Phishing NFT – 95% des attaquants sont des lycéens qui utilisent des « drainers »

Le marché des NFTs enchaîne les développements emblématiques depuis son émergence en 2020. La dernière en date, en 2023, concerne un déplacement improbable vers la blockchain du Bitcoin avec les Ordinals, dont le retour de bâton sur Ethereum a pris la forme des Ethscriptions. Une bonne manière de perdre tout le monde, dans un marché où les procédures de phishing sont légion.

Une étude menée en avril 2022 estimait que 90% des détenteurs de NFTs avaient été victime d’une escroquerie de ce type, pour des dizaines de millions de dollars dérobés. Et loin des idées reçues, cette activité criminelle pourrait bien être le fait d’une majorité de jeunes lycéens aidés par ce que l’on nomme les « NFT drainers. »

NFT drainers, Une escroquerie clés en main

Le principe est simple et immuable : chaque innovation s’accompagne de son arnaque dédiée. Les escrocs se montrent simplement beaucoup plus rapides que les régulateurs, en particulier dès qu’il s’agit des cryptomonnaies et de leurs développements dérivés comme les jetons NFT.

Car certains petits malins développent des procédures clés en main de type « drainers » afin de permettre au plus grand nombre de s’adonner à l’arnaque numérique. Il s’agit de codes applicables à des sites Internet ou des serveurs Discord, avec pour objectif le vol des actifs numériques des victimes hameçonnées en amont. Seule exigence de la part du développeur, une part de 20% à 30% sur les bénéfices (mal) acquis lors de l’utilisation de son code.

Et ce genre de pratique se développe bien au delà du raisonnable, dans une version « contre bénéfices » éloignée de l’activité de la Corée du Nord, pourtant très active dans le vol de tout ce qui est numérique.

Et parmi les formules les plus connues au printemps 2023 se trouve Venom, que le leader historique Monkey a lui-même recommandé à sa clientèle en se retirant. Ce dernier est à l’origine du vol de 2 200 NFT pour une valeur estimée à 9,3 millions de dollars, auxquels s’ajoutent 7 millions de dollars en jetons, selon les données de la structure de cybersécurité PeckShield. Son développeur a raccroché les gants le 1er mars 2023, non sans préciser que « tous les jeunes cybercriminels ne devraient pas se perdre dans la poursuite de l’argent facile. » Sans commentaire… Venom, lui, aura servi à dérober plus de 2 000 NFT à plus de 15 000 victimes, soit environ 29 millions de dollars tous actifs confondus.

NFT drainers, 95% de lycéens âgés de moins de 18 ans

Mais le fait le plus notable est ailleurs. En juin 2023, le chercheur en cybersécurité répondant au pseudonyme de Plum, membre de l’équipe « trust and safety » de la plateforme Opensea, affirme que 95% des initiateurs de ces campagnes de phishing « sont des enfants de moins de 18 ans qui sont encore au lycée. » Comment est-il au courant ? Car selon ses dires, ces enfants font de toute évidence très peu d’efforts pour cacher leurs méfaits tout comme la provenance de leurs nouvelles richesses.

« J’ai personnellement parlé à plusieurs d’entre eux et je sais qu’ils sont encore à l’école. J’ai vu des photos et des vidéos de plusieurs d’entre eux dans leurs écoles. Ils parlent de leurs professeurs, de la façon dont ils échouent en classe ou de la nécessité de faire leurs devoirs. »

Plum

De plus, il suffit de voir les achats réalisés avec les gains de ces arnaques. Comme le souligne encore Plum, il s’agit le plus souvent d’ordinateurs portables, de smartphones, de chaussures… ou de très importantes sommes d’argent sur le jeu vidéo Roblox. Ils « achèteront l’équipement le plus cool pour leurs avatars Roblox, des jeux vidéo, des skins et des choses comme ça. » Voilà qui est réconfortant pour les victimes de ces arnaques !

Raison pour laquelle Plum s’étonne de ne pas voir plus d’arrestations ou d’opérations policières pour tenter d’enrayer cette mode. Car malgré quelques stratagèmes pour brouiller les pistes, comme payer des personnes dans des pays émergents pour s’inscrire sur des exchanges avec leurs données personnelles, remonter jusqu’à eux reste assez simple.

En 2023, la justice semble n’avoir que faire de ces petits arnaqueurs aux NFTs, qui prospèrent en bénéficiant du « mode Dieu » lié à leur jeune âge. La suite a nuancé ce constat. Selon Scam Sniffer, ces kits ont dérobé 295 millions de dollars à environ 324 000 victimes en 2023, puis 494 millions à 332 000 victimes en 2024, avant un net reflux à environ 84 millions et 106 000 victimes en 2025. Inferno Drainer a annoncé son arrêt en novembre 2023 après plus de 70 millions détournés, avant de réapparaître : Check Point estimait en mai 2025 qu’il avait vidé plus de 30 000 portefeuilles en six mois. Pink Drainer s’est retiré en mai 2024 autour de 85 millions et 21 000 victimes, Angel Drainer récupérant une partie de son outillage. Les arrestations, elles, ont fini par venir : Malone Lam et Jeandiel Serrano, 20 et 21 ans, ont été inculpés en septembre 2024 aux États-Unis.