La cybersécurité dans le monde des cryptomonnaies

Un message signalant une connexion suspecte, un faux service client ou un lien malveillant peuvent en un instant mettre en danger nos cryptomonnaies. L'attaquant n'a pour cela besoin ni de pirater la blockchain ni d'obtenir la clé privée. Il suffit parfois qu'il nous convainque de communiquer nous-mêmes nos identifiants, d'envoyer des fonds ou d'approuver une opération dangereuse.

La sécurité des cryptomonnaies ne réside donc pas uniquement dans le choix d'un portefeuille. Il est tout aussi important de protéger les comptes, les appareils et les sauvegardes, et de comprendre ce que nous confirmons lorsque nous utilisons des cryptomonnaies.

La sécurité de la blockchain et de nos fonds

Un vol de cryptomonnaies ne signifie pas forcément que le réseau blockchain lui-même a été piraté. La cause peut être un compte compromis chez un prestataire, une phrase de récupération divulguée ou une application malveillante. Chacun de ces risques exige un mode de protection différent.

Lorsque nous conservons des cryptomonnaies chez un prestataire, nous comptons aussi sur sa sécurité. Avec notre propre portefeuille, en revanche, nous sommes nous-mêmes responsables des clés et de leurs sauvegardes. La solution adaptée est celle que nous comprenons et que nous sommes capables d'utiliser et de restaurer en toute sécurité.

Phishing : quand l'escroc se fait passer pour une aide

Le phishing est une escroquerie dans laquelle l'attaquant imite un service ou une personne de confiance. Il peut envoyer un faux e-mail concernant le blocage du compte, exiger un code de vérification ou nous inviter à transférer des cryptomonnaies vers un portefeuille prétendument sécurisé.

Nous ne vérifions pas un message suspect via le lien qu'il contient. Nous ouvrons plutôt le service par nos propres moyens et contactons, le cas échéant, le support officiel. Nous ne communiquons à personne notre phrase de récupération ni nos codes de vérification. Un logo crédible, un texte sans faute ou une connexion sécurisée HTTPS ne garantissent pas à eux seuls la fiabilité d'un site.

Mots de passe, e-mail et authentification multifacteur

La boîte e-mail est un élément important de la sécurité, car c'est souvent par elle que nous rétablissons l'accès à d'autres comptes. Pour chaque service important, nous devrions donc utiliser un mot de passe long et unique ; un gestionnaire de mots de passe peut y aider.

L'authentification multifacteur offre une protection supplémentaire. Une application d'authentification est généralement plus sûre qu'un SMS, mais même son code ne doit pas être saisi sur une page frauduleuse. Si le service prend en charge les passkeys ou les clés de sécurité FIDO, celles-ci peuvent offrir une meilleure résistance au phishing. Il est également important de disposer de codes de secours conservés en lieu sûr pour rétablir l'accès.

La phrase de récupération et le portefeuille matériel

La phrase de récupération (seed) n'est pas un mot de passe ordinaire. Pour de nombreux portefeuilles, elle permet de dériver à nouveau les clés et de rétablir l'accès aux fonds. Quiconque l'obtient peut, sous certaines conditions, contrôler le portefeuille même sans l'appareil d'origine. C'est pourquoi nous ne la conservons ni sous forme de photo dans notre téléphone ni dans un document cloud non protégé. La sauvegarde doit être sûre, mais en même temps accessible en cas de restauration.

Un portefeuille matériel protège les clés privées en signant les opérations à l'intérieur de l'appareil. Il n'empêche toutefois pas la perte si nous confirmons nous-mêmes un transfert vers un attaquant ou une autorisation dangereuse. Avant de confirmer, nous vérifions toujours ce que l'appareil affiche réellement.

Attention aux signatures et aux autorisations des applications

Lorsque nous utilisons des applications décentralisées, nous pouvons approuver non seulement des transferts, mais aussi des autorisations permettant à des smart contracts de disposer de nos tokens. Si nous accordons une autorisation trop large à un contrat malveillant, d'autres tokens auxquels le consentement s'applique peuvent également être menacés.

Connecter un portefeuille à un site, signer un message et accorder une autorisation ne sont pas la même chose. Fermer la page ne révoque en outre pas forcément un consentement accordé précédemment. Si nous ne comprenons pas l'opération demandée, nous ne la confirmons pas ; sur les réseaux pris en charge, les autorisations plus anciennes peuvent être vérifiées et révoquées à l'aide d'outils vérifiés.

Lors d'un transfert, nous vérifions l'adresse et le réseau

Les attaquants peuvent glisser dans l'historique des transactions une adresse semblable à celle que nous avons utilisée auparavant. Ce procédé est appelé address poisoning. Nous obtenons donc l'adresse du destinataire auprès d'une source vérifiée et la vérifions en entier avant l'envoi.

Il est tout aussi important de vérifier la cryptomonnaie, le réseau blockchain et les éventuelles données supplémentaires, par exemple un memo ou un tag. Un transfert erroné peut ne pas être réversible. Pour un nouveau destinataire, une transaction test d'un petit montant peut être utile, mais elle ne remplace pas non plus la vérification du transfert suivant.

Les plateformes d'investissement frauduleuses et la protection des appareils

Toutes les escroqueries n'exigent pas le vol d'un mot de passe. Une fausse plateforme d'investissement peut afficher des gains fictifs et, lors d'une tentative de retrait, exiger des paiements supplémentaires pour un prétendu impôt ou le déblocage du compte. Les promesses de rendements élevés garantis, la pression pour décider rapidement et les offres d'aide non sollicitées sont des signaux d'alerte.

Les mises à jour du téléphone et de l'ordinateur, l'installation d'applications provenant de sources vérifiées et le refus de tout accès à distance non sollicité à l'appareil réduisent également le risque. En cas d'utilisation plus fréquente d'applications blockchain, il peut être judicieux de séparer les actifs détenus sur le long terme des fonds destinés à l'expérimentation.

Que faire en cas de soupçon de compromission

Nous cessons de répondre à la personne suspecte et ne contactons le service que par un canal vérifié. Pour un compte menacé, nous changeons le mot de passe depuis un appareil de confiance, vérifions les connexions et prévenons le prestataire. Si l'escroquerie est liée à un paiement bancaire, nous contactons également la banque.

Avec notre propre portefeuille, tout dépend de la cause. Il peut être nécessaire de révoquer une autorisation malveillante, mais en cas de fuite de la clé privée ou de la seed, il est indispensable de passer à un nouveau portefeuille doté de clés créées de manière indépendante et de transférer en toute sécurité les éventuels fonds restants. Nous conservons les communications et les identifiants de transaction et signalons tout soupçon d'infraction pénale à la police tchèque. Attention aussi aux escrocs qui promettent de récupérer les cryptomonnaies contre des frais payés à l'avance.

Conclusion

La sécurité des cryptomonnaies est une combinaison de technologies adaptées et d'habitudes quotidiennes. Des mots de passe forts, l'authentification multifacteur, des sauvegardes sûres et la vérification des transactions aident à limiter les risques, mais aucun outil ne peut remplacer notre propre jugement.

Avant chaque confirmation, nous devrions savoir à qui et quoi nous envoyons, quel réseau nous utilisons et quelles autorisations nous accordons. Si nous ne comprenons pas une demande, il est plus sûr d'interrompre l'opération et de la vérifier de manière indépendante.

Ce texte a un but purement informatif et pédagogique et ne constitue pas un conseil en investissement. Les cryptoactifs sont volatils et vous pouvez perdre l'intégralité de la somme investie.