La cybersécurité dans le monde des cryptomonnaies

Imaginons que nous recevions un message de la société auprès de laquelle nous achetons des cryptomonnaies. Il signale une connexion suspecte et nous invite à sécuriser immédiatement notre compte. Nous ouvrons le lien, saisissons nos identifiants ainsi que le code de vérification. Tout ressemble à un contrôle de sécurité ordinaire. Sauf que le message n'a pas été envoyé par notre service d'échange. Le lien menait vers un site frauduleux et un attaquant vient d'obtenir nos données.

Dans une autre situation, nous détenons des cryptomonnaies dans notre propre portefeuille matériel. Les clés sont protégées dans l'appareil et nous n'avons communiqué notre phrase de récupération à personne. Nous pouvons pourtant perdre une partie de nos fonds si, en utilisant une application blockchain, nous approuvons nous-mêmes une opération malveillante. L'attaquant n'a en effet pas besoin d'obtenir notre clé. Il lui suffit de nous convaincre de signer nous-mêmes l'opération malveillante.

La cybersécurité dans le monde des cryptomonnaies englobe donc bien plus que le choix d'un portefeuille. Nous devons comprendre comment protéger l'accès à notre compte, ce qui permet de disposer de nos actifs et quelles conséquences peut avoir la confirmation d'une opération donnée. C'est précisément la compréhension de ces différences qui nous aidera à reconnaître les situations dans lesquelles une démarche apparemment ordinaire peut avoir de graves conséquences financières.

La sécurité de la blockchain et la sécurité de nos fonds

Lorsqu'une information sur des cryptomonnaies dérobées apparaît, on a vite l'impression que quelqu'un a piraté toute la blockchain. En réalité, il peut s'agir de plusieurs événements différents. Un compte compromis chez un prestataire, une clé privée divulguée ou une erreur dans une application ne sont pas la même chose qu'une défaillance des règles du réseau lui-même. Pour l'utilisateur, toutes ces situations peuvent se solder par une perte d'argent, mais elles exigent une prévention et une réaction différentes.

Il est donc utile de considérer la sécurité en plusieurs couches. L'une est constituée par le réseau blockchain et ses règles. D'autres sont représentées par les applications, les smart contracts et les sociétés par l'intermédiaire desquels nous utilisons les cryptomonnaies. Tout aussi importants sont notre boîte e-mail, notre téléphone, notre ordinateur, nos identifiants et la manière dont nous approuvons les opérations. Une bonne sécurisation d'une couche ne remplace en effet pas la protection des autres.

Il importe aussi de savoir qui gère les clés. En cas de conservation chez un prestataire, nous protégeons l'accès à notre compte tout en nous reposant sur la sécurité et le fonctionnement de la société concernée. Avec notre propre portefeuille, nous assumons la responsabilité de la gestion des clés et des sauvegardes. La distinction entre portefeuilles matériels et logiciels est d'ailleurs autre chose que la distinction selon que nous gérons les clés nous-mêmes ou que nous les confions à un prestataire. Un portefeuille logiciel peut lui aussi permettre l'auto-conservation.

Le choix du mode de conservation devrait donc correspondre à ce que nous comprenons et à ce que nous sommes capables de gérer sur le long terme. Une configuration plus complexe n'est pas forcément plus sûre pour une personne donnée si celle-ci n'est pas capable par la suite de rétablir l'accès ou de repérer une éventuelle erreur.

Quand une attaque ressemble à de l'aide

Le phishing est une escroquerie dans laquelle l'attaquant se fait passer pour une personne ou un service de confiance afin d'obtenir des données sensibles ou d'inciter quelqu'un à effectuer une action dangereuse. Dans le monde des cryptomonnaies, il peut s'agir d'un faux e-mail d'un service d'échange, d'une application imitée ou d'un message du prétendu support d'un portefeuille. L'escroc peut également se manifester par téléphone ou via un message privé sur un réseau social.

Imaginons une notification nous indiquant que nous devons, dans les trente minutes, transférer nos fonds vers un « portefeuille sécurisé ». La consigne peut être accompagnée de notre nom, d'un logo connu et d'une explication crédible. Ce qui est déterminant, c'est toutefois de savoir qui contrôle l'adresse de destination et si nous avons vérifié la demande indépendamment du message reçu. Si c'est l'escroc qui nous a désigné l'endroit où placer nos actifs, nous risquons de lui envoyer nous-mêmes nos fonds.

