Sécuriser ses cryptos : les pratiques des habitués
Par La rédaction — Actu patrimoine · Publié le · Mis à jour le
La principale cause de perte en crypto n'est pas la baisse des cours, mais la perte d'accès. Voici les habitudes que prennent ceux qui détiennent depuis longtemps, et les erreurs qu'ils ont cessé de commettre.
En bref — Sécuriser des crypto-actifs revient à protéger deux choses : l'accès à ses comptes et la phrase de récupération de son portefeuille. Les incidents les plus fréquents relèvent de l'organisation domestique, pas du piratage sophistiqué. Une phrase de récupération sur papier, une double authentification par application et un test de retrait avant chaque gros transfert couvrent l'essentiel du risque.
Quand quelqu'un raconte avoir « tout perdu », il s'agit rarement d'un effondrement de cours. Il s'agit d'un ordinateur reformaté, d'un bout de papier jeté pendant un déménagement, ou d'un clic sur un lien reçu par message privé.
C'est une bonne nouvelle : ces trois causes se traitent avec de l'organisation, pas avec de la technique.
Par où l'accès se perd-il concrètement ?
Trois portes, et elles ne se ferment pas de la même façon.
La phrase de récupération égarée ou détruite. Cette suite de mots — douze ou vingt-quatre selon les outils — est la seule sauvegarde d'un portefeuille personnel. Elle ne se réinitialise pas, elle ne se redemande pas. Perdue, les fonds deviennent définitivement inaccessibles. Aucun service, aucune démarche, aucun recours.
Le compte de messagerie compromis. L'adresse e-mail est la clé de voûte de tout le reste : c'est par elle que se réinitialisent les mots de passe, que se confirment les retraits, que passent les alertes. Quelqu'un qui prend le contrôle de votre boîte prend le contrôle de la plupart de vos comptes.
L'hameçonnage. Un faux site à l'orthographe presque identique, un faux support technique qui vous rappelle, une fausse mise à jour à installer d'urgence. C'est de très loin la cause la plus courante, et la seule qui repose entièrement sur votre attention du moment.
Une quatrième porte, plus discrète, mérite d'être citée : l'erreur de manipulation. Une adresse de destination mal recopiée, un mauvais réseau choisi lors d'un transfert. Là non plus, il n'y a pas de service client pour annuler.
Quels gestes couvrent l'essentiel du risque ?
Cinq habitudes suffisent à écarter la grande majorité des incidents. Aucune ne demande de compétence particulière.
| Le geste | Ce qu'il empêche | Effort |
|---|---|---|
| Double authentification par application | Le détournement de code par SMS | Dix minutes, une fois |
| Adresse e-mail dédiée aux comptes financiers | La compromission en cascade | Vingt minutes, une fois |
| Phrase de récupération écrite sur papier | Le vol d'un fichier ou d'une photo | Cinq minutes, une fois |
| Deux copies en deux lieux distincts | L'incendie, le dégât des eaux, le vol | Une heure, une fois |
| Petit transfert d'essai avant un gros | L'adresse mal recopiée | Deux minutes, à chaque fois |
Un mot sur la double authentification. Recevoir un code par SMS vaut mieux que rien, mais la carte SIM se détourne : un fraudeur convainc l'opérateur de transférer votre numéro sur sa propre carte, et reçoit vos codes à votre place. Une application dédiée, installée sur votre téléphone, ne dépend d'aucun opérateur. C'est un réglage à changer une fois, sur chaque compte.
Un mot aussi sur le papier. Écrire vingt-quatre mots à la main paraît archaïque à côté d'un gestionnaire de mots de passe. C'est précisément l'intérêt : une feuille de papier ne se synchronise pas dans un service en ligne, ne se retrouve pas dans une sauvegarde automatique, et ne se copie pas à distance. Ce qui n'est jamais numérisé ne peut pas être volé à distance.
Faut-il tout laisser sur une plateforme ?
Laisser ses crypto-actifs sur une plateforme d'échange, c'est confier la garde à un tiers. L'usage est simple : vous vous connectez, vous achetez, vous vendez, et si vous perdez votre mot de passe il existe une procédure de récupération.
En contrepartie, votre accès dépend de la solidité de cet acteur, de sa sécurité informatique, et parfois de décisions qui vous échappent. L'ouverture progressive du secteur aux acteurs régulés, décrite dans notre article sur les banques qui proposent de la crypto, change la donne sans la supprimer.
