Faux GTA 6 : Drainer Crypto Et Copie Leakée

On croit souvent qu’une arnaque se voit de loin. Un logo déformé, un prix absurde, une faute à chaque ligne. Cette fois, le décor tient debout. Un site de fans consacré à GTA 6 reprend les visuels officiels, le compte à rebours vers le 19 novembre, la carte de Leonida et les informations de sortie sur PlayStation 5 et Xbox Series X|S. Entre deux tuiles de gameplay, une offre apparaît : une copie « leakée » à 50 dollars, ou pour 1 SOL, soit environ 102 dollars. Le piège n’est pas le prix. Il est dans le code qui se charge dès l’ouverture de la page et qui, si vous validez l’écran suivant, prépare le transfert de vos actifs au lieu de facturer le montant annoncé.

Le Faux Site GTA 6 Qui Transforme L Attente En Siphon

C’est la troisième déclinaison de cette famille d’escroqueries repérée cette année par l’éditeur d’antivirus Malwarebytes. La première vendait des accès anticipés à plusieurs centaines de dollars en cryptomonnaies. La deuxième déguisait un infostealer en démo jouable. Celle-ci va plus loin : elle charge un wallet drainer dès l’affichage, autrement dit un programme conçu pour vider un portefeuille dès que son propriétaire confirme une transaction ou une autorisation. La connexion seule ne vole rien. Tout se joue à l’écran de signature.

Le scénario fonctionne parce qu’il s’appuie sur une vraie mémoire collective. En septembre 2022, quatre-vingt-dix vidéos de gameplay pré-alpha issues des systèmes internes de Rockstar avaient fuité, associées à un adolescent lié au groupe Lapsus$. Deux reports ont ensuite déplacé la sortie de l’automne 2025 au 26 mai 2026, puis au 19 novembre. Chaque report allonge la fenêtre d’exploitation. Plus le public attend, plus une page « exclusive » a des chances d’être crue.

Une vitrine presque parfaite et une boutique bâclée

Les experts de Malwarebytes décrivent une façade sans défaut évident. Compte à rebours, carte, grille d’informations conforme aux annonces de l’éditeur : consoles uniquement, pas de version PC au programme. Le copier-coller est propre parce qu’il vient de sources légitimes. On reconnaît le rythme d’une page de fans soignée, celle que l’on consulte le soir en relisant la date pour la dixième fois.

Le discours commercial, lui, se contredit à chaque paragraphe. Le pied de page affirme que le site « ne propose aucun achat, téléchargement ni paiement d’aucune sorte », deux centimètres sous deux boutons de paiement. L’encart d’inscription à la newsletter s’intitule Get notified. Not scammed. La grille annonce un jeu réservé aux consoles quand la FAQ promet un téléchargement PC après achat. Elle jure qu’aucun prix n’a été confirmé alors que les précommandes officielles sont ouvertes depuis juin. Le mot download y est écorché. Une ligne parle de GTA IV au lieu de VI.

Cette dernière manœuvre n’est pas un détail. Dénoncer les escrocs concurrents reste la façon la plus économique de désarmer un visiteur déjà méfiant. On a l’impression de tomber sur le « bon » relais, celui qui prévient. Or le texte qui met en garde est précisément le texte qui pousse à connecter un portefeuille.

Pourquoi la fuite de 2022 continue d alimenter le marché noir

Sans la fuite de 2022, le récit d’une copie leakée serait plus fragile. Quatre-vingt-dix extraits de pré-alpha ont existé. Ils ont circulé. Ils ont été commentés image par image. Une génération de joueurs a donc intégré l’idée qu’un fichier interne peut ressortir, même chez un studio aussi fermé que Rockstar. Les reports successifs ont ensuite créé un vide. Le vide attire les offres miracles.

Il faut séparer trois objets que les arnaqueurs mélangent volontairement. Une vidéo de pré-alpha n’est pas un build jouable. Un build jouable n’est pas une version commerciale. Une version commerciale n’est pas un fichier que l’on achète en SOL sur une page de fans. Le mélange produit une émotion simple : « si ça a fuité une fois, ça peut fuité encore, et je peux l’avoir avant les autres ».

