Une vague de phishing via Google Ads ciblant Uniswap transforme de simples recherches sur le web en piège pour les utilisateurs de crypto, avec de faux liens sponsorisés qui renvoient les internautes vers des pages copies quasi identiques capables de vider des portefeuilles après une connexion qui semble routinière. Ce qui rend ce stratagème frappant, c’est le peu de sophistication technique nécessaire : les attaquants semblent acheter de la visibilité en haut de Google Search, puis laissent une imitation convaincante faire le reste.
La configuration est simple, et c’est en partie pour cela qu’elle fonctionne. Un utilisateur cherche Uniswap, clique sur ce qui ressemble à un résultat sponsorisé légitime, et atterrit sur une interface de trading clonée conçue pour reproduire l’originale. À partir de là, le parcours est suffisamment familier pour que les victimes finissent par signer des autorisations qui donnent aux attaquants le contrôle de leurs actifs.
Au moins 400 000 $ en crypto ont déjà été volés, selon le suivi lié à cette campagne. Les chercheurs indiquent que ces annonces font partie d’une offensive plus large de malvertising qui a touché les utilisateurs DeFi via des emplacements de recherche payants plutôt que par des exploits directs de protocoles.
Summary
De fausses annonces Uniswap volent des fonds
Cette campagne de phishing a utilisé de fausses annonces Google se faisant passer pour Uniswap, plaçant de faux résultats sponsorisés devant des utilisateurs recherchant activement la plateforme. Au lieu d’attaquer le code ou les systèmes d’Uniswap, l’opération semble cibler la porte d’entrée de l’usage de la crypto : la recherche.
Cette distinction est importante. Pour de nombreux utilisateurs, en particulier les traders occasionnels, Google Search est le moyen d’accéder aux plateformes DeFi. Si une fausse annonce apparaît au-dessus de la véritable, l’arnaque piège les gens au moment précis où ils sont prêts à connecter un portefeuille et à effectuer une transaction.
Comment fonctionne l’arnaque de phishing Uniswap via Google Ads
Les utilisateurs qui cliquent sur l’annonce sont envoyés vers une interface de trading clonée qui imite de près le design d’Uniswap. La page les guide ensuite à travers ce qui semble être un processus normal de connexion et d’approbation de portefeuille.
Le danger survient au moment de la signature. Ce qui ressemble à une demande d’autorisation standard peut donner aux attaquants un accès étendu, leur permettant de vider les fonds sans avoir besoin des clés privées.
Concrètement, l’arnaque de vidage de portefeuille suit un schéma reconnaissable :
- Une fausse annonce Uniswap apparaît dans les résultats sponsorisés de Google Search.
- L’utilisateur arrive sur une interface contrefaite, connecte un portefeuille et signe des autorisations.
- Les fonds sont ensuite transférés hors du portefeuille peu de temps après.
Jusqu’à présent, au moins 400 000 $ en crypto ont été volés dans le cadre de cette campagne.
Comment l’attaque se cache à la vue de tous
La persistance de l’opération semble tenir à plus qu’un simple design soigné. Les chercheurs indiquent que la campagne utilise des techniques de dissimulation (cloaking) pour contourner les systèmes de vérification des annonces Google, aidant les pages malveillantes à paraître inoffensives lors des contrôles automatisés tout en exposant les vrais utilisateurs à la charge utile de vidage de portefeuille.
C’est une des raisons clés pour lesquelles cette histoire dépasse le cadre d’une seule arnaque. Si une campagne de phishing crypto peut passer à répétition la revue des annonces tout en usurpant l’identité d’une grande marque DeFi, cela suggère que la faiblesse ne tient pas seulement à l’erreur humaine. Elle tient aussi à la manière dont l’infrastructure de recherche payante peut être détournée pour placer des liens frauduleux dans des emplacements premium.
Dissimulation et placement des annonces dans la campagne de phishing
Selon les rapports liés à l’affaire, les attaquants enchérissent sur des termes de recherche liés à Uniswap afin que leurs liens apparaissent au-dessus des résultats légitimes. Les chercheurs en sécurité indiquent que nombre de ces sites s’appuient ensuite sur le cloaking pour éviter la détection par les systèmes de Google.
L’analyste on-chain b-block a retracé la campagne jusqu’à des adresses de portefeuilles liées à l’opération. Les portefeuilles suivis détenaient collectivement au moins 146 ETH, d’une valeur d’environ 306 000 $ au moment du suivi. Les pertes totales confirmées parmi les victimes ont dépassé 400 000 $, même si les avoirs des portefeuilles et le chiffre global des pertes ne sont pas présentés comme la même mesure.
Cette trace on-chain donne à la campagne un niveau de visibilité inhabituel pour des arnaques basées sur le web. Elle n’identifie pas les personnes derrière l’opération, mais elle montre comment les vols sont reliés via l’activité sur la blockchain.
Pourquoi la campagne se propage
Les fausses annonces Uniswap ne sont pas un événement isolé. Security Alliance, également connue sous le nom de SEAL, indique que le phishing lié aux annonces Google Search a explosé depuis mars 2026. Le groupe a identifié plus de 356 liens publicitaires malveillants, et les campagnes associées ont atteint 1,27 million de dollars de pertes.
Ce contexte plus large est important car il montre qu’il ne s’agit plus seulement d’un problème ponctuel d’usurpation de marque. C’est un scénario reproductible : acheter des annonces de recherche, imiter une interface crypto de confiance, pousser les utilisateurs à signer des autorisations de portefeuille, puis faire tourner de nouveaux liens à mesure que les anciens sont signalés.
Ce que disent les chercheurs sur la tendance générale
Les conclusions de SEAL mettent en évidence un cycle de malvertising très rapide. Les domaines malveillants peuvent être remplacés rapidement, ce qui complique l’application des règles et laisse aux attaquants la possibilité de réapparaître sans cesse dans les résultats de recherche.
Stacy Muur, fondatrice de Green Dots, fait partie de ceux qui ont signalé publiquement la campagne après avoir repéré l’un des faux résultats sponsorisés sur Google Search. Cela a contribué à attirer l’attention sur une arnaque qui, autrement, semble suffisamment soignée pour se fondre dans un comportement de navigation normal.
Le problème plus large pour la sécurité DeFi est que ce type de phishing ne dépend pas de la compromission de smart contracts ni de la découverte de bugs de protocole. Il exploite la confiance, les habitudes et la mécanique de la publicité en ligne. Pour les utilisateurs de crypto, cela signifie que la menace se situe autant en dehors de la blockchain que sur celle-ci.
Et pour les grandes plateformes comme Uniswap, la pression augmente dans un espace qu’elles ne contrôlent pas entièrement : les résultats de recherche où de nombreux utilisateurs commencent leur parcours.
