L'INFORMATEUR CRYPTOLe principe : choisis un niveau que tu vas vraiment tenir
La meilleure sécurité n'est pas la plus paranoïaque : c'est celle que tu appliques tous les jours. Une configuration très stricte que tu abandonnes au bout d'un mois te protège moins qu'un dispositif simple, tenu dans la durée. Ce guide est donc découpé en trois niveaux : commence par le premier, puis monte d'un cran à mesure que tes montants augmentent.
Les 10 règles d'or de la sécurité crypto
- Un hardware wallet acheté directement chez le fabricant, et un petit wallet chaud pour le quotidien.
- La seed phrase sur papier ou métal, dans deux lieux sûrs. Jamais en numérique, jamais tapée sur un site.
- Personne de légitime ne te demandera ta seed, un code 2FA ou de lancer une commande. Jamais.
- Pas de 2FA par SMS : application hors ligne ou clé physique.
- Un gestionnaire de mots de passe, et un mot de passe unique par compte.
- Vérifier chaque adresse en entier et ne jamais signer ce que tu ne comprends pas.
- Révoquer régulièrement les autorisations (approvals) des smart contracts.
- Uniquement des liens officiels, enregistrés en favoris. Jamais ceux reçus en message privé ou les publicités.
- Séparer les wallets : exchange, épargne et DeFi ne se mélangent pas.
- Ne jamais afficher ce que tu possèdes, en ligne comme dans la vraie vie.
Niveau 1 · Les bases, pour tout le monde
Ton portefeuille : un coffre et un porte-monnaie
Garde l'essentiel de tes cryptos sur un hardware wallet (Ledger, Trezor, Keystone…), un appareil qui conserve tes clés hors ligne. Pour l'usage quotidien (tester une application, acheter un petit token), utilise un wallet chaud séparé, avec seulement ce que tu es prêt à perdre.
La seed phrase : la règle numéro un
- Note-la sur papier ou sur une plaque en métal, et conserve-la hors ligne, dans deux lieux sûrs.
- Jamais en numérique : ni photo, ni capture d'écran, ni note, ni e-mail, ni cloud, ni messagerie.
- Ne la tape jamais sur un site, un ordinateur ou un téléphone. Les faux « outils de récupération » et fausses « mises à jour de firmware » sont des arnaques classiques. Une seed de hardware wallet ne se saisit que sur l'appareil lui-même.
- Si une copie numérique est inévitable (petit wallet chaud uniquement), chiffre-la ou range-la dans un gestionnaire de mots de passe. Pour un cloud, chiffre le fichier avant envoi (Cryptomator) ou utilise un service chiffré comme Proton Drive.
Arnaques et manipulation : pars du principe que tes données ont fuité
Ton nom, ta date de naissance, ton adresse ou ton IBAN circulent probablement déjà suite à des fuites de données. Quelqu'un qui les connaît ne prouve donc rien.
- Méfie-toi des faux supports, des fausses vérifications KYC et des « réunions Zoom » pour régler un problème.
- N'exécute jamais une commande ni n'installe un logiciel qu'on te demande pendant un appel.
- Ne communique jamais ta seed, tes mots de passe ou tes clés d'API à un assistant d'intelligence artificielle, et ne laisse pas un agent IA naviguer dans une session connectée à ta banque, un exchange ou un wallet.
Exchanges et clés d'API
- Active la double authentification par application ou clé physique, la liste blanche d'adresses de retrait et le code anti-phishing (il apparaît dans les vrais e-mails de la plateforme).
- Une clé d'API ne doit jamais avoir le droit de retrait : limite-la à une adresse IP, plafonne-la et renouvelle-la régulièrement.
Double authentification (2FA) : pas de SMS
- Le SMS est vulnérable au SIM swap : un escroc fait transférer ton numéro et reçoit tes codes.
- Utilise une application hors ligne et open source (Aegis sur Android, Ente Auth sur iPhone) ou une clé physique type YubiKey (achètes-en deux, dont une de secours).
- Désactive la sauvegarde cloud de l'application 2FA, garde les codes de secours hors ligne et demande à ton opérateur de bloquer la portabilité de ta ligne.
