Passer au contenu principal

CryptoAgora

Chargement des cours…

CryptoAgora

🎓 Technologie Blockchain — Niveau Intermédiaire

🎓 Technologie Blockchain - Niveau Intermédiaire

Sécuriser ses cryptos

Protégez vos actifs ! Bonnes pratiques essentielles pour la gestion de vos clés privées et la prévention des vols.

🛡️ Sécurité
🎣 Anti-phishing
🔑 Clés privées
📋 Seed phrase
🔐 2FA
🚨 Arnaques
🤫

Soyez discret sur vos cryptos

Ne détaillez pas vos avoirs sur les réseaux sociaux ni à des inconnus : des attaques physiques (« à la clé à molette ») existent, et aucun outil technique ne protège d'une contrainte physique.

🚨 Pourquoi c'est critique

En 2025, environ 2,7 milliards de dollars de cryptomonnaies ont été volés (Chainalysis et TRM Labs), dont près de 1,5 milliard lors du seul piratage de l'exchange Bybit — hacks, phishing, arnaques, malwares. Contrairement à la banque traditionnelle, il n'existe généralement ni recours automatique, ni service client, ni assurance. Une transaction envoyée sur la mauvaise adresse est définitive.

La bonne nouvelle : une grande partie des vols exploite des erreurs évitables avec quelques règles simples et des outils adaptés. Cette page vous donne toutes les armes pour ne jamais faire partie des victimes.

$2,7Md
Volés en 2025 (Chainalysis et TRM Labs)
$1,5Md
Volés lors du seul piratage de Bybit (février 2025), le plus gros de l'histoire
Aucune
annulation possible d'une transaction envoyée

🎯 Cartographie des menaces

Connaître son ennemi est la première étape. Voici les attaques les plus fréquentes classées par niveau de danger.

⚠ Critique 🎣
Phishing

Un faux site identique à MetaMask, Ledger ou Coinbase vous demande votre seed phrase. Vous la saisissez. Vos fonds disparaissent en secondes.

Comment se défendre Mettez en favoris vos sites crypto. Ne cliquez jamais sur un lien reçu par email ou réseaux sociaux. Vérifiez le cadenas HTTPS et l'URL exacte.
⚠ Critique 🦠
Malware & Clipboard Hijacker

Un virus remplace silencieusement l'adresse que vous copiez-collez par celle du hacker. Vous envoyez vos fonds à l'attaquant sans le voir.

Comment se défendre Vérifiez TOUJOURS les 4 premiers et 4 derniers caractères d'une adresse après coller. Antivirus à jour. Évitez les logiciels piratés.
⚠ Critique 🔓
Fuite de seed phrase

Photo de votre seed phrase dans le cloud, fichier texte sur le bureau, screenshot envoyé par messagerie. Une seule fuite = perte totale et irrévocable.

Comment se défendre Seed phrase uniquement sur papier ou métal. Jamais en numérique, jamais en photo, jamais partagée. Même à votre famille (sauf héritage planifié).
▲ Élevé 📱
SIM Swap

Un hacker convainc votre opérateur téléphonique de transférer votre numéro sur sa carte SIM. Il reçoit alors vos SMS 2FA et prend le contrôle de vos comptes.

Comment se défendre Remplacez le 2FA par SMS par une app d'authentification (Google Authenticator, Authy). Activez un PIN SIM chez votre opérateur.
▲ Élevé 🪙
Rug Pull & Faux projets

Une équipe anonyme lance un token avec de fausses promesses. Une fois les fonds collectés, elle disparaît en emportant toute la liquidité du projet.

Comment se défendre Vérifiez l'équipe (doxxée ou non), l'audit du contrat, la distribution des tokens. Si l'équipe est anonyme et promet 1000x, fuyez.
▲ Élevé 🤝
Social Engineering

Un "support client" vous contacte sur Discord ou Telegram, prétend vous aider, et vous demande de connecter votre wallet à un site malveillant.

Comment se défendre Aucun vrai support ne vous contacte en premier. Jamais de seed phrase demandée par support légitime. Méfiez-vous des DMs non sollicités.
◆ Moyen 🪄
Faux Airdrops & NFTs

Des tokens ou NFTs apparaissent dans votre wallet sans raison. En essayant de les vendre, vous signez une transaction malveillante qui vide votre wallet.

Comment se défendre Ne jamais interagir avec des tokens non sollicités. Vérifiez chaque transaction avant de signer. Utilisez Revoke.cash régulièrement.
◆ Moyen 📧
Faux emails officiels

Un email identique à celui de Ledger, Coinbase ou MetaMask annonce une "mise à jour urgente" ou une "suspension de compte" pour vous pousser à agir vite.

