Mettre un portefeuille numérique en sécurité

Un portefeuille ne « contient » rien. Il garde les clés qui permettent d’ordonner une opération, et l’inscription de cette opération dans un registre public est définitive. C’est précisément là que réside la différence avec un compte bancaire : il n’existe personne qui puisse annuler l’opération ou rétablir la situation par décision. La sécurité se joue donc entièrement en amont — sur qui peut faire signer une transaction en votre nom.

Les clés, et rien d’autre, font le propriétaire

Deux situations très différentes sont souvent confondues. Sur une plateforme d’échange, les clés appartiennent à l’opérateur : vous détenez une créance sur lui, et votre risque tient à sa solidité, à sa gestion et à sa disparition éventuelle. Dans un portefeuille personnel, les clés sont les vôtres : personne ne peut bloquer votre solde — et personne ne peut le récupérer à votre place. Aucune des deux situations n’est « la bonne » ; ce qui compte est de savoir dans laquelle on se trouve, car les précautions changent.

Connecté ou non : où le risque se loge vraiment

Un portefeuille connecté — une application sur le téléphone, une extension dans le navigateur — est commode et partage la surface d’attaque de l’appareil sur lequel il tourne. Un portefeuille matériel garde la clé hors de l’ordinateur et exige une confirmation physique, ce qui rend inopérante la plus grande part des programmes malveillants. Il ne protège pas, en revanche, de ce que vous autorisez vous-même : si vous signez une permission sur un site frauduleux, l’appareil exécute fidèlement votre ordre. La règle raisonnable est de séparer les usages : de petites sommes dans le portefeuille connecté, l’essentiel hors ligne, et jamais les deux au même endroit.

La phrase de récupération ne se tape ni ne se photographie

La phrase de récupération n’est pas un mot de passe : elle reconstitue le portefeuille entier, sur n’importe quel appareil, sans autre contrôle. Elle ne peut pas être changée. C’est pourquoi elle ne doit jamais être photographiée, enregistrée dans un gestionnaire de mots de passe, envoyée dans un message, sauvegardée dans un service en ligne ni saisie sur un site qui prétend « vérifier » ou « synchroniser » votre portefeuille — aucune application sérieuse ne le demande, sous aucun prétexte. Écrivez-la hors ligne, conservez-la en lieu sûr, et si quelqu’un d’autre a pu la voir, tenez le portefeuille pour exposé : déplacez le reste vers un portefeuille neuf.

Comment l’argent sort réellement : hameçonnage et contrats qui vident

Le déroulé le plus fréquent n’exige aucune intrusion. Un site imite un service connu, à une lettre près dans le domaine, et vous demande de connecter votre portefeuille pour percevoir une distribution, corriger une erreur ou participer à une vente. La signature qui vous est proposée n’est pas un virement : c’est une permission — souvent illimitée — accordée à un contrat de disposer de vos jetons. Elle se donne d’un geste et reste valable ensuite. Lisez ce qu’annonce réellement la fenêtre de confirmation, méfiez-vous des autorisations sans plafond, et revoyez régulièrement les permissions accordées pour révoquer celles qui ne servent plus.

Attention au moment de la confirmation

Contrôlez l’adresse du destinataire en entier, et pas seulement ses premiers et derniers caractères : certains programmes malveillants remplacent dans le presse-papiers l’adresse copiée par une adresse visuellement proche. Pour chaque nouvelle adresse, envoyez d’abord une petite somme d’essai. N’installez les applications que depuis la source officielle, en saisissant l’adresse plutôt qu’en suivant un lien reçu. Et gardez à l’esprit que la précipitation est le facteur principal : presque toutes les signatures que l’on regrette ont été données sous la pression d’une offre qui expirait.

L’aubaine comme appât

Parfois la technique n’est qu’un décor. Quelqu’un rencontré sur un réseau social propose de vous accompagner, montre des résultats et invite à verser sur une plateforme dont il fournit le lien. Les gains apparaissent, puis le retrait se heurte à une commission, à une taxe à avancer, à un compte à débloquer. Ici, aucun portefeuille n’a été forcé : les versements ont eu lieu volontairement, sur la confiance placée dans une interface. C’est pourquoi les précautions techniques ne suffisent pas — la vérification de la plateforme reste la première protection.

Si le portefeuille est resté exposé

Procédez dans l’ordre : déplacez le reste vers un portefeuille créé sur un appareil sain et doté d’une nouvelle phrase de récupération ; révoquez les permissions accordées depuis l’adresse concernée ; changez le mot de passe de la messagerie et activez l’authentification à deux facteurs. Notez ensuite les identifiants de transaction, les adresses en cause, les dates et les montants : dans un registre public, ces informations restent consultables longtemps, et elles sont la matière d’un signalement comme d’une plainte. Elles n’annulent pas une opération, mais elles rendent lisible le cheminement de l’argent — et c’est exactement ce qu’un dossier doit établir.

Cet article a une finalité d’information générale et ne constitue pas un conseil juridique ou financier. Chaque dossier est apprécié individuellement : ce qui est possible dépend des faits, des pièces disponibles et de la loi applicable.