Mots de passe : un gestionnaire et une part secrète
- Utilise un gestionnaire reconnu (Bitwarden, Proton Pass, 1Password ou KeePass) plutôt que celui du navigateur, et un mot de passe unique par compte.
- Remplissage automatique uniquement sur les domaines vérifiés : s'il ne se déclenche pas, c'est peut-être un faux site.
- Pour tes comptes les plus sensibles, ajoute une part secrète mémorisée, jamais enregistrée, à la fin du mot de passe stocké : même si ton coffre fuit, il ne suffit pas.
Transactions et signatures
- Empoisonnement d'adresse : vérifie l'adresse en entier, pas seulement le début et la fin, et ne la copie jamais depuis ton historique de transactions.
- Désactive la signature aveugle (blind signing) quand ce n'est pas indispensable. Si tu ne comprends pas ce que fait une signature, ne la signe pas : une simple signature hors chaîne (permit) peut suffire à vider tes tokens.
- Simule les transactions importantes avant de signer (Rabby sur EVM, ou des simulateurs comme Phalcon et Sentio).
- Vide le presse-papier après avoir collé une information sensible.
Autorisations (approvals) et surveillance
- Révoque régulièrement les autorisations accordées aux smart contracts avec Revoke.cash, surtout après avoir testé une nouvelle application. Sur EVM, vérifie aussi les délégations EIP-7702 ; sur Solana, les délégations d'autorité de tokens.
- Mets des alertes sur tes adresses (par exemple avec Arkham) pour être prévenu de tout mouvement.
Liens et vérifications
- N'utilise que des liens officiels enregistrés en favoris ou issus de comptes vérifiés. Ignore les liens reçus en message privé, les publicités et les premiers résultats de recherche (souvent sponsorisés).
- Avant un gros mouvement, cherche le nom du projet avec « hack », « exploit » ou « piraté », et recoupe au moins deux sources.
Navigateur, extensions et appareils
- Crée un profil de navigateur dédié aux cryptos, synchronisation désactivée, avec seulement l'extension de ton wallet. Navigue au quotidien ailleurs.
- Installe le moins d'extensions possible : une extension saine peut devenir malveillante après une mise à jour.
- Active le chiffrement du disque (FileVault sur Mac, BitLocker sur Windows) et retire les permissions inutiles (caméra, micro, presse-papier, localisation).
- Ne branche jamais une clé USB ou un câble inconnu, désactive le téléchargement automatique des médias dans tes messageries, et n'installe pas d'APK hors des magasins officiels.
- Analyse un fichier suspect avec VirusTotal (sans y envoyer de document privé) ; pour ouvrir un PDF douteux, Dangerzone le reconstruit en version inoffensive.
E-mails, alias et messageries
- Utilise une adresse e-mail dédiée aux comptes crypto et aux commandes de matériel, sans lien avec ton nom (Proton Mail par exemple).
- Masque tes inscriptions avec des alias (SimpleLogin, Addy.io) : tu repères qui a fait fuiter ton adresse et tu la coupes.
- Vérifie si tes adresses ont fuité sur Have I Been Pwned. Si oui, change les mots de passe et redouble de vigilance face au phishing ciblé.
- Pour les sujets sensibles, préfère Signal à Telegram ou WhatsApp.
Réseau, comptes et habitudes
- Un pare-feu applicatif (LuLu ou Little Snitch sur Mac, Portmaster sur Windows et Linux) et un DNS filtrant (NextDNS) bloquent beaucoup de domaines piégés et de typosquatting.
- Durcis tes comptes : vérification en deux étapes et numéro masqué sur Telegram, messages privés des membres désactivés sur Discord, protection contre le vol sur iPhone et Android. Déconnecte régulièrement les autres sessions.
- Sépare tes wallets (exchange avec KYC, épargne, DeFi) et évite les transferts directs entre eux. Un compte bancaire dédié aux achats et ventes de cryptos limite les dégâts.
- Fais un exercice : simule la perte de ton téléphone et chronomètre le temps qu'il te faut pour tout récupérer.
