Sécurité des portefeuilles : ce contre quoi chaque mesure protège, et ce qu’elle laisse ouvert

Les conseils de sécurité en crypto arrivent généralement sous forme de liste d’instructions sans le raisonnement. C’est un problème, car une mesure appliquée sans comprendre ce contre quoi elle protège produit de la confiance plutôt que de la sécurité.

Où les fonds se perdent réellement

Les pertes se concentrent dans un petit nombre de catégories. La compromission à distance d’un appareil connecté détenant des clés. L’approbation volontaire d’une transaction malveillante. La perte de la sauvegarde. L’envoi à une adresse erronée ou substituée. Et la défaillance d’une plateforme, où les fonds n’ont jamais été sous votre contrôle au départ.

Chaque défense ci-dessous en couvre certaines, et aucune ne les couvre toutes.

La conservation : la décision qui précède toutes les autres

Si vos actifs sont sur une plateforme, vous détenez une créance sur une société, pas l’actif. Aucune pratique de sécurité personnelle ne vous protège de la faillite de cette société, du gel des retraits ou d’une contrainte qui l’y oblige. À l’inverse, un portefeuille sans conservation supprime entièrement cette exposition et vous confie toute la charge opérationnelle, sans réinitialisation ni service client.

Aucun n’est correct en général. Ce qui compte, c’est de savoir lequel vous avez choisi, car la plupart des gens qui croient détenir du Bitcoin détiennent en réalité une ligne dans un registre tenu par quelqu’un d’autre.

Portefeuilles matériels et stockage à froid

Le stockage à froid garde les clés sur un appareil jamais connecté à internet. Les transactions sont signées sur l’appareil et la clé ne le quitte jamais.

Ce contre quoi il protège : la compromission à distance. Un logiciel malveillant sur votre ordinateur ne peut pas extraire une clé qui ne s’y trouve pas.

Ce qu’il ne fait pas : un portefeuille matériel signe ce que vous confirmez dessus. Si vous approuvez l’interaction avec un contrat malveillant, l’appareil l’exécute fidèlement. Il ne protège pas une phrase de récupération que vous avez photographiée. Et un appareil acheté chez un revendeur non officiel a pu être altéré avant de vous parvenir — achetez toujours en direct et vérifiez l’emballage.

La phrase de récupération est le portefeuille tout entier

Une phrase de récupération régénère toutes les clés du portefeuille. Qui la détient détient les fonds, quel que soit le matériel que vous possédez.

Cela produit deux modes de défaillance qui tirent en sens contraire. Rangez-la de façon trop accessible — une photo, une note dans le nuage, une entrée de gestionnaire de mots de passe, un e-mail à vous-même — et la compromission d’un seul compte emporte tout. Rangez-la avec trop de précautions et vous risquez de la perdre entièrement, ce qui est tout aussi définitif. La solution est la redondance physique : écrite ou gravée, en plus d’un lieu, de sorte qu’un incendie ou un cambriolage détruise une copie et non l’ensemble.

La seule règle sans exception : aucun portefeuille, plateforme, agent de support, airdrop ou service de récupération légitime ne vous demandera jamais votre phrase de récupération. Toute demande en ce sens est un vol. Il vaut la peine de l’intérioriser comme un absolu, car ces demandes arrivent à des moments conçus pour vous presser.

Les autorisations : l’attaque moderne

Interagir avec un contrat intelligent suppose généralement de lui accorder la permission de déplacer un jeton en votre nom, et ces permissions sont fréquemment illimitées et permanentes sauf révocation. Un contrat approuvé il y a des mois peut vider ce jeton plus tard.

Ce qui protège : examiner ce que vous signez plutôt que cliquer machinalement, accorder des allocations limitées lorsque le portefeuille le permet, et révoquer périodiquement les autorisations que vous n’utilisez plus. Un portefeuille distinct pour les interactions expérimentales, contenant peu, contient les dégâts.

Ce qui ne protège pas : un portefeuille matériel, qui signera l’autorisation exactement comme demandé.

La substitution d’adresse

Un logiciel malveillant qui remplace une adresse copiée par celle d’un attaquant est ancien et efficace, parce que presque personne ne lit attentivement une longue chaîne. Les transferts sont irréversibles : c’est donc une perte totale.

Ce qui protège : vérifier l’adresse sur l’écran de l’appareil matériel plutôt que sur celui de l’ordinateur, et envoyer d’abord un petit montant de test pour tout transfert important ou inhabituel. Vérifier les premiers et derniers caractères vaut mieux que rien, et les attaquants génèrent désormais des adresses qui y correspondent.

Une discipline utile qui traverse tout cela consiste à séparer les avoirs selon leur usage. Un portefeuille de dépense au solde modeste, pour les interactions courantes, et un portefeuille de long terme qui ne touche jamais un contrat inconnu, limitent toute erreur au montant que vous acceptiez d’exposer. La plupart des pertes catastrophiques impliquent un seul portefeuille faisant tous les métiers.

Le hameçonnage et le moment où l’on vous presse

La plupart des attaques réussies ne sont pas techniques. C’est un message qui crée l’urgence — une alerte de sécurité, une transaction échouée, un airdrop qui expire, un support qui répond anormalement vite à une plainte publiée publiquement — suivi d’un lien vers une réplique convaincante d’un site que vous utilisez.

Ce qui protège : ne jamais suivre depuis un message un lien menant à quoi que ce soit touchant vos fonds, et s’y rendre soi-même depuis un signet. Traiter par défaut comme hostile tout contact non sollicité du « support », puisqu’un support légitime n’initie pas la conversation sur votre portefeuille. Et reconnaître l’urgence elle-même comme le signal : la pression d’agir immédiatement est l’attaque, non une caractéristique de la situation.

Ce qui ne protège pas : aucun matériel. Un site de hameçonnage qui vous persuade de saisir une phrase de récupération ou d’approuver une transaction a contourné tous les appareils que vous possédez.

La défaillance que personne n’anticipe

L’auto-conservation a une propriété inhabituelle : la mesure qui protège vos fonds de tous les autres les protège aussi de votre propre famille. Des clés détenues par une seule personne, sans voie de récupération documentée, deviennent définitivement inaccessibles si cette personne est frappée d’incapacité ou décède.

Il n’y a pas de solution propre, seulement des arbitrages. Répartir une phrase entre plusieurs lieux, recourir à un dispositif multisignature exigeant plus d’une clé, ou déposer des instructions scellées chez un notaire réduisent chacun le point de défaillance unique tout en introduisant une partie susceptible de s’entendre contre vous ou de défaillir. Ce qui ne marche pas, c’est de supposer que la question ne se posera pas. Décidez délibérément comment les fonds seraient récupérés sans vous, et consignez-le à un endroit qui ne compromette pas lui-même les clés.

Ce que rien de tout cela ne couvre

Aucune de ces mesures ne protège contre une défaillance de protocole, le décrochage d’un stablecoin, ou un projet se révélant être un rug pull. Ce sont des risques de sélection d’actifs, non de conservation, et aucune configuration de portefeuille ne les traite. Rien de tout cela n’aide non plus face à la contrainte, raison pour laquelle parler publiquement de ses avoirs constitue une catégorie de risque à part entière.

Le résumé honnête est que la sécurité est un ensemble de défenses précises contre des attaques précises, et l’intérêt de savoir laquelle est laquelle est que vous cessez de supposer que l’une couvre les autres.