🛡️ Sécurité Crypto

L'écosystème crypto offre des opportunités considérables, mais il attire aussi une grande variété de menaces. Comprendre ces risques est la première étape pour se protéger efficacement.

Les grandes catégories de risques

• Piratage d'exchanges : Mt.Gox (2014) — 850 000 BTC volés, faillite de l'exchange leader mondial. FTX (2022) — 8 milliards de dollars de fonds clients détournés par la direction même.
• Exploits de protocoles : bugs dans les smart contracts permettant à des attaquants de vider des pools de liquidité (ex. : Ronin Network, 625 M$, 2022).
• Phishing et ingénierie sociale : faux sites, faux supports, arnaques par email et réseaux sociaux.
• Perte de seed phrase : perte définitive des fonds si la phrase de récupération est détruite, volée ou oubliée.
• Rugpulls : l'équipe derrière un projet disparaît avec les fonds des investisseurs.

Un wallet HD (Hierarchical Deterministic) génère toutes vos clés à partir d'une seule seed phrase — une suite de 12 ou 24 mots aléatoires conformes au standard BIP-39. Ce sont ces mots qui constituent votre véritable accès à vos fonds, pas votre mot de passe d'application.

Ce qu'il ne faut jamais faire avec sa seed phrase

• La stocker dans un email, un cloud (Google Drive, iCloud, Dropbox)
• La prendre en photo avec son téléphone
• La saisir dans un formulaire en ligne, quel qu'il soit
• La partager avec qui que ce soit — même un "support technique"
• La conserver en un seul endroit physique (risque d'incendie, vol, inondation)

Les wallets à récupération sociale (Argent, Safe) représentent une alternative moderne : au lieu de tout reposer sur une seed phrase unique, vous désignez des gardiens de confiance (amis, famille, autres appareils) qui peuvent collectivement restaurer l'accès à votre wallet en cas de perte.

Le phishing est la technique d'arnaque la plus répandue dans l'écosystème crypto. Elle consiste à usurper l'identité d'un service ou d'une personne de confiance pour vous soutirer vos identifiants ou votre seed phrase.

Les vecteurs d'attaque les plus courants

• Faux sites web : des clones quasi-parfaits de MetaMask, Ledger Live, Coinbase ou Binance, accessibles via des publicités Google ou des liens dans des emails. Vérifiez toujours l'URL avec attention — metarnask.io n'est pas metamask.io.
• Faux support Discord / Telegram : des bots ou imposteurs vous contactent en DM en se faisant passer pour le support officiel d'un projet. Règle absolue : un vrai support ne vous contacte jamais en premier.
• Faux airdrops et giveaways : "Envoyez 1 ETH, recevez 2 ETH en retour" — Elon Musk, Vitalik Buterin, CZ ne font jamais ce genre de promotions. Ces arnaques ont volé des dizaines de millions de dollars.
• Extensions de navigateur malveillantes : certaines extensions clonent des wallets populaires pour intercepter vos clés privées. N'installez des extensions que depuis les stores officiels et vérifiez l'éditeur.
• Usurpation de NFT / Discord compromis : les comptes Discord de projets légitimes sont régulièrement piratés pour diffuser de faux liens de mint.

Un rugpull (littéralement "tirer le tapis") désigne une arnaque où les créateurs d'un projet crypto abandonnent soudainement celui-ci en emportant les fonds des investisseurs. C'est l'une des escroqueries les plus courantes en DeFi et dans l'univers des memecoins.

Comment identifier un token à risque

• Équipe anonyme sans historique vérifiable : l'absence d'identité publique n'est pas systématiquement mauvaise signe (Bitcoin !), mais elle amplifie tous les autres risques.
• Aucun audit de smart contract : un projet sérieux fait auditer son code par des firmes reconnues avant le lancement.
• Liquidité verrouillée pour une très courte durée : si la liquidité n'est bloquée que 30 jours, les fondateurs peuvent la retirer dès le déverrouillage.
• Fonction "mint" toujours active : si les créateurs peuvent créer de nouveaux tokens à volonté, ils peuvent diluer indéfiniment la valeur des détenteurs.
• Forte concentration des tokens : si quelques wallets détiennent 80 % de l'offre, une vente massive peut s'effondrer instantanément.

Comment lire un audit et utiliser les bons outils

Les firmes d'audit reconnues incluent Certik, Trail of Bits, OpenZeppelin et Consensys Diligence. Un bon audit identifie les vulnérabilités critiques, majeures et mineures — et indique si elles ont été corrigées. Méfiez-vous des audits d'entreprises inconnues ou non vérifiables.

Si vous utilisez un exchange centralisé (CEX) comme Binance, Coinbase ou Kraken, votre sécurité dépend à la fois de celle de la plateforme et des mesures que vous mettez en place. Voici les étapes essentielles.

Authentification à deux facteurs (2FA)

Activez impérativement le 2FA — mais pas par SMS. Le SMS est vulnérable aux attaques de type SIM swapping : un attaquant convainc votre opérateur téléphonique de transférer votre numéro vers sa propre SIM, interceptant ainsi tous vos codes. Utilisez plutôt :

• Application d'authentification : Google Authenticator, Authy, ou Aegis (open-source)
• Clé de sécurité matérielle : YubiKey ou clé FIDO2 — le niveau de sécurité le plus élevé disponible

Mesures de sécurité complémentaires

• Liste blanche d'adresses de retrait : n'autorisez les retraits que vers des adresses pré-approuvées, avec délai de confirmation obligatoire
• Code anti-phishing (disponible sur Binance) : un code personnalisé apparaît dans tous les emails légitimes de la plateforme — s'il manque, l'email est un fake
• Email dédié : utilisez une adresse email unique pour vos comptes crypto, non liée à votre identité publique
• Mot de passe fort et unique : généré par un gestionnaire de mots de passe (Bitwarden, 1Password)
• Discrétion sur les réseaux : ne publiez jamais de captures d'écran de vos soldes — cela vous rend cible de phishing ciblé
• Surveiller l'activité : vérifiez régulièrement l'historique de connexion et activez les alertes email/push pour chaque connexion

Répartition recommandée selon les usages

Une stratégie de sécurité crypto efficace repose sur la séparation des fonds selon leur usage :

Checklist de sécurité périodique

La sécurité crypto n'est pas un état statique — c'est une hygiène à maintenir. Effectuez ces vérifications régulièrement :

• Révoquer les approbations DApp : utilisez revoke.cash ou Etherscan Token Approvals pour retirer les autorisations accordées à des contrats inutilisés ou suspects
• Vérifier l'activité des comptes : consultez l'historique de connexion sur vos exchanges et les transactions récentes de vos wallets
• Mettre à jour le 2FA : si vous changez de téléphone, mettez à jour vos applications d'authentification avant de supprimer les anciennes
• Gestionnaire de mots de passe : Bitwarden (open-source, gratuit) ou 1Password — générez un mot de passe unique de 20+ caractères pour chaque service
• Appareil dédié : si vos fonds le justifient, envisagez un appareil séparé (tablette ou laptop d'occasion) exclusivement réservé à la gestion crypto — pas de réseaux sociaux, pas de navigation générale