Phishing Binance « sécurisation portefeuille » : email + faux 2FA

Qu'est-ce qui se passe

Ce qu'on sait au 22 mai 2026 : une campagne email ciblant les détenteurs de crypto sur Binance est active depuis la nuit du 20 au 21 mai. Objet typique : « Tentative d'accès non autorisée, sécurisez votre portefeuille ». Les noms de domaine utilisés imitent celui de la marque ou du service usurpé, et changent d'une salve à l'autre.

Ce qu'on ne sait pas : l'ampleur de la vague, l'origine de la liste d'adresses visées (peut-être une fuite de plateforme antérieure) et le trajet des fonds côté blockchain. La fiche n'a pas été complétée depuis le 22 mai.

Comment ça marche

C'est la pire variante du phishing-credentials parce qu'elle vise le vol de seed phrase : la clé maîtresse irréversible.

La page de phishing demande successivement :

1. Email + mot de passe Binance (pour les comptes custodial)
2. Code 2FA : intercepté en temps réel par l'attaquant qui se connecte en parallèle
3. Pour les portefeuilles personnels (non hébergés) : la phrase de récupération à 12 ou 24 mots

Une fois la seed phrase saisie, l'attaquant vide le portefeuille en quelques secondes. La blockchain est définitive : aucun intermédiaire ne peut bloquer, annuler ou rappeler. C'est précisément ce qui distingue cette arnaque de tous les phishings bancaires classiques où la banque garde une fenêtre d'action.

Aucune plateforme crypto légitime ne demandera jamais ta phrase de récupération, ni Binance, ni Coinbase, ni Kraken, ni Ledger. Elle ne sort jamais de ton appareil. Si on te la demande, c'est une arnaque, toujours, sans exception.

Comment reconnaître

• Domaine officiel : binance.com (et uniquement, pas binance-quelque chose.xxx)
• Aucun « problème de sécurité » sur Binance ne se résout en saisissant des informations sur un site externe : la résolution se fait dans l'app, en session connectée
• Si tu reçois un mail « urgent » : passe par l'app Binance officielle pour vérifier, jamais via le lien fourni

Que faire si concerné

• Si tu as fourni ta seed phrase : tu as quelques minutes, au mieux. Crée un nouveau portefeuille sur un appareil sain (ordinateur formaté, ou Ledger neuf) et transfère immédiatement tout ce qui peut l'être. Pour les NFT et tokens illiquides, la perte est probablement définitive
• Si tu as fourni mot de passe + 2FA mais pas la seed : change le mot de passe Binance, révoque toutes les sessions actives, désactive l'ancienne 2FA et configures-en une nouvelle. Vérifie qu'aucune adresse de retrait n'a été ajoutée à ta whitelist sans ton accord
• Dépôt de plainte : commissariat avec tous les éléments (emails, captures, hash de transactions). Pour les escroqueries crypto significatives, le JIRS de Paris est compétent
• Signaler à l'AMF sur leur liste noire et à Binance directement via le centre d'assistance officiel

Mécanisme proche de la vague Spotify côté credential phishing, mais l'enjeu crypto rend l'impact incomparable.

Organismes cités

Ces liens mènent à la page d'accueil de chaque organisme, pas au bulletin ni à l'article qui atteste cette campagne.

• Binance : Sécurité
• AMF : Listes noires crypto
• Cybermalveillance.gouv.fr