La copie est presque parfaite. Le site reprend l’apparence d’une page de fans consacrée à GTA 6, jusqu’aux visuels officiels et aux informations exactes sur sa sortie. Entre deux tuiles de gameplay, il propose d’acheter une copie « leakée » du jeu pour 50 dollars, ou pour 1 SOL, environ 102 dollars. Mais les internautes qui connectent leur portefeuille et valident la transaction risquent de perdre bien davantage : le code prépare le transfert de leurs actifs au lieu de facturer le prix annoncé.
C’est la troisième déclinaison de l’arnaque GTA 6 repérée cette année par l’éditeur d’antivirus Malwarebytes. La première vendait des « accès anticipés » à plusieurs centaines de dollars en cryptomonnaies, la deuxième déguisait un infostealer en démo jouable. Celle-ci charge un wallet drainer dès l’ouverture de la page, autrement dit un code conçu pour siphonner les actifs d’un portefeuille si son propriétaire valide la transaction ou l’autorisation proposée.
Points clés
Un faux site de fans GTA 6 propose une copie « leakée » à 50 dollars ou 1 SOL, mais charge un wallet drainer dès l’ouverture de la page
Le script de 2,4 Mo cible sept réseaux (Ethereum, Polygon, BNB Smart Chain, Avalanche, Arbitrum, Base, Fantom) et demande transferts ou approbations de tokens et NFT
Un paramètre nommé CIS_Protection bloque les visiteurs de dix pays de l’ex-URSS, une convention classique de l’outillage criminel russophone
La connexion du wallet ne vole rien : le danger se situe à l’écran de signature, où il faut refuser tout transfert du solde entier ou toute demande d’accès durable
Un décor irréprochable, une boutique bâclée
La partie vitrine ne souffre d’aucun défaut évident, selon les constatations des experts de Malwarebytes. Compte à rebours vers le 19 novembre, carte de Leonida, grille d’informations conforme aux annonces de Rockstar : sortie sur PlayStation 5 et Xbox Series X|S, aucune version PC au programme. Le copier-coller est propre, parce qu’il provient de sources légitimes.
Le discours commercial, lui, se contredit à chaque paragraphe. Le pied de page affirme que le site « ne propose aucun achat, téléchargement ni paiement d’aucune sorte », deux centimètres sous deux boutons de paiement. L’encart d’inscription à la newsletter s’intitule « Get notified. Not scammed. » La grille annonce un jeu réservé aux consoles quand la FAQ promet un téléchargement PC après achat, et jure qu’aucun prix n’a été confirmé alors que les précommandes officielles sont ouvertes depuis juin. Le mot « download » y est écorché, et une ligne parle de GTA IV au lieu de VI.
Entre ces approximations, une manœuvre bien rodée : la page prévient que tous les autres sites proposant du contenu « leaké » sont des arnaques, et qu’elle constitue le seul endroit sûr pour acheter. Dénoncer les escrocs concurrents reste la façon la plus économique de désarmer un visiteur déjà méfiant.
Le scénario tient debout parce qu’une véritable fuite a eu lieu. En septembre 2022, quatre-vingt-dix vidéos de gameplay pré-alpha issues des systèmes internes de Rockstar avaient été publiées par un adolescent affilié au groupe Lapsus$. Deux reports successifs ont depuis déplacé la sortie de l’automne 2025 au 26 mai 2026, puis au 19 novembre. Chaque décalage allonge d’autant la fenêtre d’exploitation offerte aux faussaires.
Un drainer proposé comme service, avec sa liste d’exclusion
Deux morceaux de code cohabitent sur la page, de facture très différente. Le premier, écrit en dur dans le HTML, vise les portefeuilles Solana. Il ne facture jamais le prix affiché : il lit le solde, laisse de quoi payer les frais de réseau et prépare le transfert de tout le reste vers l’adresse 21iWU6FJWJ9FKKz4Jek2CyTh2x1fqs5jawjrNgE3nHjN. Le « 1 SOL » du bouton n’entre dans aucun calcul.
Le second est un script de 2,4 Mo autrement plus ambitieux. Il embarque une bibliothèque légitime de connexion de wallets, largement utilisée sur le web, à laquelle a été greffé le code malveillant : inventaire des actifs, valorisation en dollars, transmission du profil à l’opérateur, puis récupération des transactions à faire signer à la victime. Sept réseaux sont couverts : Ethereum, Polygon, BNB Smart Chain, Avalanche, Arbitrum, Base et Fantom, avec reconnaissance des principaux stablecoins.
