En 2023, un investisseur crypto américain a été kidnappé et forcé de transférer 4 millions de dollars en Bitcoin sous la menace d'une arme. Les agresseurs avaient trouvé son identité et son adresse en recoupant ses publications sur Twitter, ses transactions on-chain, et son profil LinkedIn. C'est le doxing appliqué à la crypto : quelqu'un découvre qui vous êtes, combien vous avez, et où vous habitez.
Je ne dis pas ça pour faire peur. Je dis ça parce que beaucoup de gens sous-estiment la quantité d'informations qu'ils exposent publiquement, et les conséquences que ça peut avoir quand on détient des actifs numériques significatifs.
Comment le doxing fonctionne en crypto
Le doxing (de "docs", documents) consiste à collecter et publier les informations personnelles de quelqu'un sans son consentement. En crypto, le processus suit souvent ce chemin : l'attaquant identifie votre adresse wallet (via une transaction publique, un ENS, un post sur Twitter), analyse vos transactions on-chain pour estimer votre patrimoine, puis recoupe avec vos profils sociaux pour trouver votre nom réel et votre localisation.
Les outils existent. Etherscan montre l'historique de n'importe quelle adresse Ethereum. Arkham Intelligence permet de lier des adresses à des identités connues. Nansen tagge les wallets des "smart money". Si votre adresse est publique et que vous avez utilisé un exchange centralisé (qui a votre KYC), le lien entre votre wallet et votre identité peut être établi.
Les ENS (Ethereum Name Service) sont pratiques mais dangereux. Avoir un ENS "prenom.eth" lie directement votre wallet à un nom. Si ce nom est votre vrai nom, tout votre historique de transactions est accessible en un clic.
Les risques concrets
L'agression physique est le risque le plus extrême. Les cas de "wrench attacks" (attaque à la clé à molette, forcer quelqu'un physiquement à transférer ses cryptos) sont documentés et en augmentation. Votre hardware wallet ne vous protège pas contre un pistolet.
Le harcèlement en ligne. Si quelqu'un publie votre identité réelle avec votre solde crypto, vous devenez une cible pour les arnaqueurs, les demandeurs compulsifs, et les extorqueurs. Des messages du type "je sais que tu as 50 BTC, envoie 1 BTC ou je publie tes infos" sont courants.
Le phishing ciblé (spear phishing) utilise vos informations personnelles pour créer des attaques crédibles. Un email qui mentionne votre nom, votre exchange, et le montant approximatif de vos holdings est beaucoup plus convaincant qu'un spam générique.
Protéger votre identité en pratique
Ne publiez jamais vos adresses wallet sur les réseaux sociaux. Si vous devez recevoir un paiement public, créez une adresse dédiée et ne la réutilisez pas. Sur Ethereum, chaque adresse est un livre ouvert.
Utilisez des adresses intermédiaires. Si vous devez transférer des fonds entre un exchange (qui a votre KYC) et un wallet que vous voulez garder anonyme, passez par une adresse tampon. Mieux encore, certaines personnes utilisent des services comme Aztec Connect ou des mixeurs (attention à la légalité dans votre juridiction) pour brouiller le lien entre les adresses.
Séparez votre identité crypto de votre identité réelle. Utilisez un pseudonyme sur Twitter/Discord, ne liez pas votre wallet principal à votre ENS nominatif, et ne mentionnez pas vos montants en public. "Je suis full ETH" est une information que vos futurs agresseurs n'ont pas besoin de connaître.
Sécurisez vos comptes sociaux. La double authentification sur Twitter, Discord, et tous vos comptes liés à la crypto. Un attaquant qui prend le contrôle de votre Twitter peut publier votre adresse wallet et vos informations personnelles.
Et gardez votre seed phrase dans un endroit que personne d'autre ne connaît. Si quelqu'un sait que vous avez de la crypto et sait où vous vivez, la sécurité physique de votre backup est aussi importante que la sécurité numérique.
