Des escrocs usurpant l'identité de l'artiste génératif Tyler Hobbs ont promu un faux mint de NFT QQL sur X, et au moins une personne aurait perdu des fonds après avoir interagi avec l'escroquerie.

L'alerte est parvenue le 20 octobre de Quit, vice-président blockchain de Yuga Labs, qui a indiqué dans une publication datée du 19 octobre 2026 que plusieurs comptes se faisaient passer pour Hobbs et prétendaient à tort que le mint du projet d'art génératif avait été rouvert.

« PSA QQL minting has not reopened », a écrit Quit. Selon sa publication, le portefeuille d'une personne avait déjà été drainé, tandis qu'un autre utilisateur a évité une perte similaire grâce à l'outil de sécurité Pocket Universe, qui simule les transactions en attente et signale les requêtes potentiellement malveillantes avant que les utilisateurs ne les signent.

PSA QQL minting has not reopened. Already aware of one person who got drained and one who would've if not for pocket universe. Scammer is making several accounts impersonating Tyler Hobbs. Please do not interact.

— Quit (@0xQuit) October 19, 6

Le vol signalé n'a pas été vérifié de manière indépendante. Aucune adresse de portefeuille, aucun détail de transaction ni estimation de pertes n'a été communiqué.

Une fausse enchère qui imite le lancement de QQL en 2022

Des publications sur X montrent que les usurpateurs promotionnaient une enchère néerlandaise de 900 QQL Mint Passes à partir de 50 ETH. Les messages revendiquaient un lien avec les créateurs d'origine, mais les documents officiels du projet ne mentionnent aucune nouvelle enchère. Dans une enchère néerlandaise, le prix commence élevé et diminue jusqu'à ce que les acheteurs absorbent toute l'offre.

Ces chiffres correspondent au véritable lancement de QQL en septembre 2022, lorsque Hobbs et son co-créateur Dandelion Man ont vendu 900 passes via une enchère néerlandaise ouverte à 50 ETH. Cette vente s'est clôturée à 14 ETH par passe et s'est épuisée en moins d'une heure, rapportant 12 600 ETH — soit environ 16,7 millions de dollars à l'époque. Comme la fausse annonce réutilise ces paramètres exacts, la correspondance avec les chiffres de 2022 ne constitue en soi aucun gage de légitimité.

QQL permet aux collectionneurs d'explorer différents résultats d'un algorithme génératif avant d'en choisir un à minter. Chaque Mint Pass ne peut être utilisé qu'une seule fois pour créer un NFT officiel, et la passe est brûlée après usage. Selon la documentation du projet, les Mint Passes n'expirent pas, de sorte que les détenteurs actuels peuvent toujours minter des œuvres officielles. L'alerte de Quit ne concernait que la fausse affirmation d'une nouvelle vente publique — QQL lui-même n'a pas repris le mint public.

Comment le drain de portefeuille a pu fonctionner

La publication de Quit ne nommait pas les faux comptes ni n'incluait de captures d'écran, et ne précisait pas si la victime avait visité un faux site web, approuvé un contrat malveillant ou signé un autre type de requête.

Des tactiques comparables sont bien documentées. Dans une alerte d'août 2023, le FBI a averti que des criminels se font passer pour des développeurs de NFT afin de voler des cryptomonnaies, parfois en créant des comptes de réseaux sociaux imitant de vrais comptes ou en les piratant. Ce type de publication crée souvent un sentiment d'urgence et dirige les victimes vers de faux sites web ; une fois le portefeuille connecté, les utilisateurs peuvent approuver des transactions permettant à des contrats malveillants de déplacer leurs actifs.

Des méthodes similaires sont apparues dans d'autres incidents récents. Le 5 octobre, la société de sécurité Salus a signalé des approbations malveillantes en USDG liées à Revenue, dans lesquelles les fonds étaient déplacés dans la même transaction que celle accordant l'autorisation. Certaines approbations restent actives jusqu'à ce que le propriétaire du portefeuille les révoque, ce qui peut permettre à un contrat de déplacer des actifs longtemps après l'interaction initiale. Des outils comme le vérificateur d'approbations de tokens d'Etherscan permettent aux propriétaires de portefeuilles de passer en revue et de révoquer les approbations en cours.

Vérifier l'authenticité des QQL Mint Passes

Dans les NFT d'art génératif, la provenance — le lien vérifiable entre une œuvre et son contrat officiel — est ce qui distingue une œuvre authentique d'une contrefaçon. La documentation de QQL répertorie le contrat officiel des Mint Passes sous l'adresse 0xc73B17179Bf0C59cD586Bb25247D1D1092c1088. Les acheteurs potentiels peuvent vérifier cette adresse sur Etherscan, un explorateur de blocs Ethereum public, avant d'acheter des passes sur les marchés secondaires. Le projet met également en garde contre l'existence de collections de Mint Passes contrefaites.

Au moment de la publication, la manière exacte dont l'attaque signalée s'est déroulée restait floue. Toute future annonce de mint circulant sur X peut être vérifiée auprès des mêmes références : l'adresse officielle du contrat et la documentation du projet, ainsi que la confirmation que QQL n'a pas repris le mint public.

Ce rapport a d'abord été publié par Blockonomi.