Guide · Risques des wallets · · par Stefan Tsezarov · mis à jour le
Les douze mots
Le message le plus coûteux de la crypto, démonté ligne par ligne.
Le message arrive, poli.
Le logo correspond.
Le lien ouvre une page qui ressemble exactement au wallet que tu utilises déjà : mêmes couleurs, même police, même discrète illustration dans un coin.
Il te demande, calmement, de confirmer ta phrase de récupération pour que l’accès puisse être rétabli.
Il n’existe aucune situation où cette demande est légitime.
Pas le support. Pas une migration. Pas un airdrop. Pas une vérification de sécurité. Pas un remboursement. Pas une validation.
Pas une fois. Jamais. Par personne.
C’est en réalité tout l’article. Tout ce qui suit explique simplement pourquoi la demande fonctionne encore si souvent.
1. Ce que sont vraiment les douze mots
La plupart des gens traitent leur phrase de récupération comme un mot de passe. Cette seule erreur de catégorie est à la racine de presque toutes les catastrophes qui suivent.
Un mot de passe protège un compte que quelqu’un d’autre détient déjà. Tu perds le mot de passe, tu le réinitialises. Le compte survit.
Une phrase de récupération, c’est différent.
C’est le nombre maître à partir duquel toutes tes clés privées sont générées. Ton wallet prend ces douze (ou vingt-quatre) mots, les convertit en un très grand entier et en dérive chaque adresse que tu contrôleras jamais, sur chaque chaîne prise en charge par le wallet, y compris celles que tu n’as pas encore utilisées.
La phrase n’est pas la clé d’une porte.
C’est la matière dont sont faites les portes elles-mêmes.
2. Pourquoi personne de légitime ne la demande jamais
Le support ne peut pas s’en servir. Un fournisseur de wallet ne détient jamais tes fonds et ne peut donc pas les déplacer pour toi : c’est le principe même. Donner ta phrase à un agent du support lui donnerait le contrôle total de ton argent. Aucune entreprise sérieuse n’autorise cette demande.
Une migration ne peut pas l’exiger. Passer à un nouveau contrat ou à une nouvelle version d’application se fait sur la chaîne, ou en réimportant toi-même le wallet sur un appareil que tu contrôles.
Un airdrop ne peut pas l’exiger. Envoyer des tokens ne nécessite que ton adresse publique, celle que tu colles dans les formulaires. Recevoir n’exige jamais de prouver que tu peux dépenser.
Une vérification de sécurité ne peut pas l’exiger. Prouver la propriété se fait en signant un message ; la signature confirme le contrôle sans jamais révéler les clés.
Un remboursement ne peut pas l’exiger, et encore moins le remboursement d’une arnaque précédente.
Tous ces services existent. Aucun n’a jamais eu besoin de ta phrase de récupération, parce que la phrase ne t’authentifie pas. Elle te remplace.
Ce n’est pas seulement nous qui le disons. La documentation d’assistance de MetaMask énonce la règle clairement : « if anyone asks for your Secret Recovery Phrase, they are trying to scam you » (si quelqu’un te demande ta phrase secrète, il essaie de t’arnaquer) : un éditeur de wallet qui dit, à propos de sa propre équipe d’assistance, que la demande elle-même est la preuve.
3. Cinq déguisements, une seule demande
Les histoires changent. La dernière phrase, non.
4. En voici une
Lis-la comme tu le ferais à vingt-trois heures trente, sur un téléphone, après qu’on t’a dit qu’il y a un problème avec ton argent.
Cet exemple est représentatif de vraies campagnes documentées par des chercheurs en sécurité et des éditeurs de wallets. La formulation, l’urgence, les restrictions inventées et la demande de phrase de récupération reviennent sans cesse dans les messages d’hameçonnage visant les utilisateurs de MetaMask, de Trust Wallet, de wallets matériels et de « wallets crypto » en général. Les versions réelles utilisent d’autres marques et d’autres domaines ; la demande sous-jacente ne change pas.
Montre-moi ce qui cloche
La demande elle-même est toute la réponse. Le reste est secondaire. Il vaut quand même la peine de remarquer avec quel soin l’emballage est construit :
- « Limited mode » et « protective custody » sont des états inventés. Les vrais wallets n’en ont pas. Ils sonnent comme du langage bancaire parce que c’est dans la banque qu’on a appris à attendre ce genre de langage.
- « Within 24 hours », c’est le chronomètre, placé là précisément pour t’empêcher de demander à quelqu’un d’autre.
- L’adresse se lit de gauche à droite comme digne de confiance.
wallet-supportn’est qu’un sous-domaine et n’a aucune autorité. La partie qui décide vraiment où tu arrives, c’estverify-restore.example.com. Lis toujours une URL en partant de la droite. - L’orthographe est parfaite. La grammaire est correcte. Il ne reste rien à repérer par un examen superficiel.
Et une ligne plus étrange qu’il n’y paraît : « confirm ownership » (confirmer la propriété). Ta phrase de récupération ne confirme la propriété à personne. Elle la transfère.
5. Pourquoi le test de l’orthographe ne marche plus
Pendant vingt ans, on a appris à repérer la fraude par ses coutures : un anglais approximatif, un logo de travers, un message qui commence par « Cher client ».
Ce conseil avait du sens quand produire une page convaincante coûtait cher.
