Reste prudent

Sécurité crypto

Vérifie, ne fais pas confiance. C'est l'esprit Polkadot et l'esprit $WUD. Trop de gens perdent leurs économies dans des arnaques crypto, et presque chaque perte suit les mêmes schémas. Voici tout ce qu'on aurait aimé savoir dès le premier jour. Ça vaut pour tous les sites, applis et personnes dans la crypto, nous compris.

Mis à jour le 1er octobre 2026

La règle la plus importante

Ta phrase de récupération (aussi appelée seed phrase ou phrase secrète) est la clé maîtresse de ton wallet. Quiconque l'a peut tout prendre, de n'importe où, à n'importe quel moment, et personne ne peut annuler ça.

Ne la tape jamais sur un site, dans un formulaire, un chat ou un e-mail. Sa seule place, c'est dans ton appli wallet, ou écrite sur papier et gardée hors ligne.
Ne la partage jamais avec personne. Ni le support, ni une équipe, ni une société de wallet, ni un ami, ni quelqu'un qui te propose un airdrop ou de l'aide.
Si quelqu'un te la demande, il essaie de te voler. Aucune exception. Les vraies équipes, les vrais wallets et le vrai support n'en ont jamais besoin.

Connecter, signer, valider

Un site peut demander trois choses très différentes à ton wallet. Savoir les distinguer, c'est déjà l'essentiel de la sécurité.

Demande	Ce que ça fait	Ce qu'il faut vérifier
Connecter	Partage ton adresse publique pour que le site affiche tes soldes. Ça ne peut rien déplacer.	Que tu es bien sur la vraie adresse du site que tu voulais ouvrir.
Signer un message	Prouve que l'adresse est à toi, par exemple pour te connecter. Sur les wallets Polkadot, c'est gratuit et ça ne peut pas déplacer de fonds.	Que le texte a du sens. Sur les wallets Ethereum, méfie-toi de tout ce qui s'appelle permit, qui peut autoriser des dépenses.
Valider une transaction	Fait vraiment quelque chose : envoie, swappe, achète, brûle ou change un réglage. C'est celle-là qui peut déplacer tes fonds.	Ce qui est envoyé, combien, et vers où. Si ça ne correspond pas à ce que tu as cliqué, refuse.
Autoriser des dépenses (Ethereum)	Permet à un contrat de prendre tes tokens plus tard, souvent sans limite de montant. C'est le piège préféré des wallet drainers.	Seulement pour des applis de confiance, seulement le montant nécessaire. Supprime les anciennes sur revoke.cash.

Refuser une demande, c'est toujours gratuit et toujours sans risque. Dans le doute, refuse et demande sur un canal officiel de la commu.

Comment marchent les wallet drainers

Un drainer ne peut pas forcer ton wallet. Il doit te pousser à ouvrir la porte toi-même. Les techniques classiques :

Des sites copiés avec une lettre changée ou une autre extension, trouvés via des pubs, des résultats de recherche ou des liens dans les réponses.
De faux airdrops et giveaways qui te demandent de te connecter pour « claim », puis te présentent une transaction qui envoie tes tokens ailleurs.
Un faux support qui t'écrit en premier après une question posée en public, puis te demande de « vérifier », « synchroniser » ou « valider » ton wallet.
De fausses applis et extensions copiées sur de vrais wallets, mises sur les stores ou poussées par des pubs.
Des comptes et sites piratés, quand le compte social ou le site d'un vrai projet est pris en main et se met à poster un piège.

Toutes ces arnaques finissent pareil : tu valides un truc que tu n'as pas lu, ou tu tapes ta phrase de récupération là où elle n'a rien à faire. Lis chaque demande, garde la phrase hors ligne, et presque toutes échouent.

Vérifie les liens avec VirusTotal

Avant d'ouvrir un lien inattendu, ou de te connecter à un site pour la première fois, tu peux le vérifier gratuitement sur virustotal.com. Le site demande à des dizaines d'entreprises de sécurité si elles connaissent l'adresse comme dangereuse.

Copie le lien. Ne l'ouvre pas encore.
Va sur virustotal.com, choisis URL, colle le lien et lance la recherche.
Regarde le résultat. Au moindre signal rouge, ne l'ouvre pas. Clique sur Reanalyze pour une vérif fraîche si le résultat date.

Voilà à quoi ressemble un rapport, pour ce site : gavunwud.com sur VirusTotal. Clique sur Reanalyze et tu obtiens un résultat à jour de chaque éditeur, quand tu veux.