La demande de « vérification » de la phrase de récupération fonctionne de manière similaire. Trezor, par exemple, avertit explicitement que son support n'en a pas besoin et que l'utilisateur ne doit la communiquer à personne. L'aspect professionnel d'un message ne prouve d'ailleurs pas sa véritable origine. L'intelligence artificielle permet aujourd'hui de rédiger des textes convaincants et d'imiter une voix ou une image. Les fautes de langue peuvent donc être un signal d'alerte, mais leur absence ne confirme pas la fiabilité du message.

La défense pratique consiste à interrompre le chemin que l'attaquant nous a préparé. Au lieu de cliquer sur le lien du message, nous ouvrons l'application que nous connaissons ou l'adresse vérifiée du service et y contrôlons directement l'éventuel problème. Nous contactons le service client par ses canaux officiels. Ni le HTTPS ni le symbole de connexion sécurisée ne confirment la fiabilité de l'exploitant. Un site frauduleux peut en effet lui aussi utiliser une connexion chiffrée.

La boîte e-mail fait partie de la protection du compte

En sécurisant une application d'investissement, on oublie facilement la boîte e-mail par laquelle nous rétablissons l'accès. Si quelqu'un en prend le contrôle, il peut recevoir les notifications de sécurité ou lancer la réinitialisation du mot de passe des services liés. Les possibilités de l'attaquant dépendent de la sécurisation concrète, mais la protection de la boîte e-mail est une composante importante de l'ensemble du système.

Pour chaque compte important, il est judicieux d'utiliser un mot de passe long et unique. Réutiliser le même mot de passe lie la sécurité de différents services. Une fuite chez l'un d'eux peut ainsi menacer également les autres. Un gestionnaire de mots de passe aide à créer et à conserver des identifiants différents sans que nous ayons à tous les mémoriser. Le gestionnaire de mots de passe lui-même a toutefois aussi besoin d'une sécurité solide et d'un mode de récupération de l'accès bien pensé.

Une autre couche de protection est l'authentification multifacteur, qui, en plus du mot de passe, utilise un autre moyen de prouver son identité. Un code à usage unique issu d'une application d'authentification offre généralement une meilleure protection qu'un SMS, mais lui aussi peut être saisi sur une fausse page. Lorsque le service prend en charge des clés d'accès (passkeys) correctement implémentées ou des clés de sécurité conformes à la norme FIDO, il est possible d'obtenir une protection plus résistante au phishing. Aucune de ces méthodes n'élimine toutefois tous les risques liés au compte.

La sécurité doit aussi inclure la possibilité de rétablir l'accès en toute sécurité. La perte d'un téléphone ou d'une clé de sécurité ne devrait pas nous prendre au dépourvu seulement au moment où elle se produit réellement. Nous conservons les codes de secours dans un endroit protégé, conformément aux instructions du service. Nous ne saisissons le code de vérification que lors d'une opération que nous avons nous-mêmes lancée dans un service vérifié. Nous ne le communiquons jamais à une personne qui nous a appelés à l'improviste.

La phrase de récupération n'a pas le même rôle qu'un mot de passe

Le mot de passe de l'application, le PIN du portefeuille matériel et la phrase de récupération ne sont pas des données interchangeables. Le mot de passe ou le PIN peut protéger l'utilisation d'une application ou d'un appareil donné. La clé privée permet de créer les signatures numériques nécessaires pour disposer des actifs. Dans les portefeuilles courants basés sur une seed, la phrase de récupération sert ensuite de sauvegarde à partir de laquelle les clés correspondantes peuvent être dérivées à nouveau.

Cela explique pourquoi la divulgation de la phrase de récupération est si grave. Un attaquant qui obtient la sauvegarde nécessaire peut restaurer le portefeuille sur un autre appareil. Il n'a pas besoin pour cela de connaître le PIN de l'appareil d'origine. Certaines configurations exigent pour la restauration une donnée supplémentaire, par exemple une passphrase, ou plusieurs parties de la sauvegarde. Les règles exactes dépendent de la solution utilisée et il est indispensable de les comprendre avant même de stocker un montant plus important.

Dans le cas d'une auto-conservation standard, un bon point de départ consiste à conserver la sauvegarde en dehors de l'environnement numérique courant. Une photo dans le téléphone, un document non chiffré ou une note synchronisée dans le cloud constituent autant de possibilités supplémentaires de la dérober. Parallèlement, la sauvegarde doit rester lisible et protégée contre la perte ou la détérioration. La sécurité signifie ici non seulement empêcher un accès non autorisé, mais aussi préserver la possibilité de restaurer le portefeuille.

