Bonnes pratiques de cybersécurité pour les utilisateurs de cryptoactifs

Une demande frauduleuse dans votre portefeuille, une clé perdue et un ordinateur infecté demandent des précautions différentes. Une bonne routine commence avant d’envoyer des fonds : protéger vos comptes, limiter ce que chaque portefeuille peut exposer et prévoir comment retrouver l’accès.

Ce guide sépare ces préparatifs des vérifications avant une transaction, du suivi et de la réponse à un incident. Il fait suite aux notions de base sur les portefeuilles et la DeFi. Le guide des risques et arnaques explique les situations auxquelles ces précautions répondent.

Ces mesures réduisent les risques sans garantir la protection ou la récupération des fonds. La DeFi comporte aussi des risques liés aux protocoles et aux marchés, même avec des clés bien protégées. Aucun produit, fournisseur ou protocole discuté dans nos articles n’est endossé par Token Expert.

1. Sécuriser vos comptes et vos appareils

Protéger le courriel et les comptes sur les plateformes

Votre courriel permet souvent de réinitialiser les mots de passe d’autres services. Utilisez un mot de passe unique, activez une authentification multifacteur solide et vérifiez les options de récupération. Cette authentification demande plusieurs preuves d’identité, par exemple un mot de passe et une clé de sécurité. Un gestionnaire de mots de passe peut vous aider à utiliser des mots de passe différents, à condition de bien protéger le gestionnaire lui-même.

Lorsque le service le permet, choisissez une méthode qui résiste à l’hameçonnage, comme une passkey ou une clé de sécurité, et prévoyez un accès de secours. Une passkey permet de vous connecter au moyen de votre appareil, souvent avec un NIP ou une vérification biométrique. Les codes par texto peuvent être interceptés ou détournés avec votre numéro de téléphone. Même une authentification solide ne prévient pas tous les abus d’une session déjà ouverte. (2)

Sur une plateforme d’échange, activez les alertes de retrait et les listes d’adresses de retrait autorisées si ces options existent. Ces listes servent à restreindre les destinations possibles des retraits. Une connexion API permet à un logiciel d’accéder à certaines informations ou fonctions de votre compte, par exemple pour en lire l’historique à des fins comptables. Limitez-la aux droits nécessaires : un outil qui lit vos transactions n’a pas besoin de pouvoir négocier ou retirer des fonds.

Limiter ce que vous installez

Gardez à jour le système, le navigateur, l’application de portefeuille et le logiciel interne de votre appareil de signature en passant par des sources vérifiées. Activez le pare-feu, le verrouillage de l’écran, le chiffrement du disque et une protection contre les logiciels malveillants. Un antivirus peut laisser passer des menaces et ne peut pas juger si un placement ou une signature est raisonnable. (1)

Retirez les extensions et applications inutilisées. Vérifiez l’identité d’un recruteur ou d’un client par un autre moyen avant d’exécuter le logiciel qu’il vous envoie. Le fait qu’un projet soit hébergé sur GitHub ne prouve pas qu’il est fiable : cloner un projet en copie le code sur votre ordinateur, tandis que git pull en récupère les modifications, sans en vérifier la sécurité. Installer les dépendances, c’est ajouter les composants logiciels dont le projet a besoin. Une commande comme npm install peut aussi lancer des scripts, et donc du code malveillant, pendant cette installation. Certaines tâches des outils de développement peuvent également exécuter du code. N’acceptez pas ces étapes sur l’ordinateur qui sert à gérer vos actifs. (3, 18, 19)

Réserver un ordinateur aux opérations sur les cryptoactifs

Un ordinateur dédié sert uniquement aux comptes financiers, aux portefeuilles et aux outils nécessaires à vos transactions. Vous y installez moins d’applications et d’extensions, et vous évitez d’y ouvrir le courriel courant, les pièces jointes, les liens de messagerie et les projets à tester. Vous réduisez ainsi les occasions qu’un téléchargement ou une session de navigation ordinaire expose vos comptes. Cette séparation facilite aussi le suivi des logiciels présents et le repérage d’une installation inhabituelle. Elle complète les mesures de cyberhygiène; elle ne les remplace pas. (1, 3)

Gardez cet ordinateur à jour, chiffré et verrouillé. N’y synchronisez pas les extensions ou les sessions de votre navigateur habituel. Un appareil ancien qui ne reçoit plus de mises à jour est un mauvais choix, même s’il est « dédié ». Utilisez tout de même un hardware wallet, un appareil qui garde les clés privées à l’écart de l’ordinateur, et vérifiez les détails sur son écran avant de signer. Un ordinateur séparé ne rend pas une transaction dangereuse inoffensive.

