Campagne Phishing GitHub Vise Développeurs Crypto

Imaginez : vous êtes développeur, passionné par les agents IA autonomes. Vous recevez soudain une notification GitHub vous mentionnant dans une issue d’un projet qui vous intéresse énormément. Le message semble tomber à pic : « Merci pour votre intérêt porté à OpenClaw – vous avez été sélectionné pour un airdrop de 5 000 $ en $CLAW ». Vous cliquez, vous connectez votre wallet… et en quelques secondes, vos fonds s’évaporent. Ce scénario n’est plus une fiction : il se déroule en ce moment même sur GitHub.

En mars 2026, une campagne de phishing d’une ampleur et d’une sophistication inhabituelles cible spécifiquement les développeurs crypto et IA. Le projet OpenClaw, récemment passé en open-source et associé à des figures de l’intelligence artificielle, sert de cheval de Troie idéal pour cette attaque qui exploite la confiance naturelle de la communauté tech.

Une campagne phishing qui exploite la confiance des développeurs

Contrairement aux campagnes classiques par email, souvent bloquées par les filtres, celle-ci utilise les outils mêmes de la plateforme GitHub pour atteindre ses cibles. Les attaquants créent de faux comptes, ouvrent des issues sur des dépôts qu’ils contrôlent, puis taguent en masse des dizaines voire centaines de développeurs ayant interagi (star, fork, commentaire) avec les dépôts officiels d’OpenClaw.

Le message reçu est d’une redoutable efficacité psychologique : il flatte l’ego (« nous avons analysé votre profil »), crée un sentiment d’urgence et d’exclusivité (« sélectionnés parmi les contributeurs »), et surtout il parle d’argent – un airdrop de 5 000 dollars en tokens $CLAW. Dans un marché où les airdrops légitimes ont déjà enrichi certains early adopters, la promesse paraît crédible.

« Les développeurs crypto sont devenus des cibles premium : ils possèdent souvent des wallets bien approvisionnés et ont tendance à tester rapidement les nouvelles opportunités technologiques. »

Chercheur en cybersécurité spécialisé Web3

Le piège se referme en trois clics

Une fois le lien cliqué, la victime atterrit sur un site qui imite à s’y méprendre openclaw.ai. Le design, les couleurs, la typographie : tout est cloné avec une précision chirurgicale. Un gros bouton « Claim Your Airdrop » invite à connecter son portefeuille. Dès la connexion établie, un script JavaScript obfusqué (souvent nommé eleven.js ou similaire) demande la signature d’une transaction.

Ce que la victime ne voit pas : cette transaction approuve un contrat malveillant qui obtient des permissions quasi illimitées sur les actifs du wallet. En quelques blocs, les fonds sont transférés vers des adresses contrôlées par les attaquants. Le drainage est souvent total ou limité uniquement par la quantité de liquidité disponible sur les paires concernées.

Pourquoi OpenClaw ? Le timing parfait

OpenClaw n’est pas un projet choisi au hasard. Annoncé comme l’un des agents IA les plus prometteurs du moment, il a bénéficié d’une visibilité exceptionnelle après que des rumeurs aient lié son créateur à des initiatives majeures dans l’écosystème IA grand public. Le passage récent en open-source a provoqué un afflux massif de stars, de forks et de contributeurs sur GitHub.

Les attaquants ont simplement surveillé ces interactions publiques pour constituer leur base de cibles. Ils n’ont eu qu’à attendre que la hype monte pour lancer leur campagne. C’est exactement le même schéma que l’on observe depuis plusieurs années avec les lancements de memecoins ou de NFT : la vague d’enthousiasme crée une fenêtre d’opportunité idéale pour les escrocs.

Les conséquences vont bien au-delà des pertes financières

Quand un développeur se fait drainer son wallet personnel, c’est déjà grave. Mais quand ce développeur contribue à des projets open-source importants, les risques deviennent systémiques.