Niveau 2 · Intermédiaire : multisig et cloisonnement
Dès que les montants deviennent importants, l'objectif est qu'une seule erreur ou un seul appareil compromis ne suffise plus à te faire tout perdre.
- Place l'essentiel dans un multisig 2 sur 3 (Safe sur les blockchains EVM ; un multisig compatible hardware pour le Bitcoin) : trois clés, deux signatures nécessaires.
- Utilise des fabricants différents pour chaque signataire (par exemple Ledger, Trezor et GridPlus) : un appareil piégé ne peut pas déplacer les fonds seul.
- Confie éventuellement une clé à une personne de confiance, sur son propre appareil, avec une procédure convenue en cas de perte.
- Ajoute une passphrase BIP39 : sans elle, la seed ouvre un petit portefeuille leurre crédible ; avec elle, le vrai coffre. Teste la restauration : une passphrase oubliée est une perte définitive.
- Utilise un téléphone dédié uniquement aux wallets : neuf, réinitialisé, code long, aucune application superflue.
- Sur Safe, vérifie chaque transaction sur l'écran du hardware wallet : le bon contrat cible et une opération de type Call, pas DelegateCall.
- Range la sauvegarde de chaque signataire séparément, hors ligne.
- Paie ton matériel avec une carte virtuelle plafonnée, sécurise ta box internet (mot de passe admin changé, WPS et UPnP désactivés, objets connectés isolés).
- Désactive l'historique du presse-papier, efface les métadonnées de tes photos avant publication, et privilégie un VPN sans journaux et des RPC respectueux de la vie privée.
- Vérifie l'empreinte (hash SHA-256) des logiciels de wallet téléchargés avant de les installer.
- Préfère un code long à la reconnaissance faciale ou digitale, et écris un plan pour tes proches en cas de décès ou d'accident.
Niveau 3 · Maximum : pour les gros portefeuilles
- Aucun fonds sur un wallet chaud : les wallets de dépense restent petits et jetables.
- Un multisig 3 sur 5 avec des fabricants et des systèmes différents.
- Une passphrase sur chaque signataire, conservée à part de la seed.
- Des sauvegardes en métal gravées, dans au moins deux lieux sécurisés.
- Un délai de sécurité (timelock de 24 à 48 h) sur les retraits du multisig pour avoir le temps de réagir.
- Des signataires air-gapped qui signent par QR code, sans radio ni câble de données (Keystone, Foundation Passport, SeedSigner).
- Plusieurs téléphones dédiés, achetés directement chez le fabricant ; génération de seed réservée aux experts (dés, machine hors ligne).
- Opérations uniquement sur ton réseau domestique derrière un pare-feu en liste blanche, signataires physiquement séparés, et un exercice de restauration chaque année.
Acheter un hardware wallet sans se faire piéger
- Achète uniquement sur la boutique officielle du fabricant, ouverte depuis un favori. Jamais de revendeur, de marketplace ni d'occasion.
- Limite les traces : retrait en point relais ou en bureau de poste si possible.
- À la réception, inspecte les scellés : au moindre doute, ne l'utilise pas.
- L'appareil doit arriver vierge : génère toi-même une nouvelle seed sur l'appareil. Une carte avec une seed ou un code PIN déjà fourni est une arnaque.
- Note la seed sur papier ou métal, range-la hors ligne dans deux lieux, ne la photographie jamais.
- Teste la restauration depuis la seed avant d'y placer une grosse somme.
La discrétion : ta meilleure protection
- N'affiche jamais ce que tu possèdes : ni sur les réseaux, ni en événement, ni en soirée.
- Ne relie pas ton nom réel à tes adresses ou à un nom ENS, et utilise des identités et e-mails distincts selon les services.
- Après une fuite de données chez un fabricant ou un exchange, attends-toi à des e-mails et appels très convaincants au sujet de ta commande : ne vérifie que via le site officiel.
Piratage : que faire dans la première heure
Chaque minute compte. Si tu penses qu'un appareil, un wallet ou un compte est compromis :
- Coupe l'appareil suspectDéconnecte-le d'internet et éteins-le. Ne le rallume pas : tout se fait désormais depuis un autre appareil.