Si vous devez tester une application inconnue, faites-le sur un autre appareil ou dans un environnement prévu à cette fin, sans clés privées, phrases de récupération, sessions financières ni dossiers partagés sensibles. Un profil de navigateur distinct ne sépare pas les fichiers du système. Une machine virtuelle fait fonctionner un autre système dans un environnement logiciel sur l’ordinateur. Son isolation dépend de sa configuration, notamment des dossiers partagés; elle ne garantit pas qu’un logiciel malveillant restera confiné. (3)

Limiter les renseignements rendus publics

Vos soldes, des captures d’écran de vos portefeuilles, les détails sur la façon dont vous conservez vos actifs, votre adresse ou vos déplacements peuvent aider quelqu’un à vous cibler. Partagez seulement les renseignements nécessaires avec des proches et conseillers de confiance. Si une approche vous semble suspecte, en parler avec quelqu’un de confiance peut vous aider à prendre du recul.

2. Limiter les fonds exposés par un même portefeuille

Garder les réserves à l’écart des essais

Utilisez un portefeuille contenant peu de fonds pour essayer de nouvelles applications et gardez vos réserves à l’écart de ces interactions. Plusieurs adresses créées à partir d’une même phrase de récupération restent exposées ensemble si cette phrase est divulguée. Des phrases distinctes peuvent éviter que ce risque touche tous vos portefeuilles.

Comprendre ce que protège un hardware wallet

Un hardware wallet garde les clés privées à l’écart de l’ordinateur connecté. Vous devez confirmer sur l’appareil les transactions qu’il signe. Vérifiez sa provenance, initialisez-le vous-même et n’utilisez pas une phrase de récupération fournie à l’avance. (4, 13)

Attention : si une clé privée est compromise, un fraudeur peut déplacer les fonds qu’elle contrôle sans avoir l’appareil. (14) Protéger l’appareil ne remplace donc pas la protection de la phrase de récupération.

Déterminer si plusieurs signatures seraient utiles

Un portefeuille à signatures multiples, ou multisig, exige l’accord de plusieurs signataires pour autoriser ses transactions. Dans une configuration deux sur trois, trois clés distinctes peuvent signer, mais deux signatures suffisent. Une clé volée ne suffit donc pas, à elle seule, à faire approuver une transaction; la perte d’une clé n’empêche pas nécessairement les deux autres de signer. En revanche, perdre l’accès à deux clés peut bloquer les fonds. Cette protection demande de préparer la conservation des clés, leur remplacement et la récupération. (5)

Répartissez le pouvoir de signature entre plusieurs personnes : chacune conserve sa propre clé et produit sa propre signature, sans communiquer sa clé privée aux autres. Dans un multisig deux sur trois, les deux approbations nécessaires devraient reposer sur des vérifications indépendantes. Chaque personne doit vérifier elle-même le réseau, le destinataire, le montant, les actifs et les permissions, puis comparer ces informations avec des instructions obtenues par un moyen fiable. Répartir les signatures aide seulement si les personnes valident réellement l’opération; toutes peuvent approuver la même erreur en se fiant au même écran trompeur. (5)

Vous pouvez aussi répartir les signatures entre des types et fabricants de hardware wallets différents, avec des clés distinctes et des copies physiques séparées de leurs phrases de récupération. Cela réduit la dépendance à un seul appareil ou fournisseur, à condition que l’ensemble soit compatible avec le réseau et le logiciel de coordination choisis. (20) Une Keycard, associée à son Keycard Shell pour disposer d’un écran de vérification, peut par exemple servir de signataire dans une configuration Bitcoin multisig compatible. Plusieurs cartes contenant la même clé sont des copies de secours, pas plusieurs signataires indépendants. (21) Testez la signature et la récupération avec de petits montants avant d’utiliser la configuration; la diversité du matériel ne compense pas des vérifications insuffisantes.

