Comment les portefeuilles crypto se font vider sur Mac, et comment l’éviter.

1Où les voleurs de données cherchent votre phrase de récupération

Les voleurs de données pour Mac visent directement les portefeuilles. Atomic (AMOS) cible environ 50 extensions de portefeuille pour navigateur et des portefeuilles de bureau comme Electrum et Exodus, ainsi que le trousseau et les fichiers de votre Bureau et de Documents (BleepingComputer, 2023). MacSync, diffusé par des commandes collées dans le Terminal en 2025 et 2026, récupère les phrases de récupération des portefeuilles crypto avec le trousseau (The Hacker News, 16 mars 2026).

Une phrase de récupération tapée dans Notes, enregistrée dans un fichier .txt, gardée en capture d’écran ou envoyée à vous-même par e-mail est donc à une recherche près pour tout voleur de données qui tourne sur le Mac, ne serait-ce qu’une minute.

2Retrouvez les phrases laissées sur votre Mac

Ces commandes listent les fichiers de votre Mac dont le texte contient les mots qu’on écrit à côté d’une phrase. Elles ne font que chercher ; elles n’ouvrent et n’envoient rien :

mdfind -onlyin ~ "recovery phrase"

mdfind -onlyin ~ mnemonic

mdfind -onlyin ~ "seed phrase"

Passez aussi en revue vos captures d’écran : dans Photos, cherchez « phrase de récupération », « seed » ou « wallet » ; Photos trouve le texte dans les images. Supprimez ce que vous trouvez après avoir recopié la phrase sur papier, puis videz la Corbeille et l’album Supprimés récemment.

3Le remplacement d’adresse dans le presse-papiers

Un clipper surveille votre presse-papiers. Quand vous copiez quelque chose qui ressemble à une adresse crypto, il la remplace par une adresse de l’attaquant du même type : ce que vous collez n’est donc pas ce que vous avez copié.

L’habitude qui l’arrête : après avoir collé, comparez l’adresse entière, pas seulement les premiers et derniers caractères, avec celle que vous vouliez utiliser. Sur un portefeuille matériel, comparez-la sur l’écran de l’appareil avant de confirmer.

4L’empoisonnement d’adresse : le sosie dans votre historique

Les attaquants envoient de minuscules montants depuis des adresses qui commencent et finissent comme celles que vous avez utilisées, si bien qu’un sosie se retrouve dans votre propre historique. Copiez une seule fois depuis l’historique et l’argent part chez eux.

Ça marche : deux personnes ont perdu plus de 62 millions de dollars de cette façon en décembre 2025 et janvier 2026, l’une environ 50 millions et l’autre 12,2 millions, la seconde après avoir copié une adresse depuis son historique de transactions (Cointelegraph sur les chiffres de Scam Sniffer, 9 février 2026).

C’est arrivé à MLX aussi : juste après que MLX a transféré ses fonds vers de nouveaux portefeuilles froids le 2 novembre 2026, des adresses sosies ont commencé à leur envoyer des poussières sur Solana et BNB Chain.

• Ne copiez jamais une adresse depuis votre historique de transactions.
• Enregistrez comme contacts les adresses auxquelles vous envoyez souvent, et choisissez-les là.
• Ignorez les minuscules montants reçus d’adresses que vous ne connaissez pas. Ne les renvoyez pas.
• Envoyez d’abord un petit test à toute nouvelle adresse et vérifiez qu’il est arrivé.

5Une vérification du portefeuille en cinq minutes

1. Cherchez sur votre Mac des phrases écrites (avec les commandes ci-dessus) et passez en revue vos captures d’écran.
2. Ouvrez la page des extensions de votre navigateur. Ne gardez que les portefeuilles que vous avez installés vous-même, depuis le lien de leur éditeur ; supprimez tout ce que vous ne reconnaissez pas.
3. Vérifiez que macOS est à jour : Réglages Système → Général → Mise à jour de logiciels.
4. Sur les chaînes EVM, passez en revue les anciennes autorisations de jetons dont vous n’avez plus besoin et révoquez-les, par exemple avec Revoke.cash.
5. Si vous avez déjà collé dans le Terminal une commande venue d’une page web, faites aussi la vérification du Mac.

6Si votre portefeuille a été vidé

1. Transférez ce qui reste vers un nouveau portefeuille créé sur un appareil sain, avec une nouvelle phrase de récupération. Ne réutilisez jamais l’ancienne phrase.
2. Depuis cet appareil sain, changez les mots de passe de votre messagerie et de vos comptes sur les plateformes d’échange, et activez l’authentification à deux facteurs.
3. Si les fonds sont partis vers une adresse de dépôt d’une plateforme d’échange, signalez-le tout de suite à cette plateforme avec l’identifiant de la transaction.
4. Un transfert sur une blockchain ne peut pas être annulé. Quiconque propose de récupérer vos cryptos contre des frais mène une seconde arnaque.

7Questions

Mon portefeuille a été vidé. Que faire ?

Transférez ce qui reste vers un nouveau portefeuille créé sur un appareil sain, avec une nouvelle phrase de récupération, et changez depuis cet appareil vos mots de passe de messagerie et de plateformes d’échange. Si les fonds sont partis vers une plateforme d’échange, signalez-lui l’identifiant de la transaction. Cherchez ensuite comment la phrase a fuité avant d’utiliser à nouveau le Mac pour vos cryptos.

Qu’est-ce que l’empoisonnement d’adresse ?

Les attaquants envoient de minuscules montants depuis des adresses qui ressemblent à celles que vous avez utilisées, si bien qu’un sosie apparaît dans votre historique. Si vous copiez depuis l’historique, vous leur envoyez l’argent. Cela arrive sur toutes les chaînes, dont Ethereum, BNB Chain, Tron et Solana. Choisissez plutôt les adresses dans vos contacts enregistrés.

Où conserver ma seed phrase ?

Sur papier ou sur métal, hors ligne, à deux endroits distincts. Jamais dans Notes, un fichier texte, une capture d’écran, une photo, un e-mail ou un stockage en ligne. Pour des montants plus importants, utilisez un portefeuille matériel pour que les clés ne touchent jamais l’ordinateur.

Est-ce sûr de garder ma phrase de récupération dans un gestionnaire de mots de passe ?

C’est bien mieux qu’une note ou une capture d’écran, mais la phrase reste sur l’ordinateur : un voleur de données qui tourne sous votre compte peut parfois l’atteindre. Pour tout ce que vous ne pouvez pas vous permettre de perdre, gardez la phrase hors ligne.

Peut-on récupérer des cryptos volées ?

En général, non : un transfert sur une blockchain est définitif. S’il est parti vers une plateforme d’échange, celle-ci peut le geler si vous le signalez vite. Ignorez quiconque propose une récupération contre des frais.