Une phrase de récupération divulguée signifie que chaque compte qui en dérive doit être considéré comme compromis, mais les cryptomonnaies ne sont pas nécessairement perdues tant qu’un attaquant ne les a pas déplacées. Créez un nouveau wallet sur un appareil sain et transférez immédiatement les actifs restants ; changer le mot de passe de l’application ne change pas la seed.
Une méthode concrète#
- Générez une nouvelle seed sur un appareil de confiance. Utilisez une application ou un portefeuille matériel vérifié, puis sauvegardez et testez ce nouveau secret hors ligne.
- Transférez les actifs natifs et les jetons de valeur vers les nouvelles adresses. Prévoyez le gas et l’ordre des opérations sans ajouter inutilement de fonds au wallet compromis.
- Déplacez les NFT et révoquez les autorisations résiduelles lorsque cela reste utile. Vérifiez chaque actif sur chaque réseau et confirmez les transferts on-chain.
- Mettez à jour les listes blanches d’exchange et les coordonnées de paiement. Conservez un inventaire daté pour éviter qu’un futur dépôt soit envoyé vers une ancienne adresse.
- Ne réutilisez jamais l’ancienne seed et ne déposez plus sur ses adresses. Marquez clairement le wallet comme compromis dans vos outils et procédures.
Ce qui compte réellement#
La phrase est le secret racine. Un attaquant peut l’importer dans une autre application sans déclencher d’alerte de connexion et surveiller les adresses pour voler de futurs dépôts.
Séparez ce que vous pouvez confirmer avant l’action de ce qui ne pourra qu’être surveillé ensuite. Imposez des limites strictes à cette seconde catégorie et traitez le secret comme définitivement perdu.
Une règle de décision réutilisable#
Si le wallet contient des positions DeFi complexes, planifiez soigneusement l’ordre des transactions et les frais nécessaires. Une assistance professionnelle peut être justifiée, mais aucun intervenant n’a besoin de connaître l’ancienne ou la nouvelle seed.
Les erreurs qui changent l’issue#
- Ajouter des fonds pour tester le portefeuille divulgué. L’attaquant peut automatiser leur retrait dès leur arrivée.
- Saisir la phrase dans un « vérificateur ». Vous exposez le secret à un nouveau service sans réparer la compromission initiale.
- Changer uniquement le mot de passe de l’application. Ce mot de passe protège l’accès local, pas l’importation de la seed sur un autre appareil.
- Annoncer publiquement la migration avant sa fin. Vous pouvez attirer l’attention sur les actifs et le calendrier de déplacement.
Les preuves à conserver#
Ne considérez pas la migration comme terminée parce que l’interface affiche une réussite. Vérifiez l’état on-chain de chaque actif et conservez des éléments contrôlables après la fermeture de la page.
| Point de contrôle | Preuve à obtenir | Condition d’arrêt |
|---|---|---|
| Préparer une nouvelle seed sur un appareil sain | Test daté de récupération, secret exclu du compte rendu | Nouveaux fonds ajoutés au wallet compromis |
| Déplacer les actifs natifs et jetons de valeur | Identifiants on-chain et soldes des nouvelles adresses | Ancienne phrase saisie dans un « vérificateur » |
| Transférer les NFT et traiter les permissions restantes | Transactions correspondantes et état des autorisations | Seul le mot de passe de l’application a été changé |
Conservez les identifiants de transaction, inventaires et captures datées utiles pour documenter la migration, mais excluez les phrases de récupération, clés privées et codes d’authentification.
Questions fréquentes#
Puis-je créer un nouveau compte sous la même phrase ?
Non. Toute personne disposant de cette phrase peut dériver et surveiller l’ensemble de ses comptes, y compris ceux créés plus tard.
Ajouter une passphrase sauve-t-il l’ancien wallet ?
Une passphrase crée d’autres comptes dérivés, mais ne protège pas les actifs déjà placés sous les chemins de la seed exposée.
Que faire si rien n’a bougé depuis plusieurs mois ?
L’attaquant peut attendre ou ne pas avoir remarqué la fuite. L’absence de vol ne rend pas le secret confidentiel à nouveau : migrez les actifs.
Guides associés#
Sources#
- Ethereum.org: Security and Scam Prevention
- MetaMask: Wallet Security
- CISA: Avoiding Social Engineering and Phishing Attacks
Avertissement sur les risques : les opérations en cryptomonnaies peuvent être irréversibles. Ne communiquez jamais votre phrase de récupération, votre clé privée, votre mot de passe ou un code d’authentification, et vérifiez indépendamment chaque domaine et chaque demande affichée par votre portefeuille.
Règles éditoriales
Ce guide est éducatif et fondé sur des sources. Les mesures de sécurité, règles des plateformes et exigences légales peuvent évoluer ; vérifiez les étapes importantes auprès des sources officielles.
