L'article original (https://www.binance.com/en/blog/from-our-ceo/421499824684900429étant trop long et verbeux, j'en ai préparé une version condensée.
Adaptez vos mesures de sécurité à la valeur de vos avoirs et à vos compétences techniques. Concentrez-vous sur trois priorités : empêcher le vol, éviter les pertes accidentelles et préparer la transmission.
L'auto-garde (self-custody)
Les clés privées autorisent l'accès aux fonds. Les phrases de récupération (seed phrases) génèrent ces clés. Quiconque obtient l'une ou l'autre peut contrôler les cryptos associées.
L'auto-garde exige des appareils sécurisés, des sauvegardes fiables et un plan de récupération viable.
- Empêcher le vol des clés
Ordinateurs
- Utilisez un ordinateur dédié et hors ligne pour stocker vos clés et signer vos transactions.
- Installez les logiciels depuis des sources officielles, via des supports amovibles sains.
- Vérifiez que vos téléchargements ne contiennent ni malwares ni failles de sécurité connues.
- Privilégiez des logiciels maintenus qui permettent la signature hors ligne.
- Chiffrez le disque et protégez physiquement l'ordinateur.
Téléphones mobiles
- Utilisez un téléphone dédié, réinitialisé avant d'y installer le portefeuille.
- N'installez que le logiciel de portefeuille nécessaire ; évitez le root ou le jailbreak.
- Gardez le téléphone hors ligne, sauf lorsque les transferts ou mises à jour exigent une connexion.
- Utilisez un code d'accès robuste et gardez l'appareil sous votre contrôle physique.
- Pour les portefeuilles totalement hors ligne, prévoyez comment mettre à jour le logiciel et déplacer vos fonds en toute sécurité.
Portefeuilles matériels (hardware wallets)
- Choisissez un modèle éprouvé et protégez-le contre le vol ou la manipulation.
- Sécurisez l'ordinateur ou le téléphone auquel il est connecté.
- Vérifiez toujours l'adresse de destination directement sur le portefeuille matériel avant de valider un transfert.
- Protégez vos sauvegardes avec autant de soin que l'appareil lui-même.
Les portefeuilles matériels limitent l'exposition des clés privées, mais restent vulnérables aux failles logicielles, aux attaques physiques et aux sauvegardes mal protégées.
- Éviter la perte des clés
Conservez plusieurs sauvegardes protégées dans des lieux distincts.
- Papier : simple à créer, mais sensible aux dégâts, aux pertes, aux erreurs de recopie et aux lectures non autorisées.
- Métal : plus résistant, mais toujours exposé au risque de perte et de lