Arnaque crypto : 20 000 victimes dans trois pays
12 millions de dollars gelés.

L’opération s’est tenue pendant une semaine, fin mars 2026, au siège londonien de la National Crime Agency. Elle a été co-organisée par quatre institutions : la NCA britannique, les services secrets américains, la Police provinciale de l’Ontario et la Commission des valeurs mobilières de l’Ontario. La City of London Police et la Financial Conduct Authority ont rejoint l’action, aux côtés d’autres services étrangers.

Le format retenu est celui du sprint : un temps court, des équipes rassemblées physiquement, un partage de renseignement en temps réel. Des sociétés privées d’analyse blockchain, dont TRM Labs et Chainalysis, ont travaillé aux côtés des enquêteurs pour tracer les flux pendant que les fonds étaient encore récupérables. Cette configuration explique le nombre de gels obtenus en si peu de jours.

Miles Bonfield, directeur adjoint des enquêtes de la NCA, présente l’opération comme une démonstration de ce que permet le travail conjoint entre agences internationales et acteurs privés. Il évoque des milliers de victimes protégées au Royaume-Uni et à l’étranger. Une technique qui s’appuie sur des fragilités structurelles bien identifiées, dans un secteur où les vulnérabilités de l’écosystème crypto font déjà l’objet de travaux prospectifs.

L’approval phishing n’exploite aucune faille logicielle. Il détourne une fonction parfaitement légitime des contrats intelligents : l’autorisation de dépense. Pour qu’une application décentralisée puisse échanger des jetons pour le compte d’un utilisateur, celui-ci doit d’abord signer une transaction qui accorde à un contrat le droit de manipuler ces jetons.

Cette autorisation est souvent accordée sans plafond et sans date d’expiration. Une fois signée, elle reste active tant qu’elle n’est pas révoquée manuellement. L’escroc n’a plus besoin ni du mot de passe, ni de la phrase de récupération, ni d’une nouvelle validation : il déclenche le transfert au moment de son choix, parfois des semaines après la signature.

C’est ce décalage qui rend la fraude si difficile à repérer. La victime signe une opération qui semble anodine, ne constate aucune perte immédiate, et découvre son portefeuille vidé bien plus tard. Le levier reste psychologique avant d’être technique, exactement comme dans les campagnes de courriels malveillants analysées par Barracuda Networks.

Les réseaux visés par l’opération Atlantic suivaient un déroulé stable. Les analystes de Chainalysis soulignent que la manipulation commence longtemps avant la moindre transaction, parfois plusieurs semaines ou plusieurs mois en amont.

1. Premier contact

Le contact arrive par un réseau social, une messagerie ou une publicité ciblée. L’escroc se présente en mentor financier ou noue une relation sentimentale. Le sujet de l’investissement n’est abordé qu’après.

2. Construction de la confiance

Faux relevés, captures de gains, témoignages fabriqués. Un premier retrait de faible montant est parfois autorisé, justement pour lever les doutes. Cette étape peut durer des mois avant la demande décisive.

Le 17 juin 2026, Chainalysis a publié une étude consacrée à ce type de fraude. Les données confirmées à la lecture de la chaîne font état d’au moins 14 milliards de dollars encaissés par des adresses d’escroquerie sur l’année 2025. L’entreprise projette jusqu’à 17 milliards à mesure que de nouvelles adresses seront attribuées : cette seconde valeur est une estimation, pas un montant constaté.

Deux tendances ressortent. Le paiement moyen envoyé à une adresse frauduleuse a progressé de 253 % sur un an, pour atteindre environ 2 764 dollars. Et les opérations recourant à l’intelligence artificielle se révèlent 4,5 fois plus rentables que les autres, les usurpations d’identité ayant augmenté de plus de 1 400 %.

L’angle d’attaque des enquêteurs tient à une faiblesse des fraudeurs : la réutilisation. Mêmes portefeuilles, mêmes contrats bénéficiaires, mêmes circuits d’encaissement d’une victime à l’autre. Une piste isolée en révèle souvent des dizaines. L’opération Spincaster, menée en 2024 sur le même principe, avait traité plus de 7 000 pistes d’enquête et permis de traiter environ 162 millions de dollars de pertes.

La cause première de cette fraude est un problème d’affichage. Au moment de valider, la plupart des portefeuilles présentent une suite hexadécimale que personne ne peut interpréter. L’utilisateur approuve ce que l’interface lui raconte, pas ce que la transaction exécute.

Le 12 mai 2026, la Fondation Ethereum a lancé Clear Signing, un standard ouvert destiné à remplacer ces données brutes par une description en langage clair. L’ensemble repose sur trois composants : la norme ERC-7730, un format décrivant les fonctions d’un contrat en texte lisible ; un registre public de ces descriptions ; et la norme ERC-8176, qui permet à des auditeurs d’attester cryptographiquement de leur exactitude.

Le standard vient de Ledger, qui l’avait formalisé en 2024 avant d’en transférer la gouvernance à la Fondation Ethereum pour en garantir la neutralité. Le déploiement progresse : le nombre de descriptions publiées a augmenté d’environ 28 % entre mai et fin juillet 2026, et Trezor a activé la fonction sur ses appareils le 8 septembre 2026.

La vigilance porte sur un moment précis : celui de la signature. Tout le reste en découle.

• Lire ce que l’on signe. Une demande d’autorisation illimitée sur un jeton n’a rien d’une simple connexion. Un portefeuille compatible avec l’affichage lisible réduit fortement le risque.
• Révoquer les autorisations anciennes. Les explorateurs de blockchain permettent de lister les contrats autorisés sur une adresse et d’annuler ceux qui ne servent plus.
• Séparer les usages. Un portefeuille dédié aux interactions avec des applications, contenant peu de fonds, protège le portefeuille principal.
• Se méfier des rendements garantis. Aucun placement légitime ne promet un gain élevé sans risque, et aucun ne réclame un accès à vos fonds.
• Vérifier l’autorisation du prestataire auprès de l’AMF avant tout versement, plutôt qu’après.
• Utiliser un portefeuille physique pour la conservation longue durée, en gardant à l’esprit qu’il ne protège pas d’une autorisation signée volontairement.