Sur Ethereum et certains réseaux compatibles, un multisig peut prendre la forme d’un contrat intelligent, comme un compte Safe. C’est alors le code du contrat qui vérifie les signatures et les autres droits d’accès. Certains de ces comptes acceptent des modules, c’est-à-dire des programmes ajoutés pour autoriser des fonctions particulières. Un module peut, par exemple, permettre des paiements sans recueillir de nouveau les signatures habituelles. Ces options ne font pas partie de tous les multisigs, notamment des configurations Bitcoin décrites plus haut. (24)

Une permission déléguée confie à une autre adresse le droit d’agir dans certaines limites. Imaginez que les signataires autorisent un module à laisser une adresse dépenser jusqu’à 100 USDC par mois : cette adresse peut utiliser le montant disponible sans leur demander deux nouvelles signatures pour chaque paiement. Il faut donc vérifier qui peut dépenser, quel actif est visé, le plafond, sa fréquence de renouvellement et la façon de retirer l’accès. Le seuil « deux sur trois » ne décrit plus, à lui seul, toutes les façons de déplacer les fonds. (25)

Une mise à jour du contrat change le programme qui applique les règles du compte. Elle peut modifier ses fonctions ou la façon dont il accepte certaines signatures; ce n’est pas simplement une mise à jour de l’application à l’écran. Avant de l’approuver, vérifiez la provenance du nouveau contrat et sa compatibilité avec vos signataires et modules. Examinez aussi toute demande qui ajoute un signataire, réduit le nombre de signatures requis ou active un module : elle peut changer les conditions d’accès aux fonds. Si vous ne pouvez pas en expliquer les effets, faites vérifier la demande avant de signer. (24, 26)

3. Protéger les copies physiques et préparer la récupération

Conservez une copie physique de votre phrase de récupération : la recopier à la main sur papier constitue une copie de secours, sans créer de fichier informatique. Notez tous les mots lisiblement et dans le bon ordre. Cette phrase peut servir à recréer plusieurs clés privées; elle ne se confond pas avec une clé privée individuelle. (30)

Protégez cette copie du vol, des regards, du feu et de l’eau, et rangez-la séparément de l’appareil. Un support métallique adapté est une autre possibilité. Ne la photographiez pas et ne conservez ni clé privée ni phrase de récupération dans des courriels, des notes enregistrées dans le cloud, des documents partagés ou des conversations avec une IA. Des copies rangées au même endroit peuvent être perdues ou exposées ensemble. (30, 31)

Distinguez la phrase de récupération, la phrase secrète additionnelle (passphrase), le NIP de l’appareil et les codes de secours d’un compte. La phrase de récupération permet de retrouver les clés; une passphrase, si votre configuration en utilise une, est un secret supplémentaire nécessaire pour retrouver le portefeuille correspondant. Le NIP déverrouille l’appareil, tandis que les codes de secours servent à reprendre l’accès à un compte en ligne. Notez ce qu’exige votre configuration et suivez sa procédure de récupération. Des méthodes improvisées pour séparer les mots ou cacher les instructions peuvent vous empêcher de récupérer vos propres fonds. (28)

Ne communiquez jamais votre phrase de récupération à un tiers. Un prétendu agent de soutien qui vous la demande pour « vérifier » votre compte tente de vous arnaquer. (14) Ne saisissez pas la phrase d’un hardware wallet dans un site ou sur votre ordinateur habituel pour la vérifier.

Avant de conserver des montants importants sur une adresse, vérifiez que vous pouvez retrouver l’accès au moyen de la méthode documentée de l’appareil ou dans un environnement contrôlé. Pour un multisig, séparez suffisamment les clés et les copies physiques des phrases de récupération pour qu’un seul appareil compromis ou lieu sinistré ne les touche pas toutes, tout en vous assurant de pouvoir réunir le nombre de signataires requis.

Prévoyez aussi l’incapacité ou le décès. Une personne de confiance devrait pouvoir retrouver, de façon sécurisée, les instructions nécessaires pour récupérer vos fonds. Conservez ces instructions à part des registres de comptes facilement accessibles à d’autres personnes.

