Protéger un portefeuille d'actifs numériques

Un portefeuille ne « contient » rien. Il détient les clés qui permettent d'ordonner un mouvement, et l'inscription de ce mouvement dans un registre public est définitive. C'est toute la différence avec un compte bancaire : il n'existe pas de service qui puisse annuler l'opération ni rétablir la situation par simple décision. La sécurité se joue donc entièrement en amont, sur qui peut faire signer une transaction en votre nom.

Qui détient les clés détient les fonds

Deux situations très différentes sont souvent confondues. Sur une plateforme d'échange, les clés sont détenues par la plateforme : vous disposez d'une créance sur elle, et votre risque est celui de sa solidité, de sa gouvernance et de sa disparition éventuelle. Dans un portefeuille personnel, les clés sont les vôtres : personne ne peut bloquer vos fonds, et personne ne peut non plus les récupérer à votre place. Ni l'une ni l'autre n'est « la bonne » solution ; ce qui compte est de savoir laquelle vous utilisez, car les précautions ne sont pas les mêmes.

En ligne ou hors ligne : où sont réellement les risques

Un portefeuille connecté — application mobile, extension de navigateur — est pratique et partage la surface d'attaque de l'appareil qui l'héberge. Un portefeuille matériel garde la clé hors de l'ordinateur et impose une confirmation physique, ce qui neutralise l'essentiel des logiciels malveillants. Il ne protège pas, en revanche, de ce que vous approuvez vous-même : si vous signez une autorisation sur un site frauduleux, l'appareil exécutera fidèlement votre instruction. La règle raisonnable est de séparer les usages : de petits montants sur le portefeuille connecté, l'essentiel hors ligne, et jamais les deux au même endroit.

La phrase de récupération ne doit exister nulle part sous forme numérique

La phrase de récupération n'est pas un mot de passe : elle reconstitue le portefeuille entier, sur n'importe quel appareil, sans autre vérification. Elle ne se change pas. Elle ne doit donc jamais être photographiée, saisie dans un gestionnaire de mots de passe, envoyée par messagerie, stockée dans un service en ligne, ni recopiée sur un site qui demande à « vérifier » ou « synchroniser » votre portefeuille — aucune application légitime ne le demande, jamais, sous aucun prétexte. Notez-la hors ligne, conservez-la dans un endroit sûr, et si elle a pu être vue par quelqu'un d'autre, considérez le portefeuille comme compromis et transférez ce qui reste vers un portefeuille neuf.

Comment les fonds partent réellement : hameçonnage et contrats siphonneurs

Le scénario le plus courant ne suppose aucune intrusion. Une page imite un site connu, à une lettre près dans le domaine, et vous demande de connecter votre portefeuille pour réclamer une distribution, corriger une erreur ou participer à une vente. La signature qu'on vous propose n'est pas un transfert : c'est une autorisation, souvent illimitée, donnée à un contrat pour disposer de vos jetons. Elle est acceptée en un geste, et elle reste valable ensuite. Lisez ce que la fenêtre de confirmation annonce réellement, méfiez- vous des demandes d'approbation sans plafond, et passez périodiquement en revue les autorisations accordées pour révoquer celles qui ne servent plus.

L'hygiène des confirmations

Vérifiez l'adresse de destination en entier, pas seulement ses premiers et derniers caractères : certains programmes malveillants remplacent l'adresse copiée dans le presse-papiers par une autre, visuellement proche. Faites un envoi d'essai de faible montant vers toute nouvelle adresse. N'installez d'application que depuis la source officielle, en tapant l'adresse plutôt qu'en suivant un lien reçu. Et gardez à l'esprit que la précipitation est le principal facteur : la quasi-totalité des signatures regrettées ont été données dans l'urgence d'une offre qui expirait.

Quand « l'opportunité » est elle-même le piège

La technique n'est parfois qu'un décor. Un interlocuteur rencontré sur un réseau propose un accompagnement, montre des résultats, invite à déposer sur une plateforme dont il fournit le lien. Les gains s'affichent, puis le retrait se heurte à une commission, à un impôt à régler d'avance, à un compte à débloquer. Ici, aucun portefeuille n'a été piraté : les versements ont été faits volontairement, sur la foi d'une interface. C'est pourquoi les précautions techniques ne suffisent pas — la vérification de la plateforme elle-même reste la première protection.

En cas de compromission

Agissez dans l'ordre : déplacez ce qui reste vers un portefeuille créé sur un appareil sain, avec une nouvelle phrase de récupération ; révoquez les autorisations accordées depuis l'adresse touchée ; changez le mot de passe de votre messagerie et activez l'authentification à deux facteurs. Relevez ensuite les identifiants de transaction, les adresses concernées, les dates et les montants : dans un registre public, ces éléments restent consultables longtemps, et ils constituent la matière d'un signalement comme d'un dépôt de plainte. Ils ne rendent pas une opération réversible, mais ils rendent le parcours des fonds lisible — ce qui est exactement ce qu'un dossier doit établir.

Cet article est fourni à titre d'information générale et ne constitue pas un conseil juridique ou financier. Chaque dossier est apprécié individuellement : les suites dépendent des faits, des pièces disponibles et du droit applicable.