Cette émotion a un prix. Elle pousse à court-circuiter les réflexes. On ne relit plus le pied de page. On ne se demande plus pourquoi un éditeur de jeux AAA ferait payer un leak en cryptomonnaie. On clique. Le drainer n’a besoin que de ce clic-là.

Deux codes, deux vitesses, un même objectif

Deux morceaux de code cohabitent sur la page, de facture très différente. Le premier, écrit en dur dans le HTML, vise les portefeuilles Solana. Il ne facture jamais le prix affiché. Il lit le solde, laisse de quoi payer les frais de réseau et prépare le transfert de tout le reste vers une adresse de réception figée dans la page. Le « 1 SOL » du bouton n’entre dans aucun calcul. C’est un habillage. Le montant réel, c’est presque tout ce que le wallet contient.

Le second est un script de 2,4 Mo autrement plus ambitieux. Il embarque une bibliothèque légitime de connexion de wallets, largement utilisée sur le web, à laquelle a été greffé le code malveillant. Cette greffe inventorie les actifs, les valorise en dollars, transmet le profil à l’opérateur, puis récupère les transactions à faire signer. Sept réseaux sont couverts : Ethereum, Polygon, BNB Smart Chain, Avalanche, Arbitrum, Base et Fantom, avec reconnaissance des principaux stablecoins.

La nuance technique décide de tout. Un transfert emporte les fonds sur-le-champ. Une autorisation ne déplace rien dans l’immédiat : elle accorde à un tiers la possibilité de transférer plus tard des tokens ou des collections de NFT, tant que le propriétaire ne l’a pas révoquée. Le script gère les deux scénarios et ajuste ses demandes au contenu du portefeuille. Un wallet pauvre en ETH mais riche en NFT ne verra pas la même pop-up qu’un wallet chargé en stablecoins.

Nous ne tirerions pas de conclusions sur l’identité des responsables à partir d’une simple liste de pays. Celui qui a construit cet outil a pris une décision délibérée sur les gens qu’il acceptait de dépouiller, et il a inscrit cette décision dans un fichier de configuration.

Stefan Dasic, ingénieur senior recherche malwares chez Malwarebytes ThreatLabs

La liste CIS Protection et le modèle du drainer comme service

Avant même d’afficher le bouton de connexion, le gros script télécharge sa configuration depuis le serveur de l’opérateur et géolocalise le visiteur par son adresse IP. Dix pays déclenchent un message du type « This website is unavailable in your region », puis une redirection vers une page blanche : Arménie, Azerbaïdjan, Biélorussie, Kazakhstan, Kirghizistan, Moldavie, Russie, Tadjikistan, Turkménistan et Ouzbékistan.

Épargner cet ensemble de pays de l’espace postsoviétique est une convention ancienne dans certains outils criminels. On l’interprète souvent comme une précaution vis-à-vis des polices locales. Dans le code, le paramètre porte un nom sans ambiguïté : CIS_Protection. Malwarebytes refuse d’en tirer une attribution nominative. Le constat reste froid : quelqu’un a choisi qui pouvait être volé, et a gravé ce choix dans un fichier.

Le reste de la panoplie suit le catalogue habituel des kits modernes. Détection des navigateurs automatisés employés par les scanners de sécurité. Extinction des messages de la console. Entraves aux outils de développement. Adresses de serveurs dissimulées. Surtout, l’adresse Solana inscrite dans la page n’apparaît nulle part dans le gros script. Celui-ci récupère à distance un identifiant d’opérateur et ses réglages, sur une infrastructure qui fabrique aussi les transactions présentées aux victimes.

Changer le bénéficiaire des vols ne demande donc pas de toucher au site. Plusieurs indices suggèrent un drainer proposé comme service à différents opérateurs, même si l’outil exact n’a pas été nommé. Deux domaines relevés, centrodigestionedellarapina[.]life et dasunerforschtelandamendederwelt[.]sbs, appartiennent à l’infrastructure malveillante analysée. Le modèle rapporte. Scam Sniffer chiffrait à près de 494 millions de dollars les pertes infligées par ces kits sur la seule année 2024, à plus de 330 000 adresses.