4. Vérifier l’offre et la transaction

Prendre du recul devant les promesses d’argent facile

Méfiez-vous des offres qui semblent trop belles pour être vraies, surtout des publications ou messages sur les médias sociaux qui proposent des techniques pour faire de l’argent rapidement. Une vidéo convaincante, un compte populaire ou des commentaires enthousiastes ne suffisent pas à valider une stratégie. Vérifiez qui est derrière l’offre, ce que cette personne y gagne et les risques que vous prendriez. La pression pour agir vite doit vous inciter à prendre du recul. (15)

Se méfier des demandes de paiement à un guichet Bitcoin

Un guichet Bitcoin (Bitcoin ATM) convertit de l’argent comptant en cryptoactifs envoyés à une adresse. Imaginez un appel d’un prétendu agent bancaire : vos économies seraient en danger et vous devriez retirer 5 000 $, trouver un guichet et scanner son code QR. Ce code peut contenir l’adresse du fraudeur. Le guichet peut fonctionner normalement alors que le motif du paiement est entièrement inventé. (22)

Les prétextes varient : protéger un compte, payer une amende, aider un proche ou alimenter un placement. Le maintien au téléphone, les consignes pour cacher le motif du retrait et l’urgence sont des signaux d’alarme. Ne scannez pas le code et n’insérez pas d’argent. Coupez la communication et joignez votre banque, le proche ou l’organisme par un numéro déjà connu. (23)

Si vous avez déjà payé, cessez les dépôts. Gardez le reçu, le lieu du guichet, l’adresse destinataire, la référence de transaction et les messages. Contactez rapidement l’exploitant du guichet, votre institution financière et la police; suivez aussi la procédure de signalement du Centre antifraude du Canada. Une intervention rapide peut aider, sans garantir le remboursement. (9, 23)

Examiner la demande avant de signer

Un hardware wallet ou un portefeuille multisig ne rend pas une demande sûre. Vous pouvez approuver une transaction dangereuse, et une autorisation de dépense déjà accordée peut permettre des transferts ultérieurs sans nouvelle confirmation. (8) Si la demande est inattendue ou que ses effets importants vous échappent, faites une pause.

Par exemple, pour un échange prévu de 50 USDC, une permission de dépenser tous les USDC de votre portefeuille dépasse le montant nécessaire. Un message présenté comme une connexion peut aussi autoriser une dépense future, même s’il n’y a aucuns frais de réseau sur le moment. Une autorisation de type permit est justement une permission donnée par un message signé, qu’un tiers peut ensuite soumettre à la blockchain. Dans le mécanisme ERC-2612, sa date limite indique jusqu’à quand la signature peut être soumise; elle ne met pas fin à l’autorisation une fois celle-ci créée. Vérifiez l’actif, l’adresse autorisée et le plafond; refusez si vous ne pouvez pas expliquer ce que la signature permet. (7, 8)

Avant d’envoyer des fonds ou de signer, vérifiez ces six points :

1. Le site. Utilisez un favori vérifié ou saisissez l’adresse avec soin. Lisez le nom de domaine complet. Un bon classement dans les résultats de recherche, une publicité, un badge ou un cadenas HTTPS ne prouve pas que l’exploitant est légitime. (6)
2. Le destinataire. Obtenez l’adresse par un moyen indépendant et comparez-la au complet, avec le réseau et tout mémo ou identifiant de destination requis. Ce renseignement supplémentaire permet à certains services d’attribuer le dépôt au bon client. Vérifiez le texte collé et le contenu des codes QR plutôt que de vous fier à l’historique récent des transactions.
3. L’action. L’actif, le montant et le contrat correspondent-ils à ce que vous vouliez faire? Comparez les détails affichés sur votre appareil de signature avec la demande présentée sur le site.
4. La permission. Limitez les autorisations de dépense au montant nécessaire. Une permission sur les NFT peut couvrir une collection entière. Certains comptes permettent aussi à une application d’agir pendant une session ou d’effectuer des paiements répétés sans nouvelle confirmation. Vérifiez les actifs visés, les actions permises, les limites et la façon de retirer l’accès. Choisissez une courte durée lorsque le mécanisme le permet, sans confondre la date limite de soumission d’une signature avec la durée de l’autorisation qu’elle crée. (7, 27)
5. Les conditions. Vérifiez les frais et l’effet de votre échange sur le prix : un ordre important par rapport aux fonds disponibles pour les échanges peut faire évoluer le prix à votre désavantage. La tolérance au slippage fixe, quant à elle, l’écart maximal que vous acceptez entre le prix attendu et le prix d’exécution. Selon l’opération, vérifiez aussi les conditions d’emprunt et les délais de retrait. Une simulation présente un résultat possible à partir de l’état connu du réseau; cet état peut changer avant l’exécution. (16, 29)
6. Un petit essai, s’il est utile. Un transfert test peut aider à vérifier que le destinataire reçoit les fonds sur le bon réseau, en limitant la somme exposée pendant cet essai. Sa réussite ne garantit pas le résultat du transfert suivant ni la fiabilité de la plateforme.