- Crée un wallet de secours sainSur un appareil sain, génère un nouveau wallet avec une nouvelle seed notée sur papier. Approvisionne-le d'un peu de crypto pour payer les frais.
- Mets à l'abri le plus précieux d'abordTransfère en priorité les tokens, NFT et droits d'administration les plus importants ; garde la crypto native pour les frais en dernier. Si un robot vide l'adresse dès qu'elle reçoit des fonds (sweeper), fais-toi aider par des équipes spécialisées comme SEAL 911.
- Reprends le contrôle de tes comptesDepuis un appareil sain : déconnecte toutes les sessions, change les mots de passe et réinitialise la 2FA de ta boîte mail, ton gestionnaire de mots de passe, tes exchanges, ton cloud, ta banque et tes réseaux sociaux.
- Préviens et signaleAvertis tes contacts qu'on peut se faire passer pour toi. Porte plainte et signale les adresses, transactions et liens frauduleux (police, plateforme concernée, Chainabuse), avec une chronologie précise.
- Repars d'une installation propreRéinstalle l'ordinateur ou utilise une machine neuve, sans restaurer d'anciennes sauvegardes complètes. Si le hardware wallet est en cause, abandonne cette seed et migre vers une nouvelle.
Ta checklist sécurité
Coche ce que tu as déjà en place (enregistré sur ton navigateur).
Questions fréquentes
Où stocker sa seed phrase en toute sécurité ?
Sur papier ou sur une plaque en métal, hors ligne, dans deux lieux différents et sûrs. Jamais en photo, dans des notes, un e-mail, un cloud ou une messagerie, et jamais tapée sur un site ou un ordinateur : elle ne se saisit que sur le hardware wallet lui-même.
Un hardware wallet suffit-il à sécuriser ses cryptos ?
C'est la base, mais pas une garantie. Il faut l'acheter directement chez le fabricant, générer la seed sur l'appareil, protéger la sauvegarde, vérifier chaque transaction sur l'écran de l'appareil et refuser les signatures que tu ne comprends pas.
Pourquoi éviter la double authentification par SMS ?
Parce qu'un escroc peut faire transférer ton numéro sur sa carte SIM (SIM swap) et recevoir tes codes. Préfère une application d'authentification hors ligne (Aegis, Ente Auth) ou une clé physique de type YubiKey, et demande à ton opérateur de bloquer la portabilité de ta ligne.
Qu'est-ce qu'une approval et pourquoi la révoquer ?
Une approval est une autorisation donnée à un smart contract de dépenser tes tokens. Si ce contrat est piraté ou malveillant, il peut vider le wallet sans nouvelle signature. Révoque régulièrement les autorisations inutiles avec un outil comme Revoke.cash, surtout après avoir testé une nouvelle application.
Qu'est-ce que l'empoisonnement d'adresse (address poisoning) ?
Un escroc t'envoie une transaction minuscule depuis une adresse qui ressemble à celle d'un de tes contacts (mêmes premiers et derniers caractères). Si tu copies l'adresse depuis ton historique, tu envoies tes fonds à l'escroc. Vérifie toujours l'adresse en entier et utilise un carnet d'adresses enregistré.
Que faire si mon wallet crypto a été piraté ?
Agis dans l'heure : déconnecte l'appareil suspect, crée un nouveau wallet sur un appareil sain, transfère d'abord les actifs les plus précieux, change mots de passe et 2FA depuis un appareil sain, préviens tes contacts et signale l'incident (police, plateforme, Chainabuse). Le détail est dans la section dédiée de ce guide.
Le support d'un exchange peut-il me demander ma seed phrase ?
Jamais. Aucun support légitime ne demande ta seed, ta clé privée, ton mot de passe ou un code 2FA, ni de lancer une commande ou d'installer un logiciel pendant un appel. Toute demande de ce type est une arnaque.
Ce guide s'inspire du Security Guide d'Infinity Hedge, adapté et complété par L'Informateur Crypto. Les outils cités sont donnés à titre d'exemple : aucun lien commercial.