Les contrôles de retrait les plus utiles sont la liste blanche d’adresses, un délai de sécurité pour toute nouvelle adresse, une 2FA robuste, des alertes de session et une confirmation via un canal protégé séparément. Configurez-les avant un incident : après la prise de contrôle du compte, un attaquant peut désactiver les protections faibles.
Procédure pas à pas#
- Activez la liste blanche et ajoutez soigneusement les adresses connues. Comparez l’adresse complète, le réseau, le mémo ou le tag depuis une source indépendante avant de l’enregistrer.
- Activez un délai de sécurité après toute modification d’adresse ou de paramètre. Vérifiez la durée exacte et testez qu’un retrait vers une nouvelle destination reste bien bloqué pendant cette période.
- Exigez un facteur matériel pour autoriser les retraits. Une clé de sécurité ou une passkey résistante au phishing offre une meilleure protection qu’un code reçu par SMS.
- Configurez des alertes immédiates pour les connexions et les retraits. Utilisez un canal distinct, surveillé et lui-même sécurisé, puis sachez où verrouiller rapidement le compte.
- Examinez les permissions API et désactivez les retraits par API sauf nécessité réelle. Limitez les droits, les adresses IP et la durée de vie des clés conservées.
L’idée essentielle#
La protection des retraits fonctionne comme une chaîne. Si l’e-mail, le téléphone et le mot de passe de l’exchange partagent le même parcours de récupération, une seule compromission peut neutraliser plusieurs protections en apparence distinctes.
Séparez ce que vous pouvez vérifier avant d’agir de ce qui ne peut qu’être surveillé ensuite. Imposez des limites strictes à cette seconde catégorie, notamment par les plafonds, les délais et les alertes.
Quand s’arrêter ou changer de méthode#
Effectuez un petit retrait test dès que l’actif, la blockchain ou la destination est nouvelle. Confirmez le réseau, le mémo ou tag, la compatibilité du destinataire et le montant net reçu avant d’envoyer le solde restant.
Les modes de défaillance à surveiller#
- Copier une adresse depuis l’historique sans nouvelle vérification. Une opération ancienne peut viser un autre réseau, et un attaquant peut provoquer des transactions parasites ressemblantes.
- Ajouter à la liste blanche la mauvaise version réseau d’une adresse. Le format identique de certaines chaînes ne garantit pas que la plateforme destinataire créditera le dépôt.
- Valider un e-mail de confirmation depuis un appareil inattendu. Reprenez la procédure depuis l’application officielle et vérifiez les sessions avant d’approuver.
- Désactiver les délais parce qu’ils paraissent contraignants. Cette contrainte est précisément ce qui vous laisse le temps de réagir après une modification frauduleuse.
Les preuves à conserver#
Ne considérez pas le réglage comme effectif parce que la page affiche « activé ». Testez-le et conservez des éléments qui restent vérifiables après la fermeture de la session.
| Point de contrôle | Preuve à obtenir | Condition d’arrêt |
|---|---|---|
| Activer la liste blanche et ajouter les destinations connues | Paramètre daté et adresses vérifiées, informations sensibles masquées | Adresse copiée depuis l’historique sans nouveau contrôle |
| Activer un délai après les changements d’adresse ou de sécurité | Test daté confirmant la période de blocage | Mauvais réseau enregistré pour l’adresse autorisée |
| Exiger un facteur matériel pour les retraits | Test de retrait et de récupération utilisant le facteur prévu | Confirmation par e-mail approuvée depuis un appareil inconnu |
Conservez les identifiants de retrait, résultats des tests et alertes datées utiles pour documenter ces réglages, mais excluez les mots de passe, phrases de récupération, clés privées et codes d’authentification.
Questions fréquentes#
Une liste blanche peut-elle empêcher tous les vols ?
Non. Un attaquant peut attendre la fin du délai de modification ou compromettre une destination déjà autorisée. La liste ajoute néanmoins une friction importante et un temps de réaction utile.
Pourquoi utiliser une adresse e-mail séparée ?
Elle réduit l’exposition aux fuites et au phishing de la messagerie quotidienne, tout en rendant les alertes de l’exchange plus faciles à repérer.
Qu’est-ce qu’un verrouillage des retraits ?
Certaines plateformes permettent de suspendre temporairement les retraits après une activité suspecte ou une modification de sécurité. Repérez cette commande et ses conditions avant un incident.
Guides associés#
Sources#
Avertissement sur les risques : les opérations en cryptomonnaies peuvent être irréversibles. Ne communiquez jamais votre phrase de récupération, votre clé privée, votre mot de passe ou un code d’authentification, et vérifiez indépendamment chaque domaine et chaque demande affichée par votre portefeuille.
Règles éditoriales
Ce guide est éducatif et fondé sur des sources. Les mesures de sécurité, règles des plateformes et exigences légales peuvent évoluer ; vérifiez les étapes importantes auprès des sources officielles.
