La protection des crypto-actifs repose sur cinq défenses : sécuriser son identité, choisir consciemment son mode de conservation, vérifier chaque signature, surveiller son exposition et préparer un plan de reprise. Un hardware wallet ne suffit pas à empêcher le phishing, les autorisations malveillantes, le piratage d’une adresse e-mail ou une transaction validée par erreur.
Commencer par comprendre comment les crypto-actifs sont réellement perdus#
La sécurité crypto ne se résume pas à un réglage. Un compte d’exchange peut être détourné via la récupération par e-mail ; un wallet non custodial peut être vidé après la fuite de sa phrase de récupération ; un wallet légitime peut signer une autorisation malveillante ; et une transaction correcte peut encore partir vers le mauvais réseau ou la mauvaise adresse. Chaque scénario exige une mesure différente.
| Couche | Défaillance courante | Première mesure |
|---|---|---|
| Identité | Piratage de l’e-mail ou du compte d’exchange | Mot de passe unique et MFA résistant au phishing |
| Conservation | Clé perdue ou défaillance du dépositaire | Séparer les fonds opérationnels des avoirs à long terme |
| Appareil | Malware ou extension hostile | Environnement de signature à jour et minimal |
| Transaction | Mauvaise adresse ou permission dangereuse | Vérifier réseau, destination, montant et autorité accordée |
| Récupération | Panique après un incident | Procédure de réponse écrite |
Recensez tous les éléments capables d’autoriser un mouvement : identifiants d’exchange, e-mail de récupération, numéro de téléphone, phrases de récupération, clés privées, hardware wallets, extensions de navigateur, clés API et allowances de smart contracts. Vous obtenez ainsi un modèle de menace exploitable plutôt qu’une liste de conseils génériques.
Adapter la conservation à l’usage#
Il n’existe pas de règle universelle défendable imposant, par exemple, de conserver un pourcentage fixe hors ligne. La répartition dépend du délai avant utilisation des actifs, des réseaux concernés, de votre capacité à maintenir des sauvegardes et de l’exposition que vous acceptez dans un même domaine de défaillance.
- Compte d’exchange : utile pour les actifs destinés au trading à court terme, mais dépendant de la sécurité du compte et du fonctionnement du dépositaire.
- Hot wallet : pratique pour l’activité on-chain habituelle, mais exposé au navigateur, aux extensions, au phishing et aux erreurs de signature.
- Hardware wallet : isole les clés de la navigation ordinaire, tout en restant dépendant d’une sauvegarde correcte et d’une vérification sincère des transactions.
- Wallet d’interaction : un wallet à faible solde utilisé avec des applications inconnues limite les conséquences d’une mauvaise autorisation ou signature.
Les recommandations de la SEC sur la conservation soulignent que l’auto-conservation transfère la responsabilité de la gestion des clés au propriétaire, tandis que la conservation par un tiers pose des questions de contrôle, de défaillance, de mélange d’actifs, d’assurance et de récupération. Il s’agit de risques différents, et non d’un simple choix entre « sûr » et « dangereux ».
Sécuriser son identité avant d’acheter un autre wallet#
L’e-mail de récupération peut être plus important que le mot de passe de l’exchange. Si un attaquant en prend le contrôle, il peut réinitialiser les identifiants, autoriser des appareils, masquer les alertes ou manipuler les échanges avec le support.
Utilisez un gestionnaire de mots de passe pour générer un mot de passe unique pour chaque compte financier. Protégez l’adresse e-mail principale avec le mécanisme MFA le plus robuste disponible. Préférez une clé de sécurité FIDO ou une passkey : la CISA et le NIST décrivent les méthodes FIDO/WebAuthn comme résistantes au phishing, alors que les codes SMS peuvent être interceptés ou redirigés et que les codes à usage unique d’une application peuvent toujours être saisis sur un faux site.
Conservez les codes de récupération hors ligne, supprimez les anciens téléphones et appareils, ajoutez un code PIN opérateur lorsque c’est possible et contrôlez les sessions actives. Activer une application d’authentification ne suffit pas si le SMS reste disponible comme solution de secours non protégée.
Maintenir les phrases de récupération hors de la surface d’attaque en ligne#
Une phrase de récupération est un secret maître. Quiconque l’obtient peut reconstituer le wallet sans disposer de votre appareil habituel, de son code PIN ou de son verrouillage biométrique.
Ne la stockez ni dans des notes cloud, ni dans un e-mail, une capture d’écran, une messagerie, un formulaire de support ou un document non chiffré. Notez les mots à l’abri des regards, conservez leur ordre exact et suivez la procédure de sauvegarde documentée par l’éditeur du wallet. Protégez la sauvegarde contre la consultation non autorisée, le vol, le feu, l’eau et la mise au rebut accidentelle.
Un hardware wallet n’améliore l’isolation que si vous vérifiez l’adresse et la transaction réelles sur son écran de confiance. Un malware peut modifier ce qui s’affiche sur l’ordinateur. Si une phrase de récupération est exposée, changer le mot de passe local du wallet ne résout rien : créez un wallet avec une nouvelle phrase dans un environnement de confiance, transférez les actifs restants et abandonnez tous les comptes dérivés de l’ancienne phrase.
Lire l’autorité accordée, pas seulement le libellé du bouton#
Avant de signer, contrôlez cinq champs :
- Actif : vérifiez le contrat ou l’identité de l’actif, et pas seulement son ticker.
- Réseau : assurez-vous que l’expéditeur et le destinataire utilisent le même réseau pris en charge.
- Destination : comparez l’adresse complète avec une source fiable.
- Montant : vérifiez la quantité, les décimales et les frais réseau.
- Autorité : déterminez si la demande transfère des actifs, autorise une dépense, modifie la propriété ou prouve simplement le contrôle.
Effectuez un petit transfert test pour un nouveau parcours, mais contrôlez de nouveau l’adresse complète avant le transfert principal. Ne recopiez pas une destination uniquement depuis l’historique : une attaque par empoisonnement d’adresse peut y insérer une adresse ressemblante.
Maîtriser les autorisations des smart contracts#
Connecter un wallet expose généralement une adresse publique. Signer accorde une autorité. La bonne question n’est donc pas seulement « Ce site est-il authentique ? », mais aussi « Que pourra faire ce contrat après mon départ ? ».
Utilisez un wallet d’interaction séparé, n’autorisez que le montant nécessaire lorsque l’interface le permet et révoquez les allowances obsolètes via un explorateur de blocs fiable ou un outil reconnu de contrôle des autorisations. Déconnecter un site ne révoque pas une allowance on-chain. Une révocation ne peut pas non plus annuler un transfert terminé ni réparer une phrase de récupération compromise.
Renforcer les comptes d’exchange sans ignorer le risque de conservation#
Lorsque la plateforme le permet, activez une MFA résistante au phishing, les listes blanches de retrait, les alertes de connexion, les délais après modification de sécurité et les codes anti-phishing. Limitez les clés API par permission et par adresse IP, et désactivez le droit de retrait sur les clés destinées uniquement au trading. Contrôlez régulièrement appareils et sessions.
Accédez au service depuis un favori enregistré plutôt que depuis un message ou une publicité. Un véritable agent du support n’a pas besoin de votre mot de passe, de votre code MFA, de votre phrase de récupération ni d’un accès à distance. Avant de choisir un dépositaire, vérifiez l’entité juridique qui vous sert, les conséquences d’une suspension des retraits, les modalités de détention des actifs et la couverture réelle de toute assurance annoncée.
Suivre un plan d’incident plutôt qu’improviser#
| Incident | Réponse immédiate |
|---|---|
| Compte d’exchange détourné | Sécuriser l’e-mail, verrouiller le compte, changer les identifiants, révoquer sessions et clés API, puis contacter le support officiel |
| Phrase de récupération exposée | Créer un nouveau wallet avec une nouvelle phrase et y transférer les actifs restants |
| Autorisation de token malveillante | Révoquer l’allowance, examiner les transactions et déplacer les actifs si le signataire peut être compromis |
| Malware suspecté | Cesser de signer, isoler l’appareil et sécuriser les comptes depuis un système sain |
| Paiement envoyé à un escroc | Alerter les plateformes concernées, préserver les preuves et signaler l’incident par les canaux officiels |
Conservez les adresses de wallet, hashes de transaction, types d’actifs, montants, dates, messages, URL et numéros de dossier. L’IC3 du FBI demande aux victimes de fournir les détails des transactions et avertit que les « agents de récupération » payants peuvent constituer une seconde arnaque.
Entretenir sa sécurité chaque mois#
Chaque mois, examinez l’historique de connexion, l’activité des wallets, les autorisations de tokens, les extensions du navigateur, les mises à jour des appareils et les clés API. Chaque trimestre, réévaluez la valeur exposée à chaque exchange, wallet, phrase de récupération et appareil. Testez les alertes, vérifiez les supports de récupération hors ligne et mettez à jour le plan d’incident écrit.
Ne testez pas une sauvegarde en la saisissant sur un site inconnu ou un ordinateur ordinaire. Suivez la procédure de vérification ou de récupération documentée par le fabricant.
Questions fréquentes#
Quelle quantité de crypto conserver sur un exchange ?
Il n’existe pas de pourcentage universel. Ne conservez que ce qui est nécessaire à l’usage prévu de l’exchange et ce que vous pourriez tolérer de voir temporairement inaccessible dans ce domaine de conservation.
Un hardware wallet est-il totalement sûr ?
Non. Il réduit l’exposition des clés, mais n’empêche ni la divulgation de la phrase de récupération, ni les signatures malveillantes, ni les transferts vers une mauvaise adresse, ni la destruction de toutes les sauvegardes.
La 2FA protège-t-elle un wallet non custodial ?
Elle peut protéger l’e-mail et les comptes custodiaux, mais la possession d’une phrase de récupération ou d’une clé privée permet généralement de contourner entièrement ces services.
Que faire après une signature suspecte ?
Identifiez la permission accordée, révoquez les allowances concernées, examinez l’activité récente et transférez les actifs restants si l’environnement de signature ou la phrase de récupération peut être compromis.
Sources#
- SEC Investor Bulletin: Crypto Asset Custody Basics
- CISA Mobile Communications Best Practice Guidance
- Ethereum.org: Security and Scam Prevention
- FBI IC3 Guidance for Cryptocurrency Scam Victims
Avertissement sur les risques : ce guide fournit des informations de sécurité, et non des conseils juridiques, d’investissement ou de récupération. Les transactions blockchain peuvent être irréversibles et les mesures disponibles varient selon le wallet, le réseau, la plateforme et la juridiction.
Règles éditoriales
Ce guide est éducatif et fondé sur des sources. Les mesures de sécurité, règles des plateformes et exigences légales peuvent évoluer ; vérifiez les étapes importantes auprès des sources officielles.
