Les arnaques au paiement crypto qui visent les marchands (et comment les bloquer)
La crypto n'a pas de rétrofacturation : les escrocs attaquent donc les marchands autrement — fausses preuves de paiement, adresses empoisonnées, tokens imitations et « remboursez sur cette nouvelle adresse ». Voici comment fonctionne chaque arnaque et les règles simples qui la stoppent.
Les arnaques au paiement crypto visant les marchands cassent rarement la blockchain : elles trompent des personnes. Les plus courantes sont les fausses captures de paiement, l'empoisonnement d'adresse, les tokens imitations, les pièges au remboursement et le phishing de votre espace ou de votre portefeuille. La meilleure défense tient en une règle : une commande n'est payée que lorsque votre propre passerelle ou portefeuille affiche le paiement confirmé, jamais parce que le client l'affirme.
Voici comment fonctionne chaque arnaque, comment la repérer et ce qu'il faut changer dans votre processus pour qu'elle échoue.
Les arnaques en un coup d'œil
| Arnaque | Fonctionnement | Ce qui la bloque |
|---|---|---|
| Fausse preuve de paiement | Capture retouchée ou faux hash envoyé par message | Livrer uniquement sur statut confirmé dans le tableau de bord ou par webhook |
| Empoisonnement d'adresse | Micro-transferts depuis une adresse ressemblante pour que vous copiiez la mauvaise | Ne jamais copier d'adresse depuis l'historique ; vérifier l'adresse entière |
| Tokens imitations | Un token sans valeur nommé « USDT » envoyé à la place du vrai | Vérifier le contrat du token, pas son nom — une passerelle le fait pour vous |
| Piège du trop-perçu | « J'ai trop envoyé, remboursez la différence sur cette autre adresse » | Vérifier soi-même le montant reçu ; rembourser uniquement vers des adresses vérifiées |
| Faux support et phishing | Messages ou sites demandant identifiants, code 2FA ou phrase de récupération | Aucun vrai support ne demande de secret ; favoris et 2FA |
1. Fausses captures et faux hashes de transaction
Un acheteur envoie une capture de portefeuille « 250 USDT envoyés » ou un hash appartenant au paiement de quelqu'un d'autre, et réclame l'expédition immédiate. Retoucher une capture prend quelques secondes.
- Une facture par commande — chaque commande a son montant et sa page de paiement ; le paiement est rapproché automatiquement.
- Livrer uniquement sur « confirmé » — avec une passerelle, expédiez quand la facture est confirmée ou que le webhook signé arrive. Voir webhooks de paiement crypto.
- Si quelqu'un insiste — ouvrez le hash dans un explorateur de blocs : destinataire, token, montant et heure. Souvent, ce n'est même pas votre adresse.
2. Empoisonnement d'adresse
Les escrocs envoient de minuscules montants à votre portefeuille depuis une adresse qui commence et finit comme l'une des vôtres. Plus tard, en copiant « votre » adresse depuis l'historique pour envoyer ou partager des fonds, vous copiez la leur.
- Copiez depuis la source — écran de réception du portefeuille ou contacts enregistrés, jamais l'historique.
- Vérifiez l'adresse entière — pas seulement les quatre premiers et derniers caractères.
- Faites un test d'abord — pour un gros retrait ou remboursement, un petit transfert test est une assurance bon marché.
3. Tokens imitations
Sur la plupart des réseaux, n'importe qui peut créer un token et l'appeler « USDT ». En ne regardant que le nom et le montant, un token sans valeur peut ressembler à un vrai paiement.
Une passerelle de paiement rapproche les transferts du contrat officiel du token sur un réseau précis : un faux token ne marque jamais une facture comme payée. Si vous recevez des paiements sur un simple portefeuille, vérifiez l'adresse du contrat dans un explorateur. Plus sur les réseaux : USDT TRC-20 ou ERC-20.
4. Pièges au remboursement et au trop-perçu
« J'ai envoyé 500 au lieu de 50 par erreur — renvoyez 450 à l'adresse de mon ami. » Parfois rien n'a été envoyé en trop ; parfois l'excédent provient d'une source volée.
5. Faux support, phishing et prise de compte
- Personne n'a besoin de votre phrase de récupération — ni votre passerelle, ni un fournisseur de portefeuille, ni « la sécurité ». Qui la demande est un escroc.
- Mettez votre espace en favori — connectez-vous depuis un favori, pas depuis des liens reçus ou des publicités.
- Activez l'authentification à deux facteurs — et ne partagez jamais les codes.
- Protégez les paramètres de retrait — tout changement d'adresse de retrait est un événement de sécurité à vérifier deux fois.
Check-list anti-fraude pour votre équipe
- Une facture par commande avec montant et expiration fixes.
- Expédier uniquement sur statut confirmé ou webhook signé.
- Ne jamais copier d'adresse depuis l'historique des transactions.
- Rembourser seulement après avoir vérifié soi-même le montant reçu.
- Garder les secrets secrets — phrases de récupération hors ligne, 2FA activée, connexions par favoris.
- L'écrire — une procédure d'une page suivie par toute l'équipe.
Accepter la crypto en sécurité avec mistKET
mistKET crée une facture hébergée pour chaque commande, détecte et confirme automatiquement l'USDT sur TRON et envoie des webhooks signés : votre boutique réagit à de vrais paiements on-chain, pas à des captures. Nouveau sur les passerelles ? Lisez ce qu'est une passerelle de paiement crypto, consultez les tarifs, connectez-vous à l'espace marchand ou postulez sur Telegram via @mistnetwork.
