Vous pouvez perdre des cryptoactifs sans que personne ait volé votre mot de passe ou votre phrase de récupération. Il suffit parfois de signer une transaction ou un message qui permet à un tiers de déplacer vos actifs. Cela peut arriver même avec un hardware wallet, un appareil conçu pour protéger vos clés privées.
Pour comprendre comment, il faut savoir qui contrôle vos fonds et ce que vous autorisez en signant. Ce guide explique les notions de base. Les deux guides suivants présentent les précautions à prendre pour vos comptes et portefeuilles et les risques et arnaques à reconnaître.
Ces explications ne garantissent ni la sécurité ni la récupération de vos fonds. Aucun produit, fournisseur ou protocole discuté dans nos articles n’est endossé par Token Expert.
1. Votre adresse, votre clé privée et votre mot de passe ont des rôles différents
Un portefeuille vous permet de consulter votre solde et d’autoriser des transactions. Il ne contient pas directement vos cryptoactifs : ceux-ci sont inscrits sur la blockchain, un registre partagé entre les ordinateurs du réseau. Le portefeuille sert à interagir avec ce registre. Pour savoir ce qu’une personne pourrait faire avec vos renseignements, il faut distinguer quatre éléments : (1)
- L’adresse publique est celle que vous communiquez pour recevoir des fonds. Elle ne permet pas de les dépenser, mais elle peut révéler votre solde et votre historique de transactions.
- La clé privée sert à signer les transactions. Une personne qui la vole peut déplacer les fonds contrôlés par cette clé sans connaître le mot de passe de votre application de portefeuille.
- La phrase de récupération est une série de mots qui permet de recréer les clés. Elle peut servir à générer plusieurs clés privées et ne se confond donc pas avec une clé individuelle. La recopier à la main sur papier constitue une copie physique de secours : aucun fichier informatique n’est nécessaire. Si quelqu’un obtient cette phrase, plusieurs comptes peuvent être compromis en même temps. (16)
- Le mot de passe ou le NIP protège l’accès à une application ou à un appareil local. Le changer ne rend pas une clé volée de nouveau sûre. Certains portefeuilles utilisent des passkeys, qui permettent de s’authentifier à l’aide d’un appareil sans avoir à saisir un mot de passe traditionnel. Les méthodes de récupération varient aussi selon le portefeuille : vérifiez comment fonctionne le vôtre.
Ne communiquez jamais votre phrase de récupération à un tiers. Si un site ou un prétendu agent de soutien vous la demande pour « vérifier » votre compte, il tente de vous arnaquer.
2. Qui contrôle vos fonds?
Sur une plateforme d’échange centralisée, souvent appelée CEX, l’entreprise conserve les actifs et gère les retraits. Lorsque les actifs sont sous votre contrôle, ce sont vos clés et les règles de votre portefeuille qui permettent d’autoriser les opérations. Leur protection dépend alors de vos propres pratiques de cybersécurité.
La DeFi, ou finance décentralisée, repose sur des contrats intelligents : des programmes sur une blockchain qui servent, par exemple, à échanger des actifs, à emprunter ou à alimenter des pools de liquidité, où les fonds de plusieurs utilisateurs sont regroupés pour permettre les échanges. Selon l’opération, vous autorisez un contrat à utiliser vos actifs ou vous y déposez des fonds. Vous faites le dépôt avec votre propre portefeuille, mais les fonds déposés dépendent ensuite de ces contrats et des services qu’ils utilisent. (2)
| Où sont les actifs? | Qu’est-ce qui contrôle l’accès? | Qu’est-ce qui peut mal tourner? |
|---|---|---|
| Sur une plateforme centralisée | Les systèmes de garde et de retrait de l’entreprise | Prise de contrôle de votre compte, exploitant frauduleux, retraits bloqués ou faillite |
| Actifs sous votre contrôle | Vos clés et les limites d’autorisation du portefeuille | Vol de clés, signature d’une demande dangereuse ou perte de la copie physique de la phrase de récupération |
| Dans un protocole DeFi | Les contrats et les services qui gèrent le dépôt | Exploitation d’une faille, changement des règles, retrait difficile ou perte de valeur |
Un hardware wallet est un appareil qui garde les clés privées hors de votre ordinateur. Vous devez confirmer sur l’appareil les transactions qu’il signe, ce qui ajoute une protection. (10) Attention : si une clé privée est compromise, un fraudeur peut déplacer les fonds qu’elle contrôle sans avoir l’appareil. (11)
Un portefeuille à signatures multiples, ou multisig, exige plusieurs signatures pour ses transactions. Dans une configuration deux sur trois, trois clés distinctes peuvent signer, mais deux signatures suffisent. Le vol d’une seule clé ne suffit donc pas, à lui seul, à faire approuver une transaction. En revanche, perdre l’accès à deux clés peut bloquer les fonds. Le guide des bonnes pratiques explique aussi les options qui peuvent ajouter d’autres droits d’accès.