5. Faire le suivi des accès et des positions

Retirer les permissions devenues inutiles

Vérifiez les autorisations de dépense sur chaque réseau utilisé. Déconnecter un site ne les révoque pas. Vous pouvez les consulter et les révoquer avec un service comme Revoke.cash, ou directement dans certains portefeuilles de navigateur, comme Rabby Wallet. La révocation entraîne des frais de réseau et ne récupère pas les actifs déjà transférés. (8, 11, 12)

Une liste d’autorisations de dépense ne montre pas nécessairement les messages signés encore inutilisés ni les autres permissions du compte. Une signature peut être soumise plus tard pour créer une autorisation, tandis qu’un module peut donner un autre accès aux fonds. Vérifiez ces mécanismes séparément et utilisez la procédure d’annulation adaptée. (7, 24, 27)

Vérifiez aussi les applications connectées, les droits des connexions API et les sessions ouvertes. Retirez les anciens accès lors d’un changement d’appareil ou de fournisseur. Surveillez les connexions, retraits, autorisations et changements de récupération inhabituels.

Garder une vue des comptes et des fonds concernés

Conservez une liste de vos adresses publiques pour retrouver les comptes à suivre. Les clés privées et les phrases de récupération n’ont pas leur place dans le dossier comptable.

Les emprunts et les autres placements DeFi complexes demandent un suivi continu. Dans un prêt garanti par des cryptoactifs, la valeur des actifs déposés doit rester suffisante pour couvrir la dette selon les règles du protocole. Une baisse peut entraîner leur vente forcée, appelée liquidation. Surveillez la valeur de cette garantie, les possibilités de retrait et les changements du protocole. Un appareil bien protégé ne prévient pas une liquidation causée par une baisse du marché.

6. Réagir selon ce qui a été exposé

Poser les premiers gestes

1. Cessez d’interagir avec la source suspecte. N’envoyez plus de fonds et ne signez pas de demandes présentées comme un moyen de « sécuriser » votre portefeuille.
2. Si vous soupçonnez un logiciel malveillant, isolez l’appareil. Déconnectez-le du réseau, cessez de l’utiliser pour vos opérations financières et coordonnez la réponse depuis un autre appareil fiable. Pour un appareil d’entreprise, joignez le soutien informatique. (3)
3. Préservez les preuves avant d’effacer ou de réinitialiser l’appareil. Gardez les messages, URL, identifiants de transaction, adresses et horodatages. Demandez une aide qualifiée si l’étendue de l’incident est incertaine. (3)

Identifier l’accès obtenu par l’attaquant

La réponse dépend de ce qui a été exposé :

Ce qui a pu être exposé	Ce qu’il faut évaluer
Mot de passe ou session ouverte	Sécuriser le courriel et la récupération, remplacer les identifiants, fermer les sessions et joindre la plateforme par un moyen vérifié indépendamment
Autorisation de dépense active	Identifier le réseau, le contrat et l’actif, puis évaluer la révocation décrite à la section 5
Signature remise à un tiers	Déterminer ce qu’elle permet et si elle a déjà été utilisée. Un tiers peut la conserver et la soumettre plus tard pour créer une autorisation. Vérifier comment l’invalider, lorsque c’est possible; révoquer une autorisation déjà visible sur la blockchain peut ne pas suffire. (7, 8)
Clé privée ou phrase de récupération	La considérer comme compromise et identifier les comptes touchés. Évaluer le transfert des actifs restants vers un portefeuille doté de nouvelles clés; pour un multisig, évaluer le remplacement du signataire exposé et le nombre de signataires sûrs encore disponibles. Changer le NIP ne remplace pas les clés
Logiciel malveillant sur l’ordinateur ou le navigateur	Protéger les comptes et portefeuilles depuis un appareil fiable, puis prévoir la remise en état de l’appareil touché avant de le réutiliser

