Comment stocker du bitcoin et des cryptomonnaies en sécurité

La façon la plus sûre de conserver du bitcoin et des cryptomonnaies est l'auto-conservation : un portefeuille matériel, une phrase de récupération écrite sur papier ou gravée dans l'acier et jamais photographiée ni saisie nulle part, et l'habitude délibérée de vérifier les adresses avant d'envoyer. Garder ses bitcoins sur une plateforme d'échange réglementée est un choix raisonnable pour de petits soldes que vous échangez souvent, mais cela revient à confier votre argent à la sécurité et à la solvabilité de quelqu'un d'autre. Tout le reste en matière de sécurité des cryptomonnaies n'est que du détail ajouté par-dessus ces deux décisions. Ce guide couvre honnêtement les deux modèles de conservation, puis détaille les couches pratiques : choisir un portefeuille matériel, gérer votre phrase de récupération, ajouter une phrase secrète, reconnaître les arnaques qui vident réellement les portefeuilles aujourd'hui, et faire en sorte que vos bitcoins ne meurent pas avec vous.

Pas vos clés, pas vos bitcoins

Chaque adresse bitcoin est contrôlée par une clé privée, et les portefeuilles modernes dérivent toutes leurs clés d'un seul secret maître appelé phrase de récupération. Celui qui détient ce secret contrôle les bitcoins. Il n'existe pas de service de récupération de compte pour la blockchain elle-même.

Cela mène aux deux modèles de conservation :

La conservation par une plateforme d'échange signifie que la plateforme détient les clés et que vous détenez une reconnaissance de dette. L'avantage est la commodité : vous pouvez vous connecter de partout, réinitialiser un mot de passe oublié et échanger instantanément. L'inconvénient est le risque de contrepartie. Lors de l'effondrement de FTX en novembre 2022, des clients qui croyaient détenir du bitcoin ont découvert qu'ils détenaient en réalité des créances non garanties dans une faillite. Les piratages, les gels de retrait et les blocages soudains liés à la conformité sont plus rares sur les grandes plateformes réglementées, mais le fait structurel ne change jamais : les bitcoins sur une plateforme d'échange sont les bitcoins de la plateforme, avec une promesse attachée.

L'auto-conservation signifie que vous détenez les clés, généralement via un portefeuille matériel. Personne ne peut geler, saisir ou perdre vos bitcoins à votre place. En échange, vous assumez l'entière responsabilité. Si vous perdez la phrase de récupération et l'appareil, les bitcoins sont perdus. Si vous vous faites piéger et signez une transaction malveillante, personne ne l'annule.

Une répartition raisonnable pour la plupart des gens : ne garder sur une plateforme d'échange réputée que ce que vous échangez activement, et placer les avoirs à long terme en auto-conservation. Plus le solde compte dans votre vie, plus il est justifié de détenir vos propres clés.

Portefeuilles matériels : la norme de l'auto-conservation

Un portefeuille matériel est un petit appareil qui génère et stocke vos clés dans une puce dédiée et signe les transactions en interne, de sorte que les clés ne touchent jamais votre ordinateur ni votre téléphone. Même si votre ordinateur portable est infesté de logiciels malveillants, ceux-ci ne peuvent pas extraire les clés de l'appareil. Tout aussi important, l'appareil a son propre écran : il vous montre la véritable adresse de destination et le montant avant que vous approuviez, ce qui déjoue les logiciels qui réécrivent silencieusement les transactions.

Trois règles pour l'acheter et l'utiliser :

• Achetez directement auprès du fabricant. Les appareils achetés chez des revendeurs de place de marché ou d'occasion peuvent être altérés avant de vous parvenir. Un appareil légitime génère une nouvelle phrase de récupération à la première utilisation ; si l'un arrive avec une phrase de récupération déjà remplie, c'est une arnaque conçue pour permettre au vendeur de le vider plus tard.
• Vérifiez sur l'écran de l'appareil, à chaque fois. Faites confiance à l'adresse affichée sur le portefeuille matériel, pas à celle de votre ordinateur, chaque fois que vous envoyez ou recevez.
• Définissez un code PIN pour qu'un voleur qui dérobe l'appareil ne puisse pas l'utiliser avant que vous ne restauriez vos fonds ailleurs.

Les portefeuilles logiciels sur un téléphone ou un ordinateur conviennent pour de petits soldes de dépenses, comme un portefeuille physique contient de l'argent de poche et non votre épargne. Comparez les options matérielles actuelles sur notre page portefeuilles.

Phrases de récupération : une règle avant toutes les autres

Quand vous configurez un portefeuille, il vous montre une phrase de récupération de 12 ou 24 mots courants. Ces mots sont le portefeuille. Quiconque les lit peut recréer votre portefeuille sur son propre appareil et tout prendre, depuis n'importe où dans le monde, sans toucher à votre matériel.

