L’attente autour de GTA 6 offre une nouvelle opportunité aux cybercriminels. Un faux site consacré au prochain jeu de Rockstar propose aux internautes une prétendue copie « leakée » contre 50 dollars ou un paiement de 1 SOL. Mais derrière cette offre se cache un wallet drainer capable de siphonner les cryptos d’une victime. Le dispositif ne se limite d’ailleurs pas à Solana. Il cible également plusieurs blockchains majeures, dont Ethereum, BNB Smart Chain, Polygon et Arbitrum.
L’arnaque repose toutefois sur une étape déterminante : la victime doit connecter son wallet puis approuver une transaction ou une autorisation malveillante.
Une fausse version de GTA 6 proposée contre 50 dollars ou 1 SOL
Les cybercriminels exploitent l’énorme popularité de GTA 6 pour attirer leurs victimes vers un site particulièrement convaincant.
La page reprend plusieurs éléments associés au jeu de Rockstar. Elle affiche notamment un compte à rebours jusqu’au 19 novembre, la carte de Leonida ainsi que différents visuels et renseignements liés au titre.
Au milieu de ces informations apparaît une offre beaucoup plus inhabituelle. Le site affirme posséder une copie « leakée » de GTA 6 qu’il propose pour 50 dollars.
Les visiteurs peuvent également choisir un règlement en crypto. Le tarif affiché atteint alors 1 SOL, soit environ 102 dollars au moment où Malwarebytes a analysé la fraude.
Le prix ne correspond pourtant pas à ce que le programme tente réellement de prélever.
Dans le cas du script destiné à Solana, le code vérifie le solde disponible dans le wallet de la victime. Il conserve uniquement une petite quantité nécessaire au paiement des frais de transaction et prépare le transfert du reste des fonds.
Le montant de 1 SOL affiché sur la page n’intervient donc pas dans le calcul de la transaction.
Un wallet drainer se cache derrière le faux site GTA 6
Cette arnaque repose sur un outil connu dans l’écosystème crypto sous le nom de « wallet drainer ».
Contrairement à un simple faux paiement, son objectif consiste à récupérer les actifs présents dans le portefeuille de la victime.
Malwarebytes a identifié deux composants malveillants distincts sur le site.
Le premier cible directement les wallets Solana. Une fois le portefeuille connecté, il analyse son solde et prépare une transaction destinée à transférer la quasi-totalité des SOL disponibles vers une adresse contrôlée par l’attaquant.
Le deuxième mécanisme se révèle beaucoup plus sophistiqué.
Il repose sur un script d’environ 2,4 Mo qui intègre une bibliothèque légitime conçue pour permettre aux sites Internet d’interagir avec différents wallets crypto. Les cybercriminels lui ont ajouté du code malveillant.
Cette combinaison permet au programme d’identifier les actifs de la victime et de préparer les opérations qu’il souhaite ensuite lui faire approuver.
Ethereum, Polygon et plusieurs autres réseaux crypto sont ciblés
Les détenteurs de SOL ne constituent donc pas les seules victimes potentielles.
Le wallet drainer analysé par Malwarebytes peut fonctionner sur sept réseaux :
- Ethereum ;
- Polygon ;
- BNB Smart Chain ;
- Avalanche ;
- Arbitrum ;
- Base ;
- Fantom.
À cela s’ajoute le mécanisme distinct destiné à Solana.
Le script peut dresser un inventaire des actifs disponibles dans le portefeuille connecté. Il calcule également leur valeur estimée en dollars et communique ces informations à l’opérateur du dispositif.
Le programme reconnaît notamment différents stablecoins. Les NFT présents dans les wallets peuvent également être ciblés.
Le montant que risque de perdre une victime ne dépend donc pas du prix affiché pour le faux GTA 6. Un wallet contenant plusieurs milliers de dollars de cryptos peut potentiellement exposer une somme bien supérieure aux 50 dollars ou au SOL demandé par le site.