Détenir soi-même inverse complètement l'équation. Plus de dépendance à un tiers, mais aussi plus de bouton « mot de passe oublié ». Toute la responsabilité repose sur votre organisation.
Un portefeuille matériel — un petit appareil dédié, hors ligne, qui signe les opérations sans jamais exposer la clé — est la solution retenue par la plupart des détenteurs de long terme. À condition d'être acheté directement auprès du fabricant, jamais d'occasion ni via une place de marché tierce.
Beaucoup combinent les deux : de petits montants sur plateforme pour les opérations courantes, l'essentiel sur un portefeuille personnel. La règle qu'ils appliquent est simple : sur la plateforme, ne jamais laisser plus que ce qu'on accepterait de perdre du jour au lendemain.
Comment reconnaître une tentative d'hameçonnage ?
Une règle vaut à elle seule toutes les autres : personne ne demande légitimement une phrase de récupération. Ni un support technique, ni un service officiel, ni une procédure de mise à jour, ni un employé de plateforme, ni un agent qui vous appelle en se réclamant d'une autorité. La demande elle-même est la preuve de la fraude.
Trois signatures reviennent dans presque tous les cas.
L'urgence artificielle : votre compte serait « en cours de blocage », vous auriez « deux heures pour agir ». La précipitation est l'outil de travail du fraudeur, parce qu'elle empêche la vérification.
Le lien reçu : par message privé, par courriel, par SMS. L'adresse affichée ressemble à l'originale à une lettre près, ou utilise une extension différente. Le réflexe qui règle le problème définitivement : ne jamais cliquer sur un lien reçu, toujours taper soi-même l'adresse du site ou passer par son propre favori.
Le contact sortant : quelqu'un vous appelle ou vous écrit en premier. Les vrais services n'initient pas ce genre de démarche. Ces mécanismes sont exactement ceux décrits dans notre article sur les signaux qui doivent faire raccrocher, et ils ne sont pas propres à la crypto.
En France, l'Autorité des marchés financiers publie une liste noire d'acteurs non autorisés. La consulter avant d'ouvrir un compte prend deux minutes.
Que se passe-t-il si vous n'êtes plus là ?
C'est la question que personne ne pose, et qui provoque pourtant des pertes définitives.
Un portefeuille personnel bien sécurisé est, par construction, inaccessible à vos proches. Si vous êtes le seul à connaître l'existence des avoirs et l'emplacement de la phrase de récupération, ces avoirs disparaissent avec vous.
La réponse n'est pas de partager la phrase. Elle est de documenter séparément deux informations : que des avoirs existent, et où trouver les instructions. Une lettre déposée chez un notaire, ou un document scellé confié à un proche de confiance, remplit ce rôle sans exposer la phrase elle-même.
Prévoyez aussi le cas plus banal de l'oubli. Notez à quoi correspond chaque copie de sauvegarde, avec une date. Dans trois ans, une enveloppe non identifiée au fond d'un tiroir ne vous dira rien.
Par quoi commencer si tout est à faire ?
Dans cet ordre, sans sauter d'étape.
D'abord la messagerie : mot de passe unique et long, double authentification par application. Tant que cette porte est ouverte, le reste ne sert à rien.
Ensuite les comptes de plateforme : même traitement, plus la vérification que l'adresse de retrait enregistrée est bien la vôtre.
Puis la phrase de récupération : recopiée à la main, vérifiée mot à mot, deux exemplaires, deux lieux. Et un test de restauration sur un petit montant, pour être certain que la copie fonctionne vraiment.
Enfin l'habitude du transfert d'essai. Envoyer quelques euros, vérifier l'arrivée, puis envoyer le reste. Deux minutes qui rendent l'erreur d'adresse presque impossible. C'est le genre de discipline élémentaire qui distingue les détenteurs installés des débutants, et qu'on retrouve dans les erreurs qui coûtent le plus cher.
Ce qu'il faut retenir
- La perte d'accès provoque plus de pertes définitives que les mouvements de marché.
- La phrase de récupération se conserve sur papier, en deux exemplaires, dans deux lieux distincts.
- La double authentification passe par une application, jamais par SMS : une carte SIM se détourne.
- Aucune entité légitime ne demande jamais une phrase de récupération, sous aucun prétexte.
- Un transfert d'essai de quelques euros avant chaque envoi important supprime le risque d'erreur d'adresse.