La règle qui compte plus que toute autre : la phrase de récupération ne devient jamais numérique. Pas de photo, pas de note dans le cloud, pas de brouillon d'e-mail, pas de gestionnaire de mots de passe, pas de fichier chiffré, pas de saisie dans un site web ou une application. Les photos se synchronisent vers les clouds, les clouds sont piratés, les presse-papiers sont lus par des logiciels malveillants, et les sites d'hameçonnage existent uniquement pour récolter les phrases de récupération saisies. Un portefeuille légitime ne demandera jamais la phrase de récupération que sur l'appareil matériel lui-même lors de la restauration, jamais dans un navigateur et jamais dans une fenêtre pop-up.

Gestion pratique :

• Écrivez-la à la main sur la carte fournie, ou mieux, gravez-la ou marquez-la sur une plaque d'acier qui résiste au feu et à l'eau.
• Conservez des copies dans deux endroits sécurisés distincts, comme un coffre à domicile et un coffre-fort bancaire.
• Ne cherchez pas à répartir les mots entre plusieurs endroits d'une manière que vous risquez d'oublier. La complexité est la façon dont les gens s'enferment eux-mêmes.
• Ne la lisez jamais à voix haute lors d'un appel et ne la montrez jamais lors d'un partage d'écran, peu importe qui le demande. Cette demande est l'arnaque.

Portefeuilles à phrase secrète : un 25e mot facultatif

La plupart des portefeuilles matériels prennent en charge une phrase secrète supplémentaire en plus de la phrase de récupération, parfois appelée « le 25e mot ». Ajouter une phrase secrète crée un portefeuille caché entièrement distinct : la même phrase de récupération avec une phrase secrète différente ouvre un portefeuille différent et vide. Cela vous protège si quelqu'un trouve physiquement votre phrase de récupération écrite, car les mots seuls ne déverrouillent plus vos fonds principaux. Cela permet aussi une configuration leurre, où la phrase de récupération seule ouvre un petit solde et la phrase secrète ouvre le véritable portefeuille.

Le compromis est sévère : il n'y a pas de réinitialisation. Une phrase secrète que vous oubliez, ou écrite avec un seul caractère erroné, détruit l'accès aussi complètement qu'une phrase de récupération perdue. Si vous en utilisez une, choisissez quelque chose que vous pouvez stocker ou mémoriser de façon fiable, et envoyez toujours un petit montant de test et effectuez une restauration complète avant d'y placer des fonds importants.

Les attaques qui fonctionnent réellement aujourd'hui

La plupart des pertes en cryptomonnaies aujourd'hui ne viennent pas de quelqu'un qui casse la cryptographie du bitcoin. Elles viennent de personnes amenées par la parole ou la ruse à céder de la valeur. Le centre de plaintes pour la criminalité informatique du FBI a enregistré 9,3 milliards de dollars de pertes signalées pour fraude liée aux cryptomonnaies de la part d'Américains pour la seule année 2024, en hausse de 66 pour cent par rapport à l'année précédente, les arnaques à l'investissement de longue haleine (souvent appelées arnaques dites « pig butchering ») causant les pertes les plus importantes. Quatre schémas méritent d'être connus en détail.

Hameçonnage par approbation

Sur des réseaux comme Ethereum, les jetons prennent en charge les approbations : vous pouvez autoriser une application à dépenser des jetons en votre nom. Des sites frauduleux imitent des distributions gratuites, des créations de jetons ou des outils de trading et vous demandent de signer ce qui ressemble à une confirmation de routine mais qui est en réalité une approbation de dépense illimitée. L'attaquant peut ensuite vider les jetons approuvés à tout moment ultérieur, sans autre signature de votre part. Des chercheurs de Chainalysis ont lié plus d'un milliard de dollars de pertes à cette technique depuis mai 2021. Défenses : lisez ce que vous signez sur l'écran de votre portefeuille matériel, soyez impitoyable avec les sites inconnus et révoquez périodiquement les anciennes approbations avec un outil de révocation réputé.

Empoisonnement d'adresse

Les attaquants envoient de minuscules transferts vers votre portefeuille depuis des adresses conçues pour ressembler à celles que vous avez utilisées, en faisant correspondre les premiers et derniers caractères. Plus tard, lorsque vous copiez une adresse depuis votre historique de transactions, vous copiez la leur. En mai 2024, une seule victime a envoyé 1 155 wrapped bitcoin, d'une valeur d'environ 68 millions de dollars, vers une adresse empoisonnée ; les fonds n'ont été rendus qu'après que les enquêteurs ont identifié l'attaquant, un résultat sur lequel personne ne devrait compter. Défenses : ne copiez jamais les adresses depuis l'historique des transactions, vérifiez plus que les quatre premiers et quatre derniers caractères, tenez un carnet d'adresses de destinations vérifiées et envoyez un petit montant de test avant tout transfert important.