La nuance technique décide de tout. Un transfert emporte les fonds sur-le-champ. Une autorisation ne déplace rien dans l’immédiat : elle accorde à un tiers la possibilité de transférer ultérieurement des tokens ou des collections de NFT, tant que leur propriétaire ne l’a pas révoquée. Le script gère les deux scénarios et ajuste ses demandes au contenu du portefeuille.
Avant même d’afficher le bouton de connexion, il télécharge sa configuration depuis le serveur de l’opérateur et géolocalise le visiteur par son adresse IP. Dix pays déclenchent un message « This website is unavailable in your region » suivi d’une redirection vers une page blanche : Arménie, Azerbaïdjan, Biélorussie, Kazakhstan, Kirghizistan, Moldavie, Russie, Tadjikistan, Turkménistan et Ouzbékistan.
Épargner cet ensemble de pays de l’espace postsoviétique est une convention ancienne dans certains outils criminels, généralement interprétée comme une précaution vis-à-vis des polices locales. Dans le code, le paramètre porte un nom sans ambiguïté : CIS_Protection.
« Nous ne tirerions pas de conclusions sur l’identité des responsables à partir d’une simple liste de pays. Celui qui a construit cet outil a pris une décision délibérée sur les gens qu’il acceptait de dépouiller, et il a inscrit cette décision dans un fichier de configuration. »
Stefan Dasic, Senior Malware Research Engineer et responsable technique de la protection web chez Malwarebytes ThreatLabs.
Le reste de la panoplie suit : détection des navigateurs automatisés employés par les scanners de sécurité, extinction des messages de la console, entraves aux outils de développement, adresses de serveurs dissimulées. Surtout, l’adresse Solana inscrite dans la page n’apparaît nulle part dans le gros script, qui récupère à distance un identifiant d’opérateur et ses réglages sur une infrastructure fabriquant également les transactions présentées aux victimes.
Changer le bénéficiaire des vols ne demande donc pas de toucher au site. Plusieurs indices suggèrent un drainer proposé comme service à différents opérateurs, même si Malwarebytes n’a pas identifié précisément l’outil utilisé. Les deux domaines relevés, centrodigestionedellarapina[.]life et dasunerforschtelandamendederwelt[.]sbs, appartiennent à l’infrastructure malveillante analysée.
Le modèle rapporte : Scam Sniffer chiffrait à près de 494 millions de dollars les pertes infligées par ces kits sur la seule année 2024, à plus de 330 000 adresses.
L’écran de signature, dernière barrière avant la perte
Connecter son wallet ne donne rien à personne. La connexion expose une adresse publique, pas les fonds qui y sont déposés. Tout se joue à l’écran suivant, celui où le portefeuille réclame une signature.
Phantom simule chaque transaction avant validation et affiche en langage clair ce qui va se produire, avec une alerte lorsque l’opération paraît suspecte. MetaMask et Rabby proposent également des outils de simulation et des avertissements de sécurité. Aucun de ces garde-fous ne résiste pourtant à un clic réflexe sur « Confirmer ».
Deux signaux suffisent à tout arrêter. Une transaction qui déplace la totalité ou la quasi-totalité du solde là où l’on attendait 1 SOL. Et toute demande d’approbation, d’autorisation ou d’accès aux tokens et aux NFT : une boutique qui vend un jeu vidéo n’a aucune raison de réclamer une permission durable sur une collection.
Pour ceux qui ont déjà connecté leur portefeuille, l’ordre des opérations compte. Il faut d’abord révoquer les autorisations accordées, via un outil multichaîne comme Revoke.cash, l’outil d’Etherscan pour Ethereum ou l’explorateur correspondant au réseau utilisé. Se déconnecter du site ensuite, sachant que cette action n’annule aucune permission déjà signée. Vérifier enfin le contenu du wallet, tokens et NFT, sur chacune des chaînes utilisées.
Si des fonds sont partis, ou si une seed phrase a été saisie quelque part, le reste doit rejoindre un portefeuille neuf. Le code analysé ne demande ni n’expose la phrase de récupération, mais toute saisie manuelle constitue une compromission distincte. Un transfert exécuté, lui, ne se rembobine pas.
Dernier réflexe, signaler l’adresse réceptrice à son fournisseur de wallet et à un service public de signalement, puis ignorer les messages providentiels des « récupérateurs de fonds » qui se manifestent dans les heures suivantes. Promettre le rapatriement de cryptos volées contre commission, c’est souvent la seconde arnaque servie à la même victime.