Connecter un wallet n est pas signer une transaction

C’est le malentendu le plus coûteux de la finance décentralisée grand public. Relier Phantom, MetaMask ou Rabby à une page n’envoie pas vos fonds. La connexion expose une adresse publique. Elle peut aussi donner à la page une vue sur les soldes, ce qui aide le script à rédiger une demande sur mesure. Mais l’argent ne bouge pas tant qu’une signature n’est pas donnée.

Phantom simule souvent chaque transaction avant validation et affiche en langage clair ce qui va se produire, avec une alerte lorsque l’opération paraît suspecte. MetaMask et Rabby proposent également des outils de simulation et des avertissements. Aucun de ces garde-fous ne résiste à un clic réflexe sur « Confirmer ». L’interface de jeu, l’urgence d’une prétendue fuite, le prix rond à 50 dollars : tout est conçu pour que l’œil glisse.

Deux signaux suffisent à tout arrêter. Une transaction qui déplace la totalité ou la quasi-totalité du solde là où l’on attendait 1 SOL. Et toute demande d’approbation, d’autorisation ou d’accès aux tokens et aux NFT. Une boutique qui vend un jeu vidéo n’a aucune raison de réclamer une permission durable sur une collection. Si le texte de la pop-up parle d’approve, d’unlimited, de set approval for all ou d’accès à des contrats que vous n’avez jamais utilisés, la seule réponse saine est le refus.

Que faire si le wallet a déjà été connecté

L’ordre des opérations compte. Il faut d’abord révoquer les autorisations accordées, via un outil multichaîne comme Revoke.cash, l’outil d’Etherscan pour Ethereum ou l’explorateur correspondant au réseau utilisé. Se déconnecter du site ensuite, en sachant que cette action n’annule aucune permission déjà signée. Vérifier enfin le contenu du wallet, tokens et NFT, sur chacune des chaînes utilisées. Un oubli sur Base ou Arbitrum suffit à laisser une porte ouverte.

Si des fonds sont partis, ou si une phrase de récupération a été saisie quelque part, le reste doit rejoindre un portefeuille neuf. Le code analysé ne demande ni n’expose la seed phrase, mais toute saisie manuelle constitue une compromission distincte. Un transfert exécuté, lui, ne se rembobine pas. La chaîne publique enregistre, elle ne pardonnera pas.

Dernier réflexe, signaler l’adresse réceptrice à son fournisseur de wallet et à un service public de signalement, puis ignorer les messages providentiels des « récupérateurs de fonds » qui se manifestent dans les heures suivantes. Promettre le rapatriement de cryptos volées contre commission, c’est souvent la seconde arnaque servie à la même victime. Le premier vol crée une liste de gens paniqués. La deuxième équipe vend l’espoir.

• Révoquer d’abord les approvals tokens et NFT sur chaque chaîne touchée.
• Se déconnecter ensuite du site, sans croire que cela annule une signature déjà donnée.
• Inventorier ETH, SOL, stablecoins et collections, y compris les réseaux secondaires.
• Migrer vers un nouveau wallet si une seed a été tapée ou si des fonds ont bougé.
• Signaler l’adresse de destination et refuser toute offre de récupération miracle.

Les trois visages de l arnaque GTA 6 cette année

La première variante monétisait l’impatience brute. Des accès anticipés à plusieurs centaines de dollars, payés en crypto, pour un fichier qui n’existait pas. Le récit était celui de l’initié. On achetait une place dans une file imaginaire. Le paiement partait, le build ne venait pas, et parfois un second site proposait un « support » qui recopiait le même schéma.

La deuxième variante jouait la carte du jouable. Une démo, un lanceur, un fichier à télécharger. Derrière, un infostealer. Ici, le danger n’était plus seulement le wallet connecté au navigateur. C’était la machine entière : sessions, mots de passe, extensions, parfois la seed stockée dans un gestionnaire mal protégé. Le joueur croyait tester Vice City avant l’heure. Il ouvrait la porte de son ordinateur.