La signature d’une transaction déclenche réellement le danger
Une distinction reste essentielle pour comprendre cette attaque. La simple connexion du wallet au site ne suffit pas, à elle seule, à permettre le transfert des cryptos.
Le véritable danger intervient lorsque l’utilisateur approuve la transaction ou l’autorisation présentée par le site.
Le drainer peut alors recourir à plusieurs méthodes.
Dans le premier scénario, la victime signe une transaction qui autorise directement le transfert de ses cryptos. Les fonds peuvent alors partir immédiatement.
Dans le second cas, la demande porte sur une autorisation accordée au programme pour accéder à certains tokens ou NFT.
Cette situation peut être encore plus trompeuse. Les actifs ne sont pas nécessairement transférés immédiatement. L’autorisation accordée peut permettre au cybercriminel d’effectuer certaines opérations ultérieurement.
Une victime peut donc quitter le faux site en pensant avoir évité l’arnaque alors qu’elle a déjà accordé une permission dangereuse.
Le faux site analyse même la valeur des wallets
L’infrastructure découverte par Malwarebytes ne se contente pas de préparer des transactions malveillantes.
Le script établit également un profil des visiteurs. Il peut notamment analyser les différents actifs détenus et estimer la valeur totale du portefeuille.
Des informations comme les tokens, les NFT, l’adresse IP ou le pays du visiteur peuvent être communiquées à l’opérateur.
Un autre détail du code a attiré l’attention des chercheurs. Un paramètre baptisé « CIS_Protection » empêche le fonctionnement du dispositif dans dix pays.
La liste comprend l’Arménie, l’Azerbaïdjan, la Biélorussie, le Kazakhstan, le Kirghizistan, la Moldavie, la Russie, le Tadjikistan, le Turkménistan et l’Ouzbékistan.
Malwarebytes souligne que l’exclusion géographique de certains territoires apparaît dans différents outils criminels. Cette caractéristique ne permet toutefois pas d’identifier les personnes qui se trouvent derrière l’attaque.
GTA 6 devient un appât récurrent pour les cybercriminels
Cette campagne ne constitue pas la première fraude détectée autour du jeu de Rockstar en 2026.
Malwarebytes affirme avoir observé trois méthodes différentes depuis juin.
La première reposait sur de faux accès anticipés à GTA 6. Les victimes envoyaient plusieurs centaines de dollars en cryptos mais ne recevaient évidemment aucun jeu en échange.
Une autre campagne découverte en août proposait de prétendues démos ou versions d’aperçu. Le téléchargement installait en réalité un infostealer destiné à dérober des informations sur l’ordinateur de la victime.
La nouvelle variante franchit une étape supplémentaire avec l’utilisation d’un wallet drainer.
Les cybercriminels adaptent ainsi leurs méthodes tout en conservant le même appât : la possibilité d’accéder à GTA 6 avant sa disponibilité officielle.
Comment éviter l’arnaque crypto autour de GTA 6 ?
La première précaution consiste à se méfier de toute prétendue version jouable ou « leakée » proposée avant la disponibilité officielle du jeu.
Une demande de connexion d’un wallet crypto doit également constituer un important signal d’alerte lorsqu’elle apparaît sur un site qui prétend vendre GTA 6.
L’écran de validation du portefeuille constitue ensuite une protection essentielle.
Avant toute signature, l’utilisateur doit examiner précisément ce que la transaction autorise. Une demande de transfert de la totalité ou de la quasi-totalité du solde ne correspond évidemment pas à l’achat d’un jeu pour un montant fixe.
Il faut également se méfier des demandes d’accès étendu aux tokens ou aux NFT.
Une autre précaution consiste à éviter de connecter à des sites inconnus un wallet qui contient une part importante de son patrimoine crypto.
L’arnaque découverte autour de GTA 6 illustre finalement un risque plus général. L’apparence professionnelle d’un site, la présence de visuels authentiques ou l’exactitude de certaines informations ne prouvent pas sa légitimité. Pour les détenteurs de cryptos, la vérification des autorisations demandées avant chaque signature reste l’une des protections les plus importantes contre les wallet drainers.