Évitez d’envoyer de nouveaux fonds à une adresse compromise, même pour payer des frais de réseau, sans évaluer le risque : un programme de vol automatisé peut emporter ces nouveaux dépôts aussi. (10)

Remettre l’appareil en état et signaler l’incident

Une analyse antivirus favorable ne prouve pas à elle seule qu’un appareil compromis est de nouveau sûr. Après avoir préservé les preuves, privilégiez une réinstallation complète du système et restaurez seulement des sauvegardes de fichiers que vous savez saines. Pour un appareil d’entreprise, coordonnez cette étape avec l’équipe qui traite l’incident. (17)

Prévenez rapidement les plateformes et institutions financières concernées. Au Canada, suivez les indications du Centre antifraude du Canada et signalez l’incident à la police locale. Un signalement ne garantit pas la récupération. Méfiez-vous des personnes qui promettent de retrouver vos fonds contre un paiement préalable. (9)

Sources

Sources consultées le 29 octobre 2026. Ces recommandations sont une synthèse pratique; elles ne certifient aucune configuration. Références ci-dessous en anglais, sauf la source de l’AMF en français.

1. Centre canadien pour la cybersécurité — Cyberhygiène.

2. Centre canadien pour la cybersécurité — Authentification résistante à l’hameçonnage.

3. FBI/IC3 — Ingénierie sociale visant le secteur des cryptomonnaies, 3 septembre 2024.

4. Ethereum.org — Sécurité des portefeuilles.

5. Ethereum.org — Contrôles d’accès et portefeuilles à signatures multiples.

6. FBI/IC3 — Usurpation de marques par les publicités de recherche, 21 décembre 2022.

7. ERC-2612 — Autorisations signées.

8. Ethereum.org — Révocation des autorisations de dépense.

9. Centre antifraude du Canada — Que faire lorsqu’on est victime de fraude.

10. Documentation d’aide Phantom — Robots de vidage automatique. Explication technique, sans recommandation de produit.

11. Revoke.cash — Révoquer les autorisations de dépense.

12. Rabby Wallet — Gestion des autorisations dans l’extension — code source officiel.

13. Documentation Trezor — Confirmation d’une transaction sur l’appareil.

14. Revoke.cash — Compromission des clés privées et des phrases de récupération.

15. Autorité des marchés financiers (Québec) — Finfluenceurs (en français).

16. Documentation Uniswap Labs — Slippage et tolérance à la variation du prix. Explication technique, sans recommandation d’utiliser ce service.

17. Centre canadien pour la cybersécurité — Réagir à un logiciel malveillant et remettre un appareil en état.

18. Documentation npm — Scripts exécutés pendant l’installation.

19. Documentation Visual Studio Code — Confiance accordée aux projets et mode restreint.

20. Blockstream — Multisig et appareils de fabricants différents.

21. Keycard — Architecture, écran du Shell et prise en charge du Bitcoin multisig.

22. CFTC — Reconnaître les demandes suspectes de transfert par guichet Bitcoin.

23. FBI/IC3 — Guichets de cryptoactifs : signaux de fraude et preuves à conserver.

24. Safe — Modules et voies d’autorisation supplémentaires.

25. Safe — Permissions de dépense déléguées et plafonds périodiques.

26. Safe — Mise à jour du contrat et compatibilité des signataires.

27. MetaMask — Permissions avancées et actions sans confirmation répétée.

28. Trezor — Rôle de la passphrase dans la récupération du portefeuille.

29. Uniswap — Liquidité, effet de l’ordre sur le prix et slippage.

30. Trezor — Phrase de récupération et copie physique.

31. Ethereum.org — Protection des phrases de récupération et copies numériques.