La troisième variante, celle de septembre 2026, combine vitrine premium et infrastructure industrielle. Plus besoin d’un exécutable. Le navigateur suffit. Le wallet suffit. La page suffit. C’est plus propre, plus rapide, plus simple à cloner. Un opérateur peut changer de domaine, garder le même kit, et relancer la campagne au prochain report, au prochain trailer, à la prochaine rumeur de build PC.

Sept réseaux, des stablecoins et le mythe du petit montant

Beaucoup de victimes se rassurent en se disant qu’elles n’ont « presque rien » sur le wallet de navigation. Le script, lui, ne croit pas aux presque rien. Il recense. Il convertit. Il priorise. Un reliquat de stablecoins sur Polygon, une collection oubliée sur Base, un airdrop jamais réclamé sur Arbitrum : tout cela entre dans le profil envoyé à l’opérateur. Le bouton « 1 SOL » sert d’ancrage psychologique. Il fixe un plafond mental. Le code n’a pas de plafond, hormis le solde et les frais.

Sur Solana, la logique du premier script est brutale. Lire, réserver les fees, envoyer le reste. Sur les chaînes EVM, la logique peut être plus patiente. Une approval illimitée sur un USDC ou un USDT permet de revenir plus tard, quand le wallet sera rechargé. C’est pourquoi la révocation n’est pas un luxe. C’est la seule façon de couper une autorisation qui n’a encore rien bougé mais qui le pourra demain.

Les NFT ajoutent une couche affective. On signe plus vite pour « vérifier » une collection, pour mint un objet lié à un jeu, pour prétendre débloquer un skin. Le drainer le sait. Une boutique de jeu n’a pas besoin d’un setApprovalForAll. Si cette demande apparaît, le scénario commercial est déjà mort. Il reste un vol en deux temps.

Rockstar ne vous demandera jamais votre Phantom

GTA 6 sortira le 19 novembre sur PlayStation 5 et Xbox Series X|S, via les boutiques que les joueurs utilisent déjà. Rockstar ne demande à personne de connecter un portefeuille crypto. Faute de version PC annoncée, toute page promettant un téléchargement ordinateur après paiement se disqualifie avant même d’afficher son bouton de connexion. Cette phrase devrait suffire. Elle ne suffit pas, parce que l’attente est plus forte que la fiche technique.

Les précommandes officielles existent depuis juin. Elles passent par les stores. Elles n’exigent ni SOL ni signature de contrat. Elles n’offrent pas de build leaké. Elles n’ont pas besoin d’un compte à rebours pirate pour exister. Dès qu’une page mélange leak, crypto et téléchargement PC, le diagnostic est posé. Ce n’est plus un site de fans. C’est une caisse enregistreuse inversée.

Une boutique qui vend un jeu n’a aucune raison de réclamer une permission durable sur vos tokens ou vos NFT. Si l’écran de signature le demande, ce n’est plus un achat. C’est une procuration.

Le marché des drainers et la banalisation du vol à la signature

Les 494 millions de dollars estimés pour 2024 ne décrivent pas une seule bande. Ils décrivent un marché. Des kits se vendent. Des panels affichent les profils des victimes. Des domaines se brûlent et se remplacent. Des créatifs volent les visuels d’un trailer. Des opérateurs se partagent une infra qui génère les transactions. Le site GTA n’est qu’une peau. Le muscle, c’est le service.

Cette industrialisation change la pédagogie. Il ne sert plus à grand-chose de dire « méfiez-vous des sites moches ». Les sites deviennent beaux. Il faut enseigner la lecture de la pop-up. Quel contrat. Quel montant. Quelle approval. Quelle chaîne. Combien de tokens. Vers quelle adresse. Si l’une de ces réponses est floue, on refuse. On peut toujours revenir plus tard. On ne peut pas revenir sur un transfert confirmé.

Les communautés elles-mêmes sont devenues un canal. Des comptes d’alerte circulent. Même des relais habitués au spectacle en ligne ont repris des mises en garde autour de la sortie. Cela n’empêche pas le prochain clone. Cela réduit seulement le temps pendant lequel le premier domaine reste crédible. D’où l’intérêt, pour les opérateurs, d’un kit qui se reconfigure sans retoucher la vitrine.

Lire une simulation comme on lit un ticket de caisse

Les wallets modernes ont fait des progrès. Une simulation n’est pas un gadget. Elle dit, en clair, si vous envoyez la totalité d’un jeton, si vous offrez une allowance infinie, si le destinataire n’a aucun historique raisonnable. Encore faut-il la regarder. Beaucoup d’utilisateurs ont appris à cliquer aussi vite que sur les conditions générales d’un store. Le drainer compte sur cette habitude.

Un exercice simple aide. Avant de signer quoi que ce soit hors d’un protocole que vous utilisez chaque semaine, demandez-vous si l’action décrite correspond à la phrase commerciale de la page. « Acheter une copie à 1 SOL » doit produire un débit d’environ 1 SOL, pas un vidage. « S’inscrire à une newsletter » ne doit produire aucune transaction. « Télécharger une démo » ne doit produire aucun approve NFT. Quand l’écart apparaît, ce n’est pas un bug d’interface. C’est le produit.

Il existe aussi des wallets hardware et des politiques de comptes séparés. Un hot wallet de navigation avec une petite liquidité. Un cold wallet pour le reste. Des approvals périodiquement nettoyées. Ce n’est pas de la paranoïa de collectionneur. C’est la conséquence directe d’un web où n’importe quelle page peut emprunter l’apparence d’un studio, d’une banque ou d’un jeu.

Ce que les fautes de la FAQ révèlent vraiment

On pourrait sourire du download mal orthographié et du GTA IV égaré. Ces scories ont une fonction. Elles rappellent que la qualité n’est pas uniforme. La vitrine a été volée à des sources propres. La boutique a été écrite à la va-vite, parfois par une autre main, parfois par un modèle de texte recyclé d’une campagne précédente. L’œil humain accroche d’abord aux images. Le texte du bas arrive trop tard.

D’où l’intérêt de lire le site à l’envers. Commencer par le footer. Lire la FAQ avant le hero. Chercher la mention PC. Chercher la mention paiement. Chercher la contradiction. Sur cette page, elle est énorme. Ailleurs, elle sera plus fine. Le réflexe reste le même. Un éditeur qui vend un jeu AAA n’a pas besoin de Solana pour encaisser. Un fan site honnête n’a pas besoin de vous faire signer un contrat.

Géographie du vol et limites de l attribution

La liste des pays bloqués fascine toujours. Elle donne l’impression d’un signature géographique. Stefan Dasic le dit clairement : une liste ne suffit pas à nommer les auteurs. Elle suffit à montrer une décision. Quelqu’un a accepté de dépouiller certaines populations et d’en épargner d’autres. Cette décision est opérationnelle, pas littéraire. Elle réduit un risque local. Elle ne raconte pas toute l’histoire.

Pour le lecteur, l’enseignement n’est pas « l’arnaque vient de tel pays ». L’enseignement est que l’outil est configurable. Aujourd’hui une liste CIS. Demain une autre. Le site que vous voyez n’est pas nécessairement piloté par celui qui a écrit le script de 2,4 Mo. Le drain-as-a-service découpe le travail. L’un fait la peau GTA. L’autre loue le moteur. Un troisième encaisse.

Après le vol, la deuxième équipe entre en scène

Les heures qui suivent un drain sont prévisibles. Des messages arrivent. Un compte se prétend enquêteur. Un autre propose un outil de tracing payant. Un troisième demande la seed « pour vérifier la compromission ». Tous ces messages traitent la victime comme un stock. La panique fait signer plus vite que l’envie de jouer à GTA 6.

La conduite utile est plus terne. Documenter l’adresse d’arrivée. Prévenir le support du wallet. Utiliser les canaux officiels de signalement. Révoquer. Migrer. Ne répondre à personne qui contacte en premier. Personne de légitime n’a besoin de votre phrase de récupération pour « aider ». Personne de légitime ne récupère des fonds volés contre un petit pourcentage versé d’avance sur un nouveau contrat mystérieux.

Comment l attente d un jeu AAA est devenue une surface d attaque

Les sorties géantes ont toujours attiré les contrefaçons. Disques piratés, clés bidons, fausses boutiques. La crypto ajoute une propriété nouvelle : la victime signe elle-même le vol, dans une interface qu’elle associe à la modernité et à la maîtrise. Elle n’a pas l’impression de se faire pickpocketer. Elle a l’impression de payer.

GTA concentre tous les ingrédients. Une marque planétaire. Une date déplacée. Une fuite ancienne encore commentée. Une absence de version PC qui crée le fantasme du fichier secret. Une communauté immense, donc un trafic publicitaire immense pour n’importe quel clone. Il serait naïf de croire que novembre calmera le phénomène. Le jour de sortie, d’autres pages vendront des cracks, des trainers, des maps, des comptes early. Le kit, lui, n’aura qu’à changer de skin.

La seule constante utile est institutionnelle et banale. Acheter le jeu où l’éditeur le vend. Ignorer les leaks payants. Traiter toute connexion wallet hors d’un usage DeFi volontaire comme un événement suspect. Ce n’est pas une morale de donneur de leçons. C’est la lecture technique du script de 2,4 Mo.

Une checklist avant le 19 novembre

Si vous suivez l’actualité du jeu, tenez une règle courte. Pas de wallet sur une page de fans. Pas de téléchargement PC tant que Rockstar n’en a pas annoncé. Pas de signature pour un prix d’affiche si la simulation montre autre chose. Pas de seed nulle part ailleurs que dans la procédure officielle de votre portefeuille. Pas de discussion privée avec un inconnu qui « récupère » des fonds.

Si vous administrez une communauté, répétez ces règles sans ironie. L’ironie n’arrête pas un clic. Un exemple concret oui : « si Phantom te demande d’envoyer tout ton SOL pour un jeu à 50 dollars, tu refuses ». La phrase est presque enfantine. Elle est plus efficace qu’un traité sur les approvals ERC-20.

Si vous avez déjà connecté un wallet à une page douteuse ces dernières semaines, ne attendez pas un débit visible. Allez révoquer. Parcourez Ethereum, Polygon, BNB Smart Chain, Avalanche, Arbitrum, Base, Fantom et Solana. Le script de cette campagne-là visait précisément ce périmètre. D’autres kits en viseront d’autres demain. Le geste reste le même.

Ce que cette affaire dit du web crypto en 2026

Elle dit d’abord que la frontière entre page de contenu et application financière a disparu. Une grille de news peut embarquer une bibliothèque de connexion. Un compte à rebours peut cacher un inventaire d’actifs. Le journalisme de fans, le marketing de jeu et la DeFi partagent désormais les mêmes boutons. L’utilisateur n’a pas changé d’onglet. Le contexte, si.

Elle dit ensuite que la défense se joue au moment le plus fragile, celui de la confirmation. Les bloqueurs, les listes noires, les antivirus aident. Ils ne remplacent pas la lecture de ce que l’on signe. Malwarebytes documente. Les wallets avertissent. Reste la main. Reste la seconde où l’on veut croire qu’un leak à 50 dollars existe.

Elle dit enfin que les chiffres de 2024 n’étaient pas un sommet accidentel. Un kit qui se loue, une peau qui se clone, une date de jeu qui se rapproche : le mélange est trop rentable pour s’arrêter tout seul. La sortie officielle du 19 novembre fermera une porte. Elle en ouvrira d’autres. La prudence n’est pas un accessoire de geeks. C’est la condition pour que l’attente d’un jeu reste une attente, et non un transfert.

Gardez cette image simple. La copie est presque parfaite. La boutique est bâclée. Le bouton promet 1 SOL. Le code vise le solde. Entre les deux, il n’y a qu’un écran. C’est le seul endroit où vous pouvez encore dire non.