La gestion des sauvegardes a donc aussi de l'importance du point de vue de la succession. Une sauvegarde rangée de façon que personne de non autorisé ne la trouve ne nous sera d'aucune aide si, après la perte de l'appareil, nous ne la retrouvons pas nous non plus. Des instructions réfléchies à l'avance peuvent concilier la protection du patrimoine de notre vivant avec la possibilité de sa transmission légitime. Pour autant, nous n'avons pas besoin d'envoyer la phrase de récupération elle-même à notre famille par e-mail.

Ce que peut faire un portefeuille matériel

Un portefeuille matériel, par exemple le Trezor tchèque, sépare le travail avec les clés privées du téléphone ou de l'ordinateur ordinaire. Avec un appareil correctement utilisé, la signature s'effectue à l'intérieur du portefeuille et les clés ne sont pas envoyées à l'application connectée. Cela limite le risque qu'elles soient dérobées par un logiciel malveillant présent sur l'ordinateur. Les actifs eux-mêmes restent enregistrés sur la blockchain. L'appareil protège les moyens nécessaires pour les contrôler.

Cette protection ne signifie toutefois pas que chaque opération confirmée sera dans notre intérêt. Si nous approuvons nous-mêmes un transfert vers un attaquant ou une autorisation dangereuse, la signature peut être techniquement correcte et avoir malgré tout des conséquences néfastes. Il est donc important de vérifier les données sur l'écran de confiance de l'appareil et de comprendre ce que nous confirmons. Pour les opérations plus complexes, la clarté avec laquelle un portefeuille donné est capable de les afficher varie en outre.

On peut ainsi se représenter le portefeuille matériel comme un outil qui protège le processus de signature. La décision de ce que nous signons nous appartient toutefois. Si l'interface n'affiche que des données incompréhensibles ou si la demande ne correspond pas à l'action envisagée, la démarche sûre consiste à interrompre l'opération et à en vérifier la signification. Même un appareil coûteux ne remplace pas ce contrôle. Il ne nous protège pas non plus si nous saisissons nous-mêmes notre phrase de récupération sur un site frauduleux.

Une signature numérique peut aussi signifier une autorisation

Lorsque nous utilisons des applications blockchain, nous ne confirmons pas forcément qu'un transfert immédiat. Certains tokens exigent que nous permettions d'abord à un smart contract de disposer d'une certaine quantité de nos tokens. Une telle autorisation, appelée approval, peut faire partie intégrante d'un échange décentralisé. Tout dépend cependant de la personne à qui nous l'accordons et de son étendue.

Prenons une situation type dans laquelle nous voulons échanger des tokens d'une valeur de cinquante euros, mais l'application demande la possibilité de disposer d'une quantité nettement plus importante. L'écart entre l'opération envisagée et l'étendue de l'autorisation demandée est une raison de vérifier. Si nous accordons une autorisation illimitée à un contrat malveillant, nous pouvons mettre en danger d'autres tokens auxquels le consentement s'applique. Cela ne signifie toutefois pas automatiquement que tous les actifs sur toutes les blockchains deviennent accessibles.

Il faut également distinguer la connexion du portefeuille, la signature d'un message et l'approbation d'une autorisation précise. La simple connexion ordinaire d'un portefeuille à un site ne signifie généralement pas que le site obtient le droit de disposer de nos fonds. Une signature ultérieure peut toutefois avoir un autre effet, même lorsque nous ne payons pas de frais de réseau pour l'opération. Fermer la page ne révoque en outre pas forcément une autorisation de disposer des tokens accordée précédemment. Déconnecter l'application et révoquer le consentement sont deux actes distincts.

Il en découle une habitude utile : avant chaque confirmation, nous vérifions si l'opération demandée correspond à ce que nous voulions réellement faire. Si nous ne comprenons pas le destinataire, le contrat, le montant ou l'étendue du consentement, nous ne confirmons pas l'opération. Sur les réseaux pris en charge, les autorisations plus anciennes peuvent être vérifiées et révoquées à l'aide d'outils vérifiés. Leur adresse doit toutefois elle aussi être vérifiée. Un prétendu service de « nettoyage du portefeuille » peut en effet être un nouveau piège frauduleux.

Lors d'un transfert, l'adresse et le réseau sont déterminants

Les adresses de cryptomonnaies sont longues, c'est pourquoi nous les copions souvent dans l'usage courant. C'est précisément cette habitude que vise l'attaque appelée address poisoning. L'escroc insère dans l'historique des transactions une adresse semblable à celle que nous avons déjà utilisée et compte sur le fait que nous la copierons la prochaine fois. Le début et la fin de l'adresse peuvent sembler familiers, alors que sa partie centrale est différente et que l'adresse appartient en réalité à quelqu'un d'autre. Une telle transaction entrante ne signifie d'ailleurs pas en soi que nos clés ont fuité.

