Ne communiquez jamais une phrase de récupération à un agent du support, un développeur de wallet, un employé d’exchange, une page d’airdrop ou un service de « récupération ». Cette phrase n’est pas un moyen de vérifier votre identité : elle confère l’autorité nécessaire pour reconstruire le wallet et déplacer ses actifs.
La demande elle-même est le signal d’alerte#
Les escrocs inventent des explications techniques, car une demande formulée simplement paraîtrait absurde. Ils peuvent appeler la phrase « code de validation », « clé de synchronisation », « phrase de migration », « clé de rectification du wallet » ou « sauvegarde de conformité ». Changer son nom ne change pas ce qu’elle contrôle.
Une application décentralisée peut demander au wallet de se connecter ou de signer. Elle n’a pas besoin des mots de récupération sous-jacents. Un fabricant de hardware wallet peut dépanner un appareil sans connaître la phrase. Un exchange peut vérifier l’identité associée au compte, mais il n’a pas besoin du secret d’un wallet non custodial.
Les prétextes courants employés pour obtenir la phrase#
« Votre wallet doit être synchronisé »
L’attaquant envoie un lien vers un faux formulaire qui demande tous les mots. Un véritable wallet se restaure localement dans son application officielle, pas dans un formulaire Web générique.
« Le support doit réparer une transaction échouée »
Les transactions blockchain sont analysées à l’aide des adresses publiques et des hashes de transaction. La phrase de récupération n’est pas nécessaire pour les consulter.
« Réclamez ou débloquez un airdrop »
La page peut demander directement la phrase ou afficher une signature malveillante après la connexion. Une récompense inattendue ne justifie jamais d’exposer son autorité.
« Nous pouvons récupérer les fonds volés »
Les escrocs de la récupération ciblent les victimes au moment où elles ont peur et sont prêtes à faire confiance à un second inconnu. Quiconque demande votre phrase peut voler tout ce qui reste.
Pourquoi le mot de passe du wallet ne vous protège pas#
Le mot de passe protège généralement les données du wallet sur un seul appareil. La phrase de récupération peut recréer les clés dans un autre wallet compatible, en contournant le mot de passe, le verrouillage biométrique ou la session de l’extension d’origine.
Changer le mot de passe après la divulgation ne renouvelle pas les clés privées dérivées. La bonne réponse consiste à générer de nouvelles données de récupération et à transférer les actifs vers les adresses qui en sont dérivées.
Si vous avez déjà envoyé les mots#
Agissez comme si l’attaquant les détenait, même si aucun transfert n’est encore visible.
- Depuis un appareil de confiance, créez un nouveau wallet avec une nouvelle phrase.
- Vérifiez soigneusement l’adresse de destination.
- Déplacez les actifs natifs et tokens restants en tenant compte des frais réseau et des autorisations.
- Cessez d’utiliser tous les comptes dérivés de l’ancienne phrase.
- Conservez les messages frauduleux, le domaine et les preuves de transaction.
Ne créez pas un « nouveau compte » sous la même phrase compromise. L’attaquant peut également dériver ce compte.
Questions fréquentes#
Puis-je communiquer un ou deux mots sans risque ?
Aucun support légitime n’a de raison de demander des fragments. Une divulgation partielle réduit le secret et peut être recoupée avec d’autres informations volées.
Puis-je saisir la phrase dans mon wallet officiel ?
Uniquement lors d’une restauration que vous avez vous-même déclenchée dans un logiciel de wallet vérifié. Contrôlez l’application, l’appareil et l’environnement avant de le faire.
Un exchange fournit-il parfois une phrase de récupération ?
Les comptes d’exchange custodiaux classiques utilisent généralement des identifiants de compte et ne donnent pas à l’utilisateur la seed du wallet du dépositaire. Certains produits incluent un wallet non custodial distinct : identifiez précisément le produit utilisé.
Un QR code de la phrase est-il plus sûr que les mots ?
Non. Il encode le même secret et peut être copié par toute caméra ou application capable de le lire.
Sources#
- MetaMask: Secure Your Secret Recovery Phrase
- Trezor: Common Scams and Phishing
- Ethereum.org: Security and Scam Prevention
Avertissement sur les risques : dès qu’une phrase de récupération est exposée, considérez tous les comptes dérivés comme compromis et migrez vers de nouvelles données de récupération.
Règles éditoriales
Ce guide est éducatif et fondé sur des sources. Les mesures de sécurité, règles des plateformes et exigences légales peuvent évoluer ; vérifiez les étapes importantes auprès des sources officielles.
