Protéger ses cryptomonnaies : les erreurs qui coûtent cher
La plupart des pertes en crypto ne viennent pas du marché. Elles viennent d'erreurs évitables, presque toujours les mêmes.
Le principe que tout le monde saute
En crypto, il n'existe aucun service client capable de vous rendre vos fonds. Pas de reset de mot de passe, pas d'annulation de transaction, pas de recours. Une opération signée est définitive.
C'est le prix de la décentralisation, et c'est un compromis assumé : personne ne peut geler votre compte, mais personne ne peut non plus vous sauver. La documentation du XRP Ledger le dit sans détour — il n'existe aucun administrateur privilégié capable d'annuler une transaction une fois qu'elle est appliquée.
Tout le reste de cet article découle de ce principe. Si vous ne retenez qu'une chose : en crypto, la prévention est le seul recours qui existe.
La seed phrase : ce que c'est vraiment
Quand vous créez un portefeuille, on vous donne une suite de mots — douze ou vingt-quatre selon les cas. C'est la seed phrase, aussi appelée phrase de récupération.
Beaucoup la voient comme un mot de passe de secours. C'est une erreur de compréhension. Cette phrase est votre portefeuille. Les mots permettent de recalculer mathématiquement toutes vos clés privées, sur n'importe quel appareil, sans rien d'autre. Celui qui les possède possède vos fonds, immédiatement et sans limite.
Ce qui découle de ça, et que trop de gens font quand même :
- Jamais de capture d'écran. Elle se synchronise automatiquement vers Google Photos ou iCloud, et se retrouve sur un serveur que vous ne contrôlez pas.
- Jamais dans un courriel, une note, un message. Même à vous-même.
- Jamais saisie sur un site web. Aucun service légitime ne la demandera. Aucun. Une demande de seed phrase est, par définition, une tentative de vol.
- Sur papier, en plusieurs exemplaires, dans des lieux différents. Un incendie ou un dégât d'eau détruit une copie unique aussi sûrement qu'un vol.
Les trois façons de tout perdre
Presque toutes les pertes que j'ai vues se rangent dans l'une de ces trois catégories.
Le faux site. Un lien reçu, une publicité sponsorisée en tête des résultats de recherche, un domaine qui diffère d'une lettre. L'interface est identique à l'originale. Vous connectez votre portefeuille, vous signez, tout part. La parade est ennuyeuse mais efficace : accédez toujours aux sites sensibles par vos propres favoris, jamais par un lien ou une recherche.
Le faux support. Vous posez une question publiquement sur Discord, Telegram ou X. Dans les minutes qui suivent, quelqu'un vous écrit en privé pour vous aider. Il est serviable, patient, et il finira par vous demander votre seed phrase « pour vérifier » ou vous enverra un lien de « validation ». Aucun projet sérieux ne contacte ses utilisateurs en premier par message privé.
La signature aveugle. Vous approuvez une transaction sans lire ce qu'elle autorise réellement. Sur certaines blockchains, une seule signature peut donner un accès illimité à vos actifs. Prenez le temps de lire ce que demande chaque transaction, surtout si vous ne l'avez pas initiée vous-même.
Le SIM swap et le piège de la 2FA par SMS
Activer la double authentification est une bonne réflexe. La faire par SMS est une mauvaise idée, et c'est un point que la plupart des gens découvrent trop tard.
Un SMS dépend de votre opérateur téléphonique. Un attaquant qui parvient à convaincre le service client de transférer votre numéro vers une autre carte SIM — avec quelques informations personnelles glanées en ligne — reçoit alors tous vos codes. Il n'a jamais eu besoin de votre mot de passe.
Les personnes identifiables publiquement comme actives en crypto sont des cibles privilégiées pour ce type d'attaque. Si vous parlez de crypto sur les réseaux sociaux, considérez que vous êtes concerné.
La solution est simple : une application d'authentification, qui génère les codes localement sur votre appareil. Rien à intercepter. Et pensez à sauvegarder cette application ou ses codes de récupération — perdre son téléphone sans sauvegarde revient à perdre l'accès à tous les comptes concernés.
Hot wallet et cold wallet
Un portefeuille chaud est connecté à internet : une application mobile, une extension de navigateur. Pratique, rapide, exposé.
Un portefeuille froid garde les clés hors ligne, généralement sur un appareil physique dédié. La signature se fait sur l'appareil lui-même, la clé privée ne touche jamais votre ordinateur.
La bonne approche n'est pas de choisir, mais de répartir. Gardez sur le portefeuille chaud ce que vous êtes prêt à perdre — de quoi échanger, tester, participer. Mettez le reste au froid.
Une règle simple pour arbitrer : si perdre le contenu de votre portefeuille chaud vous empêcherait de dormir, il y a trop dedans.
Ce qui est propre au XRP Ledger
Le XRPL a quelques particularités que peu de ressources francophones expliquent. Elles méritent d'être connues.
La clé maîtresse ne peut jamais être changée. Elle est liée à votre adresse de manière définitive. Si elle est compromise, vous ne pouvez pas simplement la remplacer comme un mot de passe.
La clé régulière est la parade. Le XRPL permet d'autoriser une seconde paire de clés, appelée clé régulière, qui peut signer la plupart des transactions à la place de la clé maîtresse. Elle peut être changée ou retirée à tout moment.
La bonne pratique recommandée par la documentation officielle : garder la clé maîtresse hors ligne, et utiliser la clé régulière au quotidien. Si cette dernière est compromise, la clé maîtresse permet de la remplacer — et vous gardez le contrôle de votre compte.
Les trustlines et les faux tokens. Sur le XRP Ledger, détenir un token exige d'ouvrir une ligne de confiance avec son émetteur. Or n'importe qui peut créer un token portant n'importe quel nom : le code de la devise ne garantit rien, seul l'émetteur compte. Deux tokens nommés identiquement mais émis par deux adresses différentes sont deux actifs sans aucun rapport.
Avant d'ouvrir une trustline, vérifiez toujours l'adresse exacte de l'émetteur auprès d'une source officielle du projet. C'est le vecteur d'arnaque le plus courant sur le XRPL.
Les dépôts non sollicités. Vous pouvez recevoir des tokens que vous n'avez jamais demandés, souvent accompagnés d'un nom incitant à visiter un site. Ne suivez jamais ces liens. Un dépôt entrant ne présente aucun risque en soi ; c'est ce qu'il vous pousse à faire qui en présente un.
Liste de vérification
- Ma seed phrase est sur papier, en plusieurs exemplaires, dans des lieux distincts.
- Elle n'existe sous aucune forme numérique — ni photo, ni note, ni courriel.
- Ma 2FA passe par une application, pas par SMS.
- J'ai sauvegardé mes codes de récupération, hors de mon ordinateur.
- J'accède aux sites sensibles par mes favoris, jamais par une recherche ou un lien.
- Je ne réponds jamais à un message privé non sollicité proposant de l'aide.
- Je lis ce qu'autorise chaque transaction avant de signer.
- Le gros de mes fonds est sur un portefeuille froid.
- Sur le XRPL, j'ai vérifié l'adresse émettrice avant chaque trustline.
- J'ai envisagé de configurer une clé régulière et de garder ma clé maîtresse hors ligne.
Aucune de ces mesures n'est compliquée. Elles demandent simplement d'être prises avant l'incident plutôt qu'après — et c'est précisément ce qui les rend difficiles.