Nous obtenons donc l'adresse auprès d'une source vérifiée du destinataire et la vérifions en entier avant de confirmer. L'historique des transactions ne devrait pas servir de carnet d'adresses automatiquement fiable. Pour un nouveau destinataire, un transfert test d'un petit montant suivi de la vérification de sa réception peut être utile. Il faut toutefois tenir compte des frais de transaction et de l'éventuel montant minimum requis pour que le dépôt soit crédité. Même un test réussi ne remplace pas la vérification des données lors du transfert plus important qui suit.

Outre l'adresse, l'actif et le réseau blockchain doivent également correspondre. Certains tokens existent sur plusieurs réseaux et le service destinataire ne les prend pas forcément tous en charge. Une adresse d'apparence identique ne garantit donc pas à elle seule la bonne livraison des fonds. Avant l'envoi, nous lisons toujours les instructions actuelles du destinataire, y compris un éventuel identifiant supplémentaire, par exemple un memo ou un tag. Un transfert erroné peut ne pas être réparable et une éventuelle récupération des fonds peut être soumise à des conditions supplémentaires.

Quelques instants consacrés à la vérification avant de confirmer une transaction constituent ainsi une part importante de la protection. Pour un paiement ordinaire, nous avons l'habitude de vérifier le numéro de compte et le montant. Pour les cryptomonnaies, nous y ajoutons le réseau, le type d'actif et les éventuelles exigences supplémentaires.

La sécurité exige aussi la protection des appareils et de bonnes habitudes

L'ordinateur, le téléphone et le navigateur internet constituent l'environnement dans lequel nous utilisons nos comptes et nos portefeuilles. Les mises à jour régulières corrigent les vulnérabilités de sécurité connues et devraient donc faire partie intégrante de leur gestion. Il est tout aussi important d'éviter d'installer des programmes inconnus et des extensions de navigateur inutiles. Nous cherchons l'application de portefeuille via le site vérifié de son développeur et contrôlons son véritable éditeur.

Une offre d'aide non sollicitée qui exige un accès à distance à l'appareil est un signal d'alerte majeur. Une personne se faisant passer pour un conseiller en investissement peut, pendant le prétendu « paramétrage de l'investissement », observer notre écran, nous pousser à confirmer des paiements ou obtenir d'autres données sensibles. La police tchèque met à plusieurs reprises en garde contre ce procédé dans les escroqueries aux cryptomonnaies.

En cas d'utilisation plus active des cryptomonnaies, il est aussi possible de séparer le patrimoine détenu sur le long terme des fonds destinés à tester différentes applications. Le but est de limiter la valeur des actifs exposés à une erreur donnée. Cette séparation doit toutefois correspondre à la manière réelle dont les clés sont gérées. Un compte supplémentaire créé à partir de la même phrase de récupération divulguée ne résout pas sa compromission. De même, plusieurs portefeuilles sur un ordinateur compromis ne constituent pas forcément une protection indépendante.

Quand le rendement n'existe qu'à l'écran

Une partie des escroqueries aux cryptomonnaies se passe aussi bien du vol de mot de passe que du piratage du portefeuille. L'auteur persuade une personne d'envoyer elle-même de l'argent sur une prétendue plateforme d'investissement. Dans l'application, la victime voit ensuite un solde croissant, qui peut toutefois ne correspondre à aucun actif réel. Lorsqu'elle veut retirer son argent, on lui demande un paiement supplémentaire pour débloquer le compte, vérifier son identité ou régler un prétendu impôt.

Imaginons que nous ayons déposé trente mille couronnes et qu'au bout de quelques semaines, nous voyions sur notre compte une valeur de soixante mille. Le chiffre affiché à l'écran n'explique toutefois pas qui détient les actifs ni s'ils peuvent réellement être retirés. Même un premier retrait d'un petit montant peut faire partie de l'instauration de la confiance. Un dépôt supplémentaire peut ainsi seulement aggraver la perte au lieu de permettre d'obtenir le rendement promis.

Pour évaluer un service, nous avons donc besoin de connaître son véritable exploitant, ses conditions et la manière dont il gère les fonds. La promesse d'un rendement élevé garanti, la pression pour décider rapidement ou la consigne de cacher l'investissement à son entourage sont des raisons d'être prudent et d'examiner l'offre en détail. Même une utilisation sûre du portefeuille ne nous protège en effet pas à elle seule contre l'envoi d'argent à un projet frauduleux.

