Portefeuilles crypto : auto-conservation et phrase de récupération

Qui détient les clés quand vos cryptos sont sur une plateforme ou dans votre portefeuille, ce qu’est la phrase de récupération et comment la protéger.

Des clés, pas des pièces

Un portefeuille crypto ne contient pas des pièces comme un porte-monnaie contient des billets. Vos cryptos sont inscrites sur une blockchain ; le portefeuille garde les clés qui permettent de les déplacer. L’Agence de la consommation en matière financière du Canada (ACFC) décrit ainsi les deux clés : la clé publique ressemble à une adresse courriel et sert à recevoir des crypto-actifs, tandis que la clé privée ressemble à un mot de passe conservé dans le portefeuille et sert à accéder à vos comptes et à envoyer des crypto-actifs.

Celui qui contrôle la clé privée contrôle les cryptos. La vraie question est donc de savoir qui la détient : une entreprise, ou vous.

Deux façons de détenir des cryptos

L’ACFC résume le choix : un fournisseur peut gérer votre portefeuille pour vous par l’intermédiaire d’une plateforme de négociation, ou vous pouvez le conserver et le gérer vous-même.

Conservation par un tiers : une plateforme ou une application garde les clés et vous affiche un solde. Vous vous connectez avec un mot de passe et des codes de double authentification, et ce sont les règles de la plateforme qui décident comment vous retrouvez l’accès si vous les perdez. Le risque porte sur l’entreprise : si la plateforme ou le fournisseur du portefeuille qui détient vos crypto-actifs ferme ou fait faillite, vous pouvez perdre votre argent. L’autorité britannique des marchés, la FCA, cite un cas réel : en 2022, le prêteur crypto Celsius a fait faillite en devant 4,7 milliards de dollars à ses utilisateurs, et beaucoup d’investisseurs n’ont pas pu retirer leur argent ni rien récupérer. Les plateformes peuvent aussi être piratées ; l’ACFC prévient que des pirates peuvent voler vos clés et accéder à vos portefeuilles et à vos crypto-actifs.
Auto-conservation : vous gardez les clés dans une application de portefeuille ou sur un appareil physique. Aucune plateforme ne peut faire faillite avec vos cryptos ou bloquer votre retrait (l’émetteur d’un stablecoin peut toutefois geler ses propres jetons à n’importe quelle adresse), mais aucune entreprise ne peut non plus vous sauver. Selon l’ACFC, si vous perdez votre clé privée, vous perdez l’accès à vos portefeuilles et à vos fonds. Les autorités financières européennes sont plus directes : perdre ses clés privées entraîne la perte permanente et irréversible de l’accès et de la propriété.

Aucune de ces deux options n’est protégée comme un dépôt bancaire. Au Royaume-Uni, par exemple, la FCA juge très peu probable que vous soyez couvert par son fonds d’indemnisation, le Financial Services Compensation Scheme.

Qui peut récupérer quoi

Mot de passe de la plateforme oublié ou téléphone perdu : seule la plateforme peut vous rendre l’accès, selon ses propres procédures. Tenez à jour l’adresse courriel de connexion, les codes de secours de la double authentification et vos pièces d’identité.
La plateforme cesse de servir votre pays ou ferme : vous dépendez de sa procédure de retrait et, si elle échoue, d’une procédure d’insolvabilité. L’Agence du revenu du Canada conseille d’exporter régulièrement l’historique de votre activité, au cas où la plateforme cesserait ses activités, ne servirait plus le Canada ou si vous perdiez l’accès à votre compte ; c’est une bonne pratique partout.
Phrase de récupération perdue et appareil cassé (auto-conservation) : personne ne peut récupérer les fonds.
Phrase de récupération vue par quelqu’un d’autre : cette personne peut vider le portefeuille depuis n’importe quel appareil. La police de Singapour conseille, si une phrase de récupération a été compromise, de transférer immédiatement tout ce qui reste vers un nouveau portefeuille non compromis.

La phrase de récupération

Beaucoup de portefeuilles en auto-conservation affichent une phrase de récupération (seed phrase) à leur création : une liste de mots qui permet de reconstruire le portefeuille et toutes ses clés sur un autre appareil. C’est le portefeuille. La police de Singapour donne des règles claires :

Les applications de portefeuille légitimes ne demandent pas votre phrase de récupération en dehors de la configuration sécurisée du portefeuille ou de sa restauration.
Avec un portefeuille physique, la phrase ne doit être saisie que sur l’appareil lui-même, lors de la configuration initiale ou d’une restauration.
Conservez-la sous forme physique, par exemple écrite sur papier, dans un endroit sûr, et ne la communiquez à personne.
Les vraies plateformes ne la demandent pas non plus : selon la police, les plateformes crypto agréées à Singapour ne demandent jamais d’identifiants de connexion, de codes de double authentification ni de phrases de récupération, et ne demandent pas de transférer les actifs vers un autre portefeuille pour des raisons de sécurité ou d’enquête.

Quiconque vous demande votre phrase de récupération — une personne qui se dit du support, un site web, un nouvel ami en ligne — cherche à prendre vos cryptos.

Portefeuilles chauds, froids et demandes de signature

L’ACFC l’explique : un portefeuille chaud est connecté à Internet, un portefeuille froid ne l’est pas. La police de Singapour recommande de conserver les cryptos dans des portefeuilles physiques lorsque c’est possible, car ils sont moins exposés aux attaques en ligne. Elle ajoute une mise en garde : certains portefeuilles physiques affichent peu de détails sur la transaction au moment d’approuver une demande de signature, ce qui peut conduire à approuver une transaction malveillante.

Un portefeuille peut être vidé sans votre phrase de récupération si vous signez la mauvaise demande. La police décrit des arnaques qui poussent à approuver une « signature de permis » (permit), une fonction qui autorise à l’avance une transaction future en signant un message hors chaîne ; les escrocs peuvent ensuite déplacer les fonds sans autre approbation, même avec un portefeuille physique. Lisez chaque demande avant de l’approuver et révoquez régulièrement les autorisations dont vous n’avez plus besoin.

Les bons réflexes

Gardez la phrase de récupération hors ligne, sur papier, en lieu sûr — jamais en photo, dans une messagerie ou dans une note en ligne.
Suivez la liste de l’ACFC : conservez vos portefeuilles et leurs sauvegardes en lieu sûr, ne communiquez votre clé privée à personne et utilisez un mot de passe robuste.
Activez partout la double authentification ; la police de Singapour conseille une application d’authentification plutôt que la vérification par SMS, plus facile à intercepter.
Mettez à jour téléphone, ordinateur et applications de portefeuille, et évitez de vous connecter à vos comptes crypto sur un Wi-Fi public ou non sécurisé, comme le recommandent les autorités européennes.
Avant d’envoyer, vérifiez l’adresse et le réseau : un transfert sur la blockchain ne peut pas être rappelé.
Pensez à vos proches. L’ACFC invite à se demander ce qui arrivera si vous tombez malade ou décédez et que personne ne peut accéder à vos portefeuilles, car si personne ne sait où ils se trouvent ni quels sont leurs mots de passe, personne ne pourra récupérer les fonds.

Les cryptos sont risquées quelle que soit la façon de les détenir, et les règles qui encadrent leur détention varient d’un pays à l’autre ; nos pages « la crypto est-elle légale ? » citent ce que disent les régulateurs de chaque pays.