• Compromission de compte GitHub → injection potentielle de code malveillant dans des dépôts populaires
• Vol de clés API, tokens npm, secrets GitHub → compromission de l’infrastructure CI/CD
• Utilisation du compte compromis pour propager l’arnaque à d’autres développeurs (effet boule de neige)
• Perte de crédibilité et d’influence dans la communauté
• Stress psychologique important et perte de confiance dans les interactions open-source

Dans certains cas documentés par le passé, des comptes de mainteneurs ont été utilisés pour publier des versions piégées de bibliothèques très téléchargées, créant des attaques de supply chain d’une ampleur considérable.

Comment GitHub réagit-il face à cette menace ?

Pour l’instant, la réponse de GitHub reste limitée. Les issues frauduleuses sont supprimées au compte-gouttes après signalement, mais les attaquants créent de nouveaux comptes plus vite que la plateforme ne les bannit. La fonctionnalité de mention massive n’est toujours pas correctement limitée pour les comptes récents, ce qui permet à un compte créé il y a 48 heures de taguer plusieurs centaines de personnes en une seule issue.

Plusieurs voix dans la communauté demandent désormais :

• Une restriction forte des mentions par les comptes de moins de 30 jours
• Une détection automatique des issues contenant des adresses de wallet ou des liens vers des domaines récemment créés
• Une vérification renforcée des domaines quand ils sont partagés dans les issues
• Une alerte contextuelle quand un utilisateur est tagué massivement dans une courte période

Les réflexes à adopter immédiatement

Face à ce type d’attaque, la vigilance doit devenir systématique. Voici les gestes qui sauvent des portefeuilles :

• Ne jamais cliquer sur un lien reçu dans une issue ou un commentaire GitHub sans avoir vérifié manuellement l’URL officielle via le site officiel ou le compte X vérifié du projet.
• Utiliser un wallet dédié aux tests et interactions risquées (burner wallet) contenant uniquement de quoi payer le gas.
• Installer une extension de simulation de transaction (comme Wallet Guard, Fire, ou Pocket Universe) qui affiche exactement ce que la signature va autoriser.
• Signaler systématiquement les issues suspectes et les comptes frauduleux via l’interface GitHub.
• Désactiver les notifications automatiques de mentions sur les dépôts non personnels si vous recevez trop de spam.
• Vérifier deux fois le domaine : openclaw.ai ≠ openclaw-claim.ai, openclaw.io, open-claw.ai, etc.

Vers une multiplication des campagnes similaires ?

Malheureusement, cette attaque sur OpenClaw n’est probablement que la première d’une longue série. Plusieurs éléments laissent penser que nous allons assister à une vague de campagnes similaires dans les prochains mois :

• L’intersection IA + crypto reste extrêmement hype
• Les kits de phishing-as-a-service se perfectionnent rapidement
• Les attaquants recyclent les mêmes techniques sur chaque nouveau projet viral
• GitHub tarde à implémenter des garde-fous vraiment efficaces
• Les développeurs crypto sont perçus comme des cibles à fort rendement

Les prochains projets qui risquent d’être utilisés comme appât incluent les autres agents IA open-source, les frameworks DePIN, les protocoles AI-on-chain ou tout ce qui combine intelligence artificielle et blockchain avec une forte visibilité communautaire.

Conclusion : la confiance n’est plus un acquis

Le monde du développement open-source a toujours reposé sur un équilibre fragile entre ouverture et sécurité. Aujourd’hui, cet équilibre est rompu. Les attaquants ne ciblent plus seulement les utilisateurs finaux naïfs : ils s’en prennent aux bâtisseurs eux-mêmes, ceux qui écrivent le code, maintiennent les bibliothèques, font vivre les communautés.

Dans cet environnement, la méfiance devient une compétence technique à part entière. Vérifier une URL, utiliser un wallet jetable, simuler une transaction avant de signer… ce ne sont plus des gestes de paranoïa, mais des standards minimaux de sécurité en 2026.

Parce qu’au fond, la plus grande vulnérabilité n’est pas dans le smart contract ou dans le code JavaScript : elle se trouve dans les 30 centimètres qui séparent le cerveau du clic. Et c’est précisément là que les attaquants concentrent désormais leurs efforts.

Restez vigilants. Vérifiez deux fois. Et surtout, ne laissez jamais l’excitation d’un possible airdrop court-circuiter votre bon sens.

Le code est précieux. Vos fonds le sont encore plus.