Ces deux moyens peuvent aider à protéger l’accès au portefeuille. Ils ne suppriment pas les risques d’un protocole auquel vous confiez des fonds.
3. Que permet votre signature?
Les demandes affichées par votre portefeuille peuvent se ressembler tout en ayant des effets très différents. Les exemples suivants concernent surtout les applications compatibles avec Ethereum. D’autres réseaux et types de comptes peuvent fonctionner autrement.
| Demande | Ce qu’elle peut permettre | Ce qu’il faut vérifier |
|---|---|---|
| Connecter le portefeuille | Partager votre adresse avec le site; une signature distincte peut être demandée pour vous authentifier | La connexion seule ne donne généralement pas le droit de dépenser. Lisez toute demande qui suit |
| Signer un message | Vous connecter, placer un ordre ou autoriser une action future | Ce que le message permet, même si vous n’avez pas de frais de réseau à payer sur le moment |
| Approuver la dépense d’un actif | Permettre à une autre adresse ou à un contrat de déplacer cet actif | Qui reçoit cette permission, quel actif est concerné et quelle est la limite |
| Signer une transaction | Transférer des fonds, faire un dépôt ou modifier des permissions | Le réseau, le destinataire et le résultat attendu |
Imaginez un site qui offre une récompense pour un dépôt dans une réserve de liquidité. Pour la réclamer, vous devez autoriser son contrat à déplacer des actifs présents dans votre portefeuille. Vous confirmez sur votre appareil de signature. Si le contrat est frauduleux, son exploitant peut utiliser cette autorisation pour déplacer vos actifs, dans les limites accordées. Il n’a jamais eu besoin de votre phrase de récupération. (5, 6)
Une autorisation de dépense peut rester active après votre dernière utilisation d’une application. Si vous recevez plus tard d’autres unités du même actif, elles peuvent également être exposées, jusqu’à concurrence du montant encore autorisé. Limitez donc l’autorisation au montant nécessaire pour réduire les risques. Déconnecter votre portefeuille du site ne révoque pas ces autorisations. (6)
Vous pouvez révoquer les autorisations accordées à des contrats avec un service comme Revoke.cash, ou directement dans certains portefeuilles de navigateur, comme Rabby Wallet. (8, 9) La révocation se fait sur le réseau concerné, entraîne des frais de réseau et ne récupère pas les actifs déjà transférés.
4. Où une attaque peut-elle se produire?
Prenons les étapes d’une transaction DeFi : vous ouvrez un site, lisez une demande, la signez, puis attendez qu’un contrat l’exécute. À chaque étape, quelque chose mérite votre attention.
Le site prépare la demande. Une copie du site, ou une page compromise sur un service que vous utilisez habituellement, peut demander un transfert vers le mauvais destinataire ou une autorisation inattendue. Vérifier le nom de domaine est utile, mais ne permet pas de savoir si le contrat est sûr.
Votre ordinateur et votre portefeuille affichent ensuite la demande. Un logiciel malveillant peut modifier ce que vous voyez ou voler des renseignements. Comparez les détails disponibles sur l’appareil de signature avec l’opération prévue.
Le contrat applique ses règles. Une application de prêt peut, par exemple, dépendre d’un oracle, un service qui lui fournit des prix. Le contrat utilise ces prix pour évaluer les actifs déposés en garantie d’un emprunt. Une donnée erronée peut lui faire considérer la garantie comme insuffisante et déclencher sa vente forcée, appelée liquidation. (15)
Des administrateurs peuvent aussi avoir le pouvoir de modifier le contrat ou de suspendre les retraits. Il faut donc savoir qui détient ces pouvoirs et dans quelles conditions ils peuvent être utilisés : les règles que vous examinez aujourd’hui ne sont pas nécessairement immuables. Il est impossible d’éliminer complètement les risques liés aux contrats intelligents. Pour les réduire, privilégiez les plateformes réputées et faites des recherches approfondies avant d’y engager des fonds. (4, 7)
D’autres services peuvent s’ajouter. Un pont, utilisé pour déplacer des actifs entre réseaux, possède ses propres mécanismes de validation ou de garde. Un service qui combine plusieurs stratégies de rendement peut dépendre de plusieurs contrats et opérateurs. La défaillance de l’un d’eux peut toucher votre dépôt. (2, 3)
Un code public permet d’examiner le programme. Un audit est un examen de sécurité portant sur une version et un ensemble de fonctions précis; il peut laisser passer des failles. Des dépôts importants indiquent que des utilisateurs ont engagé des fonds, sans prouver la sécurité du contrat. (7) Vérifiez aussi le réseau et l’adresse du contrat de l’actif : son nom et son symbole peuvent être copiés. L’utilisation de la DeFi comporte toujours des risques. Votre prudence peut les réduire, sans les éliminer.
