinitialisation du mot de passe et d'une nouvelle adresse de retrait, est une séquence classique de prise de contrôle. Chaque étape isolée est banale ; ensemble, elles justifient un blocage ou un examen.
Limitation de débit et détection des bots sur les points de connexion et de réinitialisation, contre le credential stuffing.
Périodes de carence après des modifications de sécurité, comme un nouvel e-mail, un nouveau numéro de téléphone, une nouvelle méthode 2FA ou une nouvelle adresse de retrait.
Prise en compte des changements de SIM. Le NIST indique que les services qui envoient encore des codes par SMS devraient tenir compte d'indicateurs de risque comme un changement d'appareil, un changement de SIM ou une portabilité du numéro avant de s'y fier.
Re-vérification renforcée. Pour les actions à haut risque, demander au client de prouver qu'il est la même personne que celle qui a ouvert le compte, généralement avec un selfie en direct comparé au dossier KYC initial. Après son incident de 2025, Coinbase a indiqué que les comptes signalés devraient passer des contrôles d'identité supplémentaires pour les retraits importants.

Les contrôles renforcés ne fonctionnent que s'ils ne peuvent pas être trompés par une photo ou une vidéo rejouée, d'où l'importance de la détection du vivant. Des prestataires d'identité comme iDenfy proposent une correspondance faciale avec détection du vivant que les plateformes peuvent déclencher à ces moments-là, et pas seulement à l'inscription.

En coulisses, la surveillance des transactions aide à repérer un compte détourné utilisé pour faire transiter l'argent d'autrui, et une prise de contrôle confirmée servant à blanchir des fonds peut nécessiter une déclaration d'activité suspecte.

Que faire si votre compte est piraté

L'avis du FBI de novembre 2025 fixe l'ordre des opérations :

Contactez immédiatement la plateforme et demandez-lui de geler le compte et de rappeler ou d'annuler tout ce qui peut l'être.
Réinitialisez ou révoquez les identifiants compromis, y compris sur tout autre site où vous utilisiez le même mot de passe. Sur une plateforme d'échange, révoquez aussi les clés API et supprimez les adresses de retrait et appareils inconnus.
Déposez une plainte sur ic3.gov avec le plus de détails possible, en incluant les mots « Account Takeover » dans la description, si vous êtes aux États-Unis.
Informez l'entreprise usurpée de la manière dont vous avez été ciblé afin qu'elle puisse prévenir d'autres personnes.

Sécurisez ensuite votre compte e-mail et votre compte auprès de votre opérateur mobile, car ce sont les clés qui permettent de réinitialiser tout le reste. Méfiez-vous de toute personne qui vous contacte en proposant de récupérer vos cryptos contre rémunération. C'est une arnaque de suivi courante, présentée dans notre guide sur les arnaques à la récupération de crypto.

Questions fréquentes

Qu'est-ce que la fraude par prise de contrôle de compte ?

C'est lorsqu'un criminel prend le contrôle d'un compte en ligne existant appartenant à quelqu'un d'autre, comme un compte sur une plateforme crypto, une messagerie ou un compte bancaire, et l'utilise pour voler de l'argent ou des informations. Le FBI a enregistré plus de 5 100 plaintes et plus de 262 millions de dollars de pertes de janvier à fin novembre 2025.

Comment les criminels prennent-ils le contrôle des comptes sur les plateformes crypto ?

Principalement grâce à des mots de passe réutilisés testés automatiquement sur les pages de connexion (credential stuffing), à l'hameçonnage et aux faux appels du support qui récupèrent mots de passe et codes à usage unique, aux SIM swaps qui détournent les codes SMS, et aux logiciels malveillants qui volent des sessions connectées.

L'authentification à deux facteurs empêche-t-elle la prise de contrôle de compte ?

Elle aide, mais pas tous les types de la même manière. Les codes envoyés par SMS ou saisis depuis une application peuvent être hameçonnés ou interceptés. Les passkeys et les clés de sécurité matérielles basées sur FIDO/WebAuthn résistent à l'hameçonnage, ce que la CISA qualifie de référence absolue.

Puis-je récupérer mes cryptos après une prise de contrôle de compte ?

Parfois, si vous agissez vite et que les fonds n'ont pas quitté la plateforme. Contactez immédiatement la plateforme et signalez les faits au FBI sur ic3.gov si vous êtes aux États-Unis. Une fois les jetons retirés vers une adresse externe, la récupération est difficile, et toute personne promettant une récupération garantie contre rémunération est probablement un escroc.

Pourquoi ma plateforme demande-t-elle un selfie avant un retrait ?

C'est un contrôle renforcé. Comparer un selfie en direct au visage de votre KYC initial confirme que la personne qui déplace les fonds est le titulaire du compte, ce qui arrête un criminel qui n'a volé que votre mot de passe ou vos codes.

Viktor Vostrikov

Co-Founder

About the author.

Co-Founder at JewelSwap & Chief Strategy Officer at iDenfy. Viktor brings his successful track record of superb development & project management.