Le 1er septembre, Malwarebytes a publié l'autopsie d'un site qui n'a rien d'un leak et tout d'un guichet. La page imite un compte à rebours GTA 6, reprend les dates, la carte, le ton Rockstar. Puis elle propose une « copie » à 50 dollars, ou « 1 SOL ». Le bouton n'achète pas un jeu. Il prépare le vidage du portefeuille.

Ce n'est pas la première. C'est la troisième mouture vue par les mêmes chercheurs en 2026. En juin: de faux accès anticipés à prix fixe. En août: une fausse démo qui posait un infostealer. Celle-ci est plus propre, plus crypto: un drainer, chargé dès l'arrivée sur la page. L'analyste signé Stefan Dasic.

Comment le piège se ferme

Malwarebytes décrit deux charges. Un script Solana lit le solde, laisse de quoi payer les frais réseau, et envoie le reste. Le « 1 SOL » affiché n'entre dans aucun calcul. L'étiquette est du décor. Un second fichier, plus gros (environ 2,4 Mo), greffe du code hostile sur une bibliothèque de connexion de wallets. Il parle Ethereum et six autres chaînes EVM: Polygon, BNB Smart Chain, Avalanche, Arbitrum, Base, Fantom.

Le piège n'est pas « connecter ». Connecter, c'est montrer une adresse publique. Le piège est la signature: un transfert immédiat de tout le solde, ou une autorisation durable sur des jetons et des NFT, que l'opérateur peut exercer plus tard. Les phrases de récupération ne sont pas demandées. Inutile: si vous avez déjà signé, elles ne servent plus à grand-chose.

Le kit se comporte comme un loyer. Il télécharge ses réglages, y compris un identifiant d'opérateur, depuis un serveur distant. On peut changer l'adresse de destination sans retoucher le site. Avant la signature, la page profile: valeur des avoirs, IP, pays, nombre de connexions. Elle détecte les scanners et gêne les outils développeur. C'est un produit. Pas un adolescent dans un garage.

Les domaines observés (centrodigestionedellarapina[.]life, dasunerforschtelandamendederwelt[.]sbs) géolocalisent et excluent une liste de pays d'ex-URSS. Le footer peut nier les paiements, juste sous les boutons qui les demandent. L'incohérence n'est pas un bug. C'est du théâtre.

Ne pas tout mélanger

GTA 6, côté officiel, est annoncé pour le 19 novembre 2026, sur PlayStation 5 et Xbox Series, dans les boutiques des consoles. Rockstar ne demandera pas un Phantom pour précommander. Toute page qui mélange leak, PC miracle et wallet est un signal. Pas une promo.

Autre affaire, même calendrier: des fuites autour d'un token « Cyberleek » sur Solana, avec cash-out on-chain fin août. Ce n'est pas le même outil que le drainer du faux site boutique. Deux industries du hype, deux modes opératoires. Les coller dans un seul titre arrange les clics. Pas le lecteur.

Les drainers ont une statistique déjà ancienne, toujours utile. Scam Sniffer estimait à 494 millions de dollars les pertes de ce type de kits en 2024, sur plus de 330 000 adresses. C'est un ordre de grandeur. Pas le bilan de cette page-ci.

Si vous avez déjà cliqué

  • Ne signez rien. Fermer l'onglet ne révoque pas une autorisation déjà donnée.
  • Sur EVM: un outil de révocation (Revoke.cash ou l'explorateur), réseau par réseau.
  • Sur Solana: vérifiez les autorisations du wallet. Sortez les fonds vers une adresse saine si une approval tient encore.
  • Un hardware wallet n'est pas une amulette. Il affiche ce que vous confirmez. Lisez l'écran.

Un jeu AAA ne se paie pas en connectant un portefeuille. Un leak à 50 dollars n'est pas un leak. C'est un prix d'appel pour votre signature. Si des fonds ont bougé: capture d'écran, hash de transaction, dépôt de plainte. Pas un second site « de récupération ».

Nous nous appuyons sur l'analyse Malwarebytes du 1er septembre 2026. Rien ici n'est un conseil d'investissement. Les domaines sont volontairement désactivés (`[.]`) pour éviter les clics.

Un jeu AAA ne se paie pas en connectant un portefeuille. Un leak à 50 dollars n'est pas un leak. C'est un prix d'appel pour votre signature.— La rédaction

Le profilage avant signature n'est pas un caprice. Un kit qui lit le solde décide s'il vaut le coup de demander un transfert total ou une approval durable. Un wallet vide passe. Un wallet chargé paie le théâtre. D'où l'intérêt, pour l'escroc, de faire cliquer d'abord, signer ensuite.

Phantom, MetaMask et les autres affichent souvent un résumé. Le résumé peut mentir par omission: permission infinie, opérateur inconnu, réseau secondaire. L'écran d'un hardware wallet est plus pauvre, donc plus honnête. S'il dit « unknown » ou un montant égal au solde, la réponse est non.

Les infostealers d'août et les drainers de septembre ne s'excluent pas. Une fausse démo peut voler la machine. Un faux leak peut voler la chaîne. Les deux se vendent à la même hype GTA 6. Le réflexe commun: aucun fichier, aucune signature, pour un jeu qui sort en boutique officielle en novembre.

Scam Sniffer chiffre une industrie, pas cette URL. 494 millions en 2024 disent que le modèle économique existe. Ils ne disent pas combien cette page-ci a pris. Tant que les chercheurs n'ont pas publié de cluster on-chain lié à ces domaines, on s'en tient au mécanisme.

Comment reconnaître le piège avant de signer

Le site copie un compte à rebours, des visuels Rockstar, une date de sortie. Il manque toujours la même chose: une boutique console officielle. GTA 6, côté éditeur, se précommande sur PlayStation et Xbox. Pas via un wallet Phantom. Pas contre 1 SOL. Si un bouton mélange leak, PC et crypto, ce n’est pas un raccourci. C’est le produit.

Deux scripts, deux familles. Sur Solana, le code lit le solde, laisse de quoi payer les frais, emporte le reste. Sur EVM, il greffe du malicieux sur une bibliothèque de connexion et vise plusieurs chaînes d’un coup. L’étiquette « 50 $ » ou « 1 SOL » n’entre pas dans le calcul. Elle sert à faire cliquer.

Malwarebytes a aussi noté le profilage: valeur des avoirs, IP, pays, nombre de connexions. Le kit se loue. L’opérateur change l’adresse de destination sans retoucher la page. Les domaines observés géolocalisent et excluent une liste de pays. Fermer l’onglet après une signature déjà donnée ne révoque rien. Il faut passer par un outil de révocation, réseau par réseau.