Comment se défendre Vérifiez l'adresse expéditeur exacte (pas juste le nom affiché). Allez directement sur le site en tapant l'URL. Ne cliquez jamais sur "lien urgent".
Checklist de sécurité

✅ Votre checklist de sécurité

Cochez chaque point que vous avez mis en place. Objectif : score parfait.

📋 Seed Phrase & Clés privées 4 points · Priorité absolue
Seed phrase écrite à la main sur papier Jamais tapée sur clavier, jamais photographiée, jamais dans un cloud ou email.
Critique
Copie de sauvegarde en lieu sûr différent Coffre-fort, autre pièce, proche de confiance — pas au même endroit que le premier support.
Critique
Seed phrase jamais partagée, même avec "le support" Aucun support légitime ne demandera jamais votre seed phrase. Jamais. Sans exception.
Critique
Envisager gravure sur plaque métallique Inox, titane ou Cryptosteel pour protéger contre le feu, l'eau et l'usure du papier.
Important
💼 Wallets & Stockage 4 points
Hardware wallet pour les sommes importantes (500€+) Ledger, Trezor… La clé privée ne quitte jamais l'appareil physique.
Critique
Principe "chaud/froid" respecté Hot wallet = petites sommes pour dépenses courantes. Cold wallet = épargne long terme.
Important
Révocation régulière des autorisations smart contracts Utilisez Revoke.cash ou Etherscan Token Approvals pour révoquer les accès inutiles.
Important
Wallet dédié pour les interactions DeFi risquées Utilisez un wallet "burner" (vide) pour tester les nouveaux protocoles avant d'engager vos fonds principaux.
Conseillé
🔐 Comptes & Authentification 4 points
2FA par application (pas par SMS) Google Authenticator, Authy, ou clé physique YubiKey. Le SMS 2FA est vulnérable au SIM Swap.
Critique
Mot de passe unique par exchange (gestionnaire de mdp) Bitwarden (gratuit, open-source) ou 1Password. Un mot de passe différent partout, fort et aléatoire.
Critique
Email dédié aux cryptos (non utilisé ailleurs) ProtonMail recommandé. Un email compromis peut donner accès à tous vos comptes.
Important
PIN SIM activé chez votre opérateur téléphonique Protège contre le SIM Swap. Appelez votre opérateur pour activer un code PIN sur votre ligne.
Important
0
/12

Commencez votre audit de sécurité

Cochez les points ci-dessus pour évaluer votre niveau de protection.

Reconnaître le phishing

🎣 Reconnaître un site de phishing

Les hackers copient les sites officiels à 99%. Voici comment repérer le 1% qui trahit.

✗ Site frauduleux
https://metarnask-app.com/recovery
  • Nom de domaine altéré (rn au lieu de m)
  • Sous-domaine suspect (/recovery)
  • Demande votre seed phrase "pour vérification"
  • Urgence artificielle ("votre compte sera suspendu")
  • Lien reçu par email ou DM non sollicité
✓ Site officiel légitime
https://metamask.io
  • Domaine exact et simple (metamask.io)
  • HTTPS avec certificat valide vérifié
  • Jamais de demande de seed phrase en ligne
  • Accessible via vos favoris sauvegardés
  • Aucun email d'urgence de leur part
Anatomie d'une attaque

🔍 Anatomie d'une attaque SIM Swap

Comprendre le mécanisme pour mieux s'en protéger

01

Le hacker collecte vos infos

Depuis vos réseaux sociaux, des fuites de bases de données ou du phishing, il récupère votre nom, date de naissance, numéro de téléphone et email.

Ingénierie sociale
02

Il appelle votre opérateur

En se faisant passer pour vous (avec vos infos volées), il convainc le service client de transférer votre numéro de téléphone sur sa propre carte SIM.

Usurpation d'identité
03

Votre téléphone perd le réseau

Tous les SMS que vous devriez recevoir arrivent maintenant sur son téléphone. Y compris vos codes 2FA par SMS et les codes de réinitialisation de mot de passe.

Prise de contrôle
04

Il vide vos comptes en minutes

Il réinitialise le mot de passe de votre compte d'exchange, valide avec le code SMS qu'il reçoit, et transfère tous vos fonds. En moins de 10 minutes.

Transfert irréversible
✓

Comment l'éviter complètement

Remplacez le SMS 2FA par une application d'authentification (Authy, Google Authenticator) ou une clé physique YubiKey. Même avec votre numéro, il ne peut rien faire.

Protection : App 2FA / YubiKey
Bonnes pratiques

🛡️ Les 8 réflexes essentiels

À appliquer dès aujourd'hui, sans exception.

🔖

Mettez vos sites en favoris

Accédez toujours à vos exchanges et wallets depuis vos favoris sauvegardés. Jamais depuis un lien reçu.

👁️

Vérifiez chaque adresse

Avant d'envoyer, comparez les 4 premiers ET les 4 derniers caractères. Un clipboard hijacker ne peut pas tromper un œil attentif.

🔕

Méfiez-vous de l'urgence

"Agissez maintenant ou votre compte sera bloqué" est le signal d'alarme numéro 1 du phishing. Prenez toujours le temps de vérifier.

🔄

Mettez à jour régulièrement

OS, antivirus, extensions MetaMask. Les failles de sécurité sont patchées dans les mises à jour. Ne les repoussez pas.

🧪

Testez avec de petits montants

Avant d'envoyer 1 000€, envoyez d'abord 5€ pour vérifier que l'adresse est correcte et que le réseau fonctionne.

🔍

Révoquez les autorisations

Chaque dApp approuvée garde un accès à votre wallet. Vérifiez et révoquez sur Revoke.cash tous les 3 mois.

📵

Gardez vos fonds secrets

Ne révélez jamais le montant de vos cryptos publiquement. Ni sur les réseaux, ni en vantardise. Le "wrench attack" (agression physique) existe.

📜

Planifiez votre héritage crypto

Si vous décédez sans laisser d'instructions, vos cryptos sont perdues à jamais. Préparez un document sécurisé pour vos proches.

Outils recommandés

🧰 Les outils indispensables

Sélection vérifiée, open-source ou auditée, utilisée par la communauté crypto.

Authentification
🔑
Authy

App 2FA avec sauvegarde chiffrée. Remplace le SMS 2FA sur tous vos exchanges. Backup multi-device.

Gratuit
Mots de passe
🗄️
Bitwarden

Gestionnaire de mots de passe open-source et audité. Un mot de passe fort unique partout, synchronisé et chiffré.

Gratuit & Open-source
Email sécurisé
📧
ProtonMail

Email chiffré de bout en bout, serveurs en Suisse. Idéal pour votre adresse dédiée crypto, loin de Google.

Gratuit
Révocation smart contracts
🔓
Revoke.cash

Visualisez et révoquez toutes les autorisations accordées à des dApps depuis votre wallet. Essentiel après chaque interaction DeFi.

Gratuit
Analyse blockchain
🔎
Etherscan

L'explorateur de référence pour vérifier n'importe quelle transaction, adresse ou smart contract sur Ethereum avant d'interagir.

Gratuit
Clé physique 2FA
🗝️
YubiKey

Clé USB physique pour l'authentification forte. Inviolable même par phishing — le site doit être le bon pour fonctionner.

~50€
Antivirus crypto
🛡️
Malwarebytes

Spécialisé dans la détection de malwares et clipboard hijackers ciblant les crypto-utilisateurs. Complément à votre antivirus principal.

Gratuit (base)
Vérification tokens
🔬
Token Sniffer

Analyse le smart contract d'un token avant d'investir : détecte les honeypots, les taxes cachées et les rug pulls potentiels.

Gratuit
Glossaire — les termes clés

📖 Les mots de la sécurité

Chaque terme expliqué en une phrase claire.

PhishingUn faux site ou un faux message imitant un service connu : il vise à vous faire saisir vos identifiants ou votre phrase.
Ingénierie socialeManipuler la personne plutôt que la technique : fausse urgence, faux support, faux conseiller.
SIM swapLe transfert frauduleux de votre numéro de téléphone : l'attaquant reçoit vos SMS, dont vos codes 2FA.
ClipperUn logiciel malveillant qui remplace l'adresse copiée : vérifiez toujours l'adresse avant d'envoyer.
ApprobationL'autorisation donnée à un contrat de dépenser vos tokens : à limiter et à révoquer après usage.
Attaque physiqueUne contrainte exercée pour obtenir des cryptos : aucun outil technique n'y répond : restez discret.
Hardware walletUn appareil qui garde les clés hors ligne : il protège contre la plupart des attaques à distance.
2FAUn second facteur en plus du mot de passe : de préférence une application ou une clé physique, pas le SMS.
// Ce qu'il faut retenir
  • Il n'y a aucun recours en cas de vol crypto — la prévention est votre seule protection. 5 minutes de configuration peuvent éviter des années de regrets.
  • Votre seed phrase est votre bien le plus précieux. Elle ne doit jamais exister sous forme numérique. Papier, métal, coffre-fort — et jamais dans un cloud.
  • Remplacez le SMS 2FA par une application (Authy, Google Authenticator) sur tous vos exchanges. Le SIM Swap est la cause numéro 1 de vols sur les plateformes.
  • Révoquez régulièrement les autorisations de vos dApps sur Revoke.cash. Chaque approbation oubliée est une porte entrouverte sur votre wallet.