Autorisations et signatures

Signer un message dans le portefeuille : quand « se connecter » est risqué

Mis à jour 3 min de lecture

En bref

  • Signer un message ne coûte aucun frais, donc cela semble sûr. Mais une signature peut céder une autorisation sur vos jetons ou confirmer la transaction d’un tiers.
  • Signer un texte lisible est sûr : « Connexion à example.com, code 4821 ».
  • Une longue chaîne hexadécimale, des données typées avec montant ou adresse, un avertissement du portefeuille : autant de raisons de refuser.

Pourquoi les sites demandent une signature

Il n’y a qu’une raison honnête : prouver que l’adresse est à vous sans envoyer de transaction. Beaucoup de services vous connectent ainsi. Le texte d’une telle signature se lit : l’adresse du site, une date, un code à usage unique.

Les escrocs exploitent le fait que la signature est « gratuite » et ne ressemble pas à un transfert.

Les signatures dangereuses

  • Signature à l’aveugle. On vous montre une chaîne du type 0x8f3a… sans explication. Ce peut être l’empreinte d’une transaction : en la signant, vous confirmez un transfert ou un changement de permissions que l’escroc diffuse ensuite.
  • Données typées (TIP-712 et équivalents). On y trouve des champs comme spender, amount, deadline. C’est une autorisation sur vos jetons ou un ordre de vente, établis sans transaction.
  • Une signature « pour le contrôle AML » ou « pour débloquer ». Ni la vérification d’une adresse ni un dégel ne demandent de signature : /check fonctionne à partir de la seule adresse.

Lire la fenêtre du portefeuille

  • Repérez l’adresse du site qui demande la signature. Correspond-elle à celle que vous avez ouverte ?
  • Cherchez les mots spender, amount, approve, permit, des adresses et des montants. Une connexion n’en a pas besoin.
  • Un avertissement de risque ou de « type de données inconnu » suffit pour refuser.

Si vous avez déjà signé

  1. Vérifiez les autorisations de l’adresse dans GuardPay /revoke et révoquez les inconnues, voir les autorisations illimitées.
  2. Vérifiez si les permissions du compte ont changé, voir le piège de la multisignature.
  3. En cas de signes, transférez les fonds vers une nouvelle adresse et suivez que faire si vous avez été arnaqué.

Vérifiez et révoquez les autorisations

Qui peut dépenser vos USDT, lu directement dans le contrat. Révocation dans votre propre portefeuille : une signature par autorisation, vos clés restent chez vous.

Vérifier les autorisations

Questions fréquentes

Peut-on annuler une signature de message ?

La signature elle-même ne se retire pas. Si elle a accordé une autorisation sur des jetons, on la révoque par une transaction dans le portefeuille. Si elle a signé la transaction d’un tiers, celle-ci est déjà sur le réseau, et seul le transfert du reste vers une nouvelle adresse aide.

Se connecter à un site par signature est-il sûr ?

Oui, si la fenêtre affiche un texte lisible avec l’adresse du site et un code, sans montants ni adresses de destinataires. Une telle signature ne permet pas de déplacer de l’argent.

Ce guide explique le fonctionnement des arnaques et comment s’en protéger. Ce n’est pas un conseil juridique ou financier.

À lire ensuite