Échange de carte SIM

Un attaquant convainc ou corrompt un employé d'un opérateur mobile de transférer votre numéro de téléphone sur sa carte SIM, puis intercepte vos codes par SMS et réinitialise vos comptes de plateforme d'échange et de messagerie. Les opérateurs américains doivent depuis la mi-2024 utiliser une authentification plus forte et vous informer des demandes de changement de carte SIM, mais l'attaque n'a pas disparu. Défenses : supprimez le SMS comme second facteur partout où c'est possible, utilisez une application d'authentification ou une clé de sécurité matérielle pour les plateformes d'échange et la messagerie, et définissez un code PIN ou un blocage de portabilité auprès de votre opérateur.

Faux support

Aucune plateforme d'échange, entreprise de portefeuilles ou projet blockchain légitime ne vous contactera jamais en premier pour résoudre un problème, et aucun n'aura jamais besoin de votre phrase de récupération. Les escrocs exploitent de faux comptes de support sur les plateformes sociales, achètent des annonces de recherche pointant vers des sites clonés et envoient des e-mails urgents au sujet de violations de données ou de mises à jour obligatoires de portefeuille. Les listes de clients divulguées aggravent la situation : des acheteurs de portefeuilles matériels ont reçu des messages d'hameçonnage convaincants pendant des années après des fuites de données de fournisseurs, comme la fuite de la base de données clients de Ledger en 2020. Défenses : mettez les vrais sites en favoris, saisissez les adresses vous-même, traitez tout contact non sollicité au sujet de vos cryptomonnaies comme hostile, et rappelez-vous que garder vos avoirs privés est en soi une défense. Notre guide sur ce qu'un VPN protège et ce qu'il ne protège pas couvre l'aspect confidentialité du réseau.

Succession : faites en sorte que vos bitcoins vous survivent

Une auto-conservation parfaitement menée peut malgré tout faire défaut à votre famille. Si vous êtes la seule personne au monde à pouvoir trouver et utiliser votre phrase de récupération, vos bitcoins sont perdus le jour où vous disparaissez. L'échec inverse est tout aussi réel : des instructions si accessibles qu'un proche, un colocataire ou un cambrioleur peut vider le portefeuille trop tôt.

Un plan de base réalisable :

• Tenez un inventaire en langage clair de ce qui existe et de l'endroit où cela se trouve (quel appareil, quels emplacements), conservé avec votre testament ou votre avocat. L'inventaire ne contient aucun secret.
• Gardez la phrase de récupération elle-même scellée dans un endroit sécurisé distinct auquel l'exécuteur testamentaire ne peut accéder que par la procédure successorale.
• Ne mettez jamais la phrase de récupération dans le testament lui-même ; les testaments peuvent devenir des documents publics lors de l'homologation.
• Si vous utilisez une phrase secrète, assurez-vous qu'elle est récupérable par le même processus, sinon la phrase de récupération est inutile.
• Faites faire à votre héritier prévu une restauration d'entraînement une fois. Un plan qui n'a jamais été testé est un espoir, pas un plan.

Des avoirs plus importants peuvent justifier des configurations multisignature ou la répartition de la phrase de récupération entre un avocat et un membre de la famille, mais un plan simple et testé vaut mieux qu'un plan sophistiqué et non testé.

La liste de contrôle finale

• Les avoirs à long terme se trouvent dans un portefeuille matériel acheté directement auprès du fabricant.
• La phrase de récupération n'existe que sur papier ou sur acier, dans deux endroits sécurisés, sans aucune copie numérique.
• Une phrase secrète protège les soldes importants, et elle est à la fois mémorisable et récupérable.
• Les comptes de plateforme d'échange utilisent une application d'authentification ou une clé de sécurité matérielle, jamais de codes SMS.
• Chaque envoi est vérifié sur l'écran de l'appareil, avec une transaction de test avant les montants importants.
• Les adresses ne sont jamais copiées depuis l'historique des transactions, et les anciennes approbations de jetons sont révoquées.
• Quiconque vous contacte en premier au sujet de vos cryptomonnaies est traité comme un escroc, parce qu'il l'est presque certainement.
• Un plan de succession écrit et testé existe, sans aucun secret dans le testament.
• Vous revoyez toute l'installation une fois par an.

Rien de tout cela n'exige un talent technique exceptionnel. Cela exige d'accepter qu'en cryptomonnaies, vous êtes la banque, et que les banques ont des procédures.