Comment réagir en cas de soupçon de compromission

La première réaction dépend de ce qui s'est réellement passé. Nous cessons de suivre les instructions de la personne suspecte et n'effectuons les étapes suivantes que par des canaux vérifiés. Si nous soupçonnons que notre ordinateur est compromis, nous sécurisons nos comptes depuis un autre appareil de confiance. Pour un compte menacé, nous changeons les identifiants, vérifions les connexions actives et les paramètres de sécurité disponibles. Nous contactons aussi sans délai le prestataire du service et lui demandons de nous aider à limiter l'accès non autorisé. Si l'escroquerie concerne également un paiement bancaire ou une carte de paiement, nous nous adressons aussi à la banque.

Avec notre propre portefeuille, il est important de distinguer une autorisation malveillante d'une fuite de clés. Il peut être nécessaire de révoquer un consentement suspect sur le réseau concerné. Mais si quelqu'un a obtenu la phrase de récupération ou la clé privée, ni la révocation du consentement ni le changement du mot de passe de l'application ne supprimeront son accès. Dans ce cas, il faut cesser d'utiliser le portefeuille compromis et transférer en toute sécurité les éventuels fonds restants vers un nouveau portefeuille créé de manière indépendante.

Dans une telle situation, un nouveau portefeuille signifie de véritables nouvelles clés et une sauvegarde sûre créée dans un environnement de confiance. Ajouter simplement un compte supplémentaire sous la même seed ne suffit pas. La procédure concrète dépend toutefois du réseau et du mode de compromission. Si les fonds entrants disparaissent immédiatement, un programme automatisé de l'attaquant peut en être la cause. Continuer à envoyer des cryptomonnaies pour payer les frais de transaction peut alors seulement entraîner de nouvelles pertes. Nous traitons donc une telle situation selon les instructions vérifiées du support du portefeuille concerné.

Il est en même temps important de conserver les preuves. Les adresses, les identifiants de transaction, les montants, les horaires, les adresses web ainsi que toutes les communications sont utiles. Nous signalons l'incident au service concerné et, en cas de soupçon d'infraction pénale, également à la police tchèque. Les mouvements de fonds publiquement traçables sur la blockchain peuvent aider l'enquête, mais ne garantissent pas à eux seuls leur restitution. Une prudence particulière s'impose également envers les personnes qui se manifestent ensuite en promettant un « sauvetage des cryptomonnaies » contre un paiement à l'avance. Le FBI met lui aussi en garde contre ce type d'escroqueries consécutives.

La sécurité comme partie intégrante de l'utilisation courante

Avant de confirmer chaque opération, il vaut la peine de se poser quelques questions simples :

• – Avons-nous lancé cette opération nous-mêmes et nous trouvons-nous dans une application vérifiée ou sur le bon site ?
• – Comprenons-nous ce qui doit arriver à nos fonds ?
• – Le destinataire, l'adresse complète, l'actif, le réseau et le montant correspondent-ils à notre intention ?
• – N'accordons-nous que l'autorisation dont l'opération envisagée a besoin ?
• – Nos clés, notre phrase de récupération et nos codes de vérification restent-ils protégés ?
• – Disposons-nous d'un moyen sûr et compréhensible de rétablir l'accès ?

Conclusion

Les cryptomonnaies peuvent donner à chacun un plus grand contrôle sur son patrimoine numérique. Cette possibilité s'accompagne toutefois aussi d'une responsabilité quant à la manière dont il protège l'accès à ses fonds et vérifie chaque opération. Ni la sécurité de la blockchain ni un portefeuille matériel de qualité ne résolvent à eux seuls une phrase de récupération divulguée, un compte compromis ou une autorisation malveillante que nous approuvons nous-mêmes.

Une protection efficace repose donc sur la combinaison d'outils adaptés et d'habitudes quotidiennes. Des mots de passe uniques, l'authentification multifacteur, des sauvegardes conservées en sécurité et une vérification rigoureuse des transactions aident à limiter différents types de risques. Il est cependant tout aussi important de savoir s'arrêter lorsqu'une demande ne nous paraît pas logique et de la vérifier indépendamment de la personne ou du message qui nous y a conduits.

La sécurité doit aussi fonctionner en cas de perte du téléphone, de changement d'appareil ou de rétablissement de l'accès. La meilleure solution pour un utilisateur donné est donc celle qu'il comprend et qu'il est capable d'utiliser sur le long terme. Consacrer du temps à la configurer correctement est tout aussi important que la décision d'acheter des cryptomonnaies.

Ce texte a un but purement informatif et pédagogique et ne constitue pas un conseil en investissement. Les cryptoactifs sont volatils et vous pouvez perdre l'intégralité de la somme investie.