C’est désormais gratuit. Un texte fluide dans n’importe quelle langue se génère en quelques secondes. Copier l’apparence exacte d’un site n’a jamais été difficile ; le design est public par définition.
Un message d’aspect professionnel ne te dit donc rien de sa légitimité. Il te dit seulement que quelqu’un y a passé quelques minutes.
Ce qui n’a pas changé, et ne peut pas changer, c’est ce dont l’attaquant a besoin. Il lui faut les mots. Quoi qu’il invente d’autre, il doit finir par les demander.
Arrête de noter la présentation. Lis la demande.
6. Pourquoi il y a toujours un chronomètre
Chaque version de ce message contient un délai : vingt-quatre heures, la fin de la journée, avant la suspension du compte.
Le chronomètre n’est pas là pour te presser. Il est là pour empêcher la seule action qui fait s’effondrer l’attaque à coup sûr : en parler à quelqu’un. Dite à voix haute à presque n’importe qui (un ami, un forum, un moteur de recherche), la demande s’évapore. Un délai force à décider seul.
Le délai n’est donc pas un détail de l’histoire. Il porte tout l’édifice. Quand tu en remarques un accolé à une demande de secrets, cette observation est en soi le constat.
7. Où la phrase doit vivre
Brièvement, car la règle est simple.
Tu tapes ta phrase de récupération dans une seule situation : restaurer un wallet dans un logiciel que tu as installé toi-même, sur un appareil que tu contrôles.
Jamais dans une page web.
Jamais dans un formulaire arrivé par message.
Jamais dans une messagerie, un ticket de support, un tableur, une photo, une note de gestionnaire de mots de passe ou un assistant IA.
Si tu utilises un wallet matériel, la phrase ne devrait plus jamais être tapée sur un ordinateur après le jour où tu l’as notée.
8. Si tu l’as déjà saisie
Alors cette section est la seule qui compte, et la vitesse compte plus que la propreté.
Considère que ce wallet est perdu et agis en conséquence immédiatement. N’attends pas de confirmation. Ne teste pas avec une petite transaction. N’essaie pas de changer un mot de passe : il n’y a pas de mot de passe à changer.
Sur le problème du gas, parce qu’il piège les gens au pire moment : déplacer un token nécessite la cryptomonnaie native de la chaîne pour payer les frais. Si le wallet compromis n’en a pas, tu dois en envoyer, et les bots qui surveillent l’adresse la prennent souvent dans le même bloc. Les gens essaient trois fois, perdent le gas trois fois et concluent qu’il n’y a rien à faire.
Des parades existent, dont regrouper le financement et le sauvetage dans une seule transaction atomique qui ne peut pas être interrompue. Elles sont délicates et propres à chaque chaîne. Si un montant important est en jeu, demande à quelqu’un d’expérimenté avant de gaspiller d’autres tentatives.
Et la suite la plus cruelle : les personnes qui viennent d’être volées sont souvent contactées dans les heures qui suivent par des « spécialistes de la récupération » qui promettent de retrouver et de rendre les fonds. Ils redemandent la phrase, ou des frais d’avance. C’est la même attaque, visant la même personne, le pire jour de sa vie. Personne ne peut annuler une transaction blockchain. Quiconque prétend le contraire vend le second vol.
9. Ce qu’une analyse peut et ne peut pas te dire
Colle un message comme celui ci-dessus dans notre scanner et il renverra FAIL, en signalant la demande de phrase secrète comme critique et en relevant la structure suspecte du lien.
Voici ce qu’il ne fait pas.
- Il ne visite jamais le lien. Il examine la forme de l’adresse (noms de marques placés là où ils n’ont aucune autorité, caractères sosies, motifs de redirection), mais il ne charge pas la page. Il ne peut pas te dire si le site au bout est un clone.
- Il ne peut pas voir un message que tu ne colles jamais. La plupart arrivent quand tu es fatigué et pressé, précisément quand personne ne vérifie rien.
- Un résultat propre n’est pas un verdict sur l’expéditeur. Il signifie seulement qu’aucun motif couvert n’a été trouvé.
- Il ne peut rien annuler. La section 8 existe parce qu’analyser après coup n’est pas un remède.
Pour cette attaque précise, un scanner est un filet de sécurité utile, pas la défense principale. La défense tient en une phrase, et tu l’as déjà.
La règle
Personne n’a besoin de ta phrase de récupération. Jamais. Pour aucune raison. Quelle que soit la personne qu’il prétend être.
Tout message qui la demande est une tentative de vol. Ce n’est pas une règle empirique avec des exceptions ; c’est la règle complète, et l’une des rares règles de sécurité qui n’a vraiment aucun cas limite.
Si tu as le moindre doute, méfie-toi d’abord du délai. Puis demande à quelqu’un. Cette seule étape met fin à l’attaque.
Voir aussi : des instructions écrites pour une IA plutôt que pour toi, et un texte qui ne s’affiche pas. Cet article a une visée uniquement pédagogique et n’est pas un conseil financier. Le message d’exemple est représentatif de vraies campagnes, utilise un domaine d’exemple réservé et ne vise aucune entreprise réelle.
Tu lis un message suspect dans ton navigateur ? Le favori d’analyse du texte sélectionné le vérifie sans copier-coller, et le texte reste dans ton navigateur.