Un résultat propre aide, mais ce n'est pas une garantie. Les sites d'arnaque tout neufs paraissent souvent propres pendant les premières heures ou les premiers jours. Utilise-le comme une vérif parmi d'autres, et prends l'habitude pour chaque site où tu connectes un wallet.

Ta checklist avant de valider quoi que ce soit

L'adresse est-elle exactement la bonne ? Mets en favori les sites que tu utilises avec ton wallet au lieu de passer par des liens reçus ou des pubs.
C'est toi qui as lancé cette action ? Si une demande apparaît sans que tu t'y attendes, refuse-la.
Le wallet affiche-t-il ce que tu voulais faire ? Même token, même montant, même destination.
Quelqu'un te presse ? « Plus que 10 minutes » et « ton wallet va être bloqué », ce sont des techniques de pression. Les vrais projets te laissent prendre ton temps.
Quelqu'un te demande ta phrase de récupération ? Stop. C'est une arnaque, à chaque fois.

Bien t'équiper

Utilise deux wallets. Un wallet de dépenses avec un petit solde pour les sites, les jeux et les nouvelles applis, et un wallet d'épargne qui ne se connecte jamais nulle part.
Pense au hardware wallet. Un Ledger garde tes clés dans l'appareil et affiche chaque transaction sur son propre écran, donc un site malveillant ne peut rien signer sans que tu le voies. Tu peux l'utiliser sur Polkadot via Talisman, SubWallet, Nova Wallet ou Polkadot.js.
Télécharge tes wallets uniquement depuis leur site officiel ou le store. Vérifie le nom de l'éditeur avant d'installer.
Protège tes comptes e-mail et exchange avec une appli d'authentification ou une clé de sécurité, pas par SMS.

Si ça tourne mal

Si ta phrase de récupération a été exposée : crée tout de suite un nouveau wallet avec une nouvelle phrase et transfères-y tout ce qui reste. L'ancien wallet n'est plus jamais fiable.
Si tu as autorisé des dépenses sur Ethereum : supprime l'autorisation sur revoke.cash dès que possible.
Méfie-toi des services de « récupération ». Ceux qui promettent de récupérer tes cryptos volées contre paiement montent presque toujours une deuxième arnaque.
Préviens la commu. Signaler vite un lien d'arnaque ou un faux compte protège le suivant.

Comment fonctionne gavunwud.com

On s'applique les mêmes règles. gavunwud.com ne demande jamais ta phrase de récupération ni tes clés, et ne demande jamais d'autorisation illimitée pour dépenser tes tokens. Les signatures de message servent uniquement à prouver qu'une adresse est à toi. Les transactions n'ont lieu que quand tu choisis une action, et ton wallet affiche chacune avant que tu la valides. Malgré tout, ne nous crois pas sur parole : vérifie. Les détails sont dans nos conditions.

Nos liens officiels sont gavunwud.com, x.com/gavunwud, t.me/gavunwud et notre Discord. Si quelque chose prétend être nous sans figurer dans cette liste, considère que c'est faux.

Choisir un wallet sûr

Les questions qu'on nous pose

Est-ce sans risque de connecter mon wallet à un site ?

Connecter ne partage que ton adresse publique, donc ça seul ne peut pas déplacer tes fonds. Le risque vient après, si tu valides une transaction ou une autorisation de dépense sans la lire. Connecte-toi uniquement à des sites de confiance, vérifie l'adresse et lis chaque demande avant de valider.

Peut-on voler mes cryptos avec juste mon adresse ?

Non. Ton adresse est publique par nature, comme un numéro de compte. Pour déplacer tes fonds, il faut ta phrase de récupération ou ta clé privée, ou que tu valides toi-même une transaction.

Arnaque crypto : que faire si j'ai partagé ma phrase de récupération ?

Agis immédiatement. Crée un nouveau wallet avec une nouvelle phrase de récupération et transfères-y tout ce qui reste. Considère l'ancien wallet comme compromis pour toujours, et ne paie personne qui propose de récupérer des fonds volés.

Un résultat VirusTotal propre veut-il dire qu'un site est sûr ?

Ça veut dire qu'aucune des entreprises de sécurité consultées n'a encore signalé l'adresse. C'est utile, mais les nouveaux sites d'arnaque peuvent paraître propres au début. Combine ça avec la vérif de l'adresse, la lecture de chaque demande du wallet, et ne partage jamais ta phrase de récupération.