5. Des pertes différentes demandent des protections différentes
Si des fonds disparaissent ou si un placement perd de la valeur, la cause compte :
- Quelqu’un a volé une clé ou obtenu une autorisation dangereuse. L’attaquant peut déplacer les actifs concernés, soit parce qu’il possède la clé, soit parce qu’une permission lui a été accordée. Protéger les clés et vérifier les signatures aide à réduire ce risque.
- Une faille du protocole a été exploitée. Les fonds déposés peuvent être perdus même si votre appareil et vos clés n’ont jamais été compromis.
- Le marché a baissé ou un emprunt a été liquidé. Un actif peut perdre de la valeur, ou la garantie devenir insuffisante pour couvrir un prêt, sans qu’il y ait de piratage. (4)
- Une erreur de transfert ou de conservation peut entraîner une perte ou empêcher l’accès aux fonds. Envoyer des actifs sur le mauvais réseau ou se tromper d’adresse peut rendre les fonds inaccessibles ou les envoyer au mauvais destinataire. Perdre la seule copie physique de votre phrase de récupération peut empêcher de restaurer le portefeuille si l’appareil devient inutilisable. Les possibilités de récupération dépendent de la situation.
Méfiez-vous des offres qui semblent trop belles pour être vraies. Sur les médias sociaux, des publications, vidéos ou messages privés promettent parfois de faire de l’argent rapidement et sans risque. Vérifiez l’offre auprès de sources indépendantes avant d’envoyer des fonds ou de signer. (12)
Les fraudes en quelques chiffres
Données mondiales en dollars américains, selon le rapport de Chainalysis du 13 janvier 2026. (13)
| Indicateur | Montant |
|---|---|
| Recettes des arnaques en 2024, estimation révisée | 12 milliards $ US |
| Recettes repérées pour 2025 | Au moins 14 milliards $ US |
| Projection pour 2025 | Plus de 17 milliards $ US |
| Paiement moyen | 782 $ US en 2024; 2 764 $ US en 2025 (+253 %) |
Ces estimations sont révisables. La projection n’est pas un total confirmé; la moyenne porte sur les paiements, pas les pertes totales par victime. (13)
Une demande de paiement à un guichet Bitcoin
Si quelqu’un vous demande de retirer de l’argent et de le déposer dans un guichet Bitcoin (Bitcoin ATM), prenez cette demande comme un signal de fraude. Le code QR fourni peut diriger le paiement vers son portefeuille. Interrompez immédiatement l’échange : il s’agit d’une tentative de fraude. (14)
6. Vérifier votre compréhension des risques
Avant de poursuivre, vous devriez pouvoir confirmer chacun de ces points et l’expliquer avec vos propres mots :
- Protection des secrets. Une clé privée ou une phrase de récupération volée peut donner accès aux fonds. Un changement de mot de passe ne retire pas cet accès.
- Portée des signatures. Une signature peut autoriser le déplacement de vos actifs, immédiatement ou plus tard, même si vous utilisez un hardware wallet.
- Autorisations persistantes. Une autorisation de dépense peut rester active et couvrir de futurs dépôts dans les limites accordées. Déconnecter le site ne la révoque pas.
- Dépendance à des tiers. Déposer des actifs sur une plateforme ou dans un protocole vous fait dépendre de ses responsables, de ses contrats et des services utilisés.
- Pertes sans piratage. Une baisse de valeur, une liquidation ou une erreur peut entraîner une perte même si vos clés n’ont pas été compromises.
- Limites des vérifications. Un audit et la publication du code ne prouvent pas qu’un protocole est sans faille.
Si un point reste flou, reprenez la section correspondante avant de poursuivre. Le guide des bonnes pratiques de cybersécurité présente les précautions à prendre avant, pendant et après une transaction. Le guide des risques et arnaques vous aidera à reconnaître les situations qui méritent un examen plus attentif.
Sources
Sources consultées le 29 octobre 2026. Les documents techniques expliquent des mécanismes; leur présence ne constitue pas un endossement. Références ci-dessous en anglais.
-
Banque des règlements internationaux — DeFi risks and the decentralisation illusion, décembre 2021. Utilisé pour les mécanismes de risque, sans reprendre les chiffres de marché comme données actuelles.
-
Ethereum.org — Sécurité des contrats, contrôles d’accès et limites des audits.
-
Rabby Wallet — Gestion des autorisations dans l’extension — code source officiel.
-
Documentation Trezor — Confirmation d’une transaction sur l’appareil.
-
Revoke.cash — Compromission des clés privées et des phrases de récupération.
-
Chainalysis — Crypto Crime Report 2026 : arnaques, données 2024–2025 et projection.
