Airdrops crypto en 2026 : reconnaître les faux sites et protéger son wallet

Réclamez un airdrop seulement depuis son site officiel vérifié et avec un wallet séparé, sans fonds importants. Refusez toute demande de phrase de récupération, de clé privée, de paiement préalable ou de signature dont vous ne comprenez pas les détails.

Ne partez pas d’un lien reçu en message privé, d’une publicité ou d’une réponse sur X, Telegram ou Discord. Retrouvez l’annonce depuis le site, la documentation ou les comptes que le projet référençait déjà avant la campagne, puis contrôlez le domaine caractère par caractère.

Repérer un faux site de claim

Les fraudeurs copient l’identité visuelle de protocoles et créent de l’urgence avec une date limite, une allocation « surprise » ou un gain garanti. Une interface soignée, un badge de vérification ou de nombreuses réponses ne prouvent pas qu’un lien est sûr : un compte peut être compromis et une annonce sponsorisée peut mener vers un mauvais domaine.

URL inhabituelle : faute discrète, mot ajouté, extension différente ou domaine qui ne correspond pas à la documentation.
Demande de seed phrase ou de clé privée : c’est une fraude. Un airdrop, un support légitime ou un wallet sérieux n’en ont pas besoin.
Frais à envoyer vers une adresse : méfiez-vous d’un « dépôt », d’une « activation » ou d’une taxe hors de la transaction normale du protocole.
Pression ou incohérence : compte à rebours invérifiable, informations illisibles, ou réseau et wallet sans rapport avec la campagne sont des raisons d’arrêter.

La présence d’un token ou NFT inconnu dans votre wallet ne confirme pas un airdrop. N’ouvrez pas les liens inscrits dans son nom, son symbole ou ses métadonnées : ils peuvent servir au phishing.

Lire ce que le wallet vous demande

Connecter un wallet ne permet pas, à lui seul, de transférer vos actifs. Le risque apparaît lorsque vous signez un message ou confirmez une transaction : examinez la demande affichée par le wallet, pas seulement le bouton du site.

Une approval autorise un contrat à dépenser un token depuis votre wallet, parfois jusqu’à votre solde disponible. Pour les NFT, setApprovalForAll peut autoriser un opérateur à transférer tous les NFT d’une collection compatible ; cette autorisation n’est généralement pas nécessaire pour recevoir un airdrop.

EIP-2612, ou Permit, crée une autorisation par signature plutôt que par une transaction d’approval classique. Permit2, développé par Uniswap, gère aussi des autorisations et des transferts par signature : ces demandes ne sont pas automatiquement frauduleuses, mais ne les validez que si vous identifiez le token, le bénéficiaire, le montant et l’échéance.

Un hardware wallet protège votre clé privée, pas une mauvaise décision de signer. Utilisez si possible un wallet qui affiche les détails et simulez l’opération ; notre guide sur la prévisualisation des signatures avec Rabby ou Tenderly détaille cette vérification.

Limiter les risques et réagir

Utilisez un wallet dédié, sans actifs importants ni approvals anciennes utiles, et alimentez-le seulement avec les frais réseau nécessaires. Avant de signer, vérifiez le contrat, le token, le montant, le spender et l’expiration ; après le claim, déconnectez le site et contrôlez les autorisations actives.

Sur Ethereum et plusieurs réseaux EVM, l’outil Token Approval Checker d’Etherscan permet d’inspecter et de révoquer des approvals. Revoke.cash propose aussi cette vérification sur plusieurs réseaux ; utilisez toujours son domaine officiel et prévoyez des frais réseau pour révoquer une autorisation.

Après une approval ou un Permit douteux, révoquez l’autorisation immédiatement et surveillez le wallet dans un explorateur. La révocation bloque les prélèvements futurs liés à cette autorisation, sans annuler un transfert déjà exécuté.

Si vous avez saisi votre phrase de récupération ou votre clé privée, considérez le wallet comme compromis. Créez un nouveau wallet avec une nouvelle seed phrase et transférez les actifs restants dès que possible ; restaurer le même wallet ne suffit pas. Conservez enfin les liens et identifiants de transaction pour signaler le faux site au projet imité et à la plateforme concernée.