L’essentiel en 30 secondes
- Celui qui détient la phrase de récupération détient les fonds. Elle ne doit jamais être tapée sur un ordinateur ni photographiée.
- Aucun support, aucun fabricant, aucun « expert » légitime ne vous la demandera.
- Sur une plateforme, activez une double authentification par application ou clé physique, jamais par SMS seul.
- Vérifiez qu’une plateforme est agréée PSCA avant d’y déposer quoi que ce soit.
Plateforme ou wallet : qui garde les clés ?
Tout part d’une question : qui détient la clé privée qui autorise les dépenses ? Deux réponses, deux familles de risques.
| Sur une plateforme | Dans votre propre wallet | |
|---|---|---|
| Qui détient la clé | La plateforme | Vous |
| Si vous oubliez votre mot de passe | Procédure de récupération | Seule la phrase de récupération vous sauve |
| Si la plateforme fait faillite | Vos fonds sont pris dans la procédure | Aucun effet |
| Risque principal | Faillite, piratage, gel du compte | Erreur personnelle, vol de la phrase |
La faillite de FTX en novembre 2022 a rappelé le premier risque : des millions de clients ont vu leurs fonds bloqués du jour au lendemain. L’adage de la communauté résume le second choix : not your keys, not your coins. Garder ses clés n’est pas une obligation ; c’est un arbitrage entre deux risques, à faire en fonction des montants et de votre aisance technique.
Les types de wallets
Le wallet logiciel (hot wallet)
Une application sur téléphone ou une extension de navigateur. Pratique pour les petits montants et l’usage quotidien. Sa faiblesse : la clé vit sur un appareil connecté, exposé aux logiciels malveillants et aux extensions piégées.
Le wallet matériel (cold wallet)
Un petit appareil dédié, comme Ledger, Trezor ou BitBox, qui garde la clé hors ligne et signe les transactions lui-même. L’ordinateur ne voit jamais la clé. L’écran de l’appareil est la seule source fiable : c’est là qu’il faut lire l’adresse et le montant avant de valider. Achetez-le directement chez le fabricant, jamais d’occasion.
La phrase de récupération, votre seul vrai secret
Lors de sa création, un wallet affiche 12 ou 24 mots tirés d’une liste standard de 2 048 mots (norme BIP-39). Ces mots permettent de recréer toutes vos clés sur n’importe quel appareil compatible. Perdre l’appareil n’est pas grave. Perdre les mots, ou se les faire voler, l’est.
- Écrivez-la à la main, sur papier ou gravée sur une plaque de métal qui résiste au feu et à l’eau.
- Jamais sur un écran : ni photo, ni capture, ni fichier, ni note synchronisée, ni gestionnaire de mots de passe en ligne.
- Deux exemplaires, dans deux lieux différents, pour survivre à un incendie ou à un cambriolage.
- Pensez à la succession : une personne de confiance doit savoir que ces fonds existent et comment y accéder, sans connaître la phrase elle-même. Une lettre scellée chez un notaire est une solution courante.
Si quelqu’un vous demande votre phrase de récupération, c’est un vol en cours. Faux support technique, faux formulaire de « synchronisation », faux courrier du fabricant de votre wallet : le scénario change, la demande reste la même.
Sécuriser un compte sur une plateforme
- Double authentification par application (Google Authenticator, Aegis…) ou par clé physique. Le SMS seul est vulnérable au SIM swap, où un escroc fait transférer votre numéro sur sa propre carte SIM.
- Une adresse e-mail dédiée, qui ne sert nulle part ailleurs et n’apparaît dans aucune fuite de données.
- Une liste blanche d’adresses de retrait, si la plateforme le propose : un pirate qui prend votre compte ne pourra retirer que vers vos propres adresses.
- L’agrément : depuis le 1er juillet 2026, une plateforme qui sert des clients en France doit être agréée PSCA au titre de MiCA, en France ou dans un autre pays de l’Union. Vérifiez sur le registre de l’ESMA, et consultez la liste noire de l’AMF.
Les arnaques les plus fréquentes
L’empoisonnement d’adresse
Un escroc génère une adresse dont les premiers et derniers caractères ressemblent à une adresse avec laquelle vous échangez souvent, puis vous envoie une transaction de montant nul. Elle apparaît dans votre historique ; le jour où vous copiez « la dernière adresse utilisée », vous copiez la sienne. Parade : copier depuis la source, jamais depuis l’historique, et vérifier l’adresse en entier.
Le faux investissement sentimental
Un contact rencontré sur une application de rencontre, un réseau social ou par un « mauvais numéro » sympathise pendant des semaines, puis vous montre ses gains sur une plateforme. Les premiers retraits fonctionnent, pour vous mettre en confiance. Les gros dépôts ne reviennent jamais. Les anglophones l’appellent pig butchering.
Le faux support
Vous posez une question sur un forum ou un réseau social ; un « agent du support » vous contacte en privé dans la minute. Les vrais supports ne démarchent jamais en message privé.
Le site cloné et la publicité piégée
Une publicité sponsorisée en tête des résultats de recherche renvoie vers une copie parfaite d’une plateforme ou d’un wallet. Accédez aux services par un favori enregistré, pas par un lien.
Le « récupérateur de fonds »
Après une première arnaque, des « cabinets » promettent de récupérer votre argent contre des frais d’avance. C’est la deuxième arnaque. Aucun service ne peut annuler une transaction sur une blockchain.
La discrétion, une mesure de sécurité physique
En 2025, plusieurs enlèvements et tentatives d’extorsion visant des détenteurs de cryptos et leurs proches ont eu lieu en France. Ne publiez pas vos montants, ne vous présentez pas comme un investisseur crypto auprès d’inconnus, et méfiez-vous des fuites de données : les fichiers clients de plusieurs acteurs du secteur ont déjà circulé.
Si vous êtes victime
- Coupez tout contact avec l’escroc et ne versez plus rien, même pour « débloquer » des fonds.
- Conservez les preuves : adresses, identifiants de transaction, captures des échanges.
- Signalez l’arnaque sur cybermalveillance.gouv.fr et déposez plainte. La plateforme qui a reçu les fonds peut parfois les geler si elle est alertée très vite.
- Signalez-la aussi à l’AMF avec son formulaire de signalement : vos informations peuvent alimenter sa liste noire.
Sources
- AMF, listes noires et mises en garde.
- ESMA, registre des prestataires agréés MiCA.
- AMF, Épargne Info Service, questions et signalements des particuliers.
- BIP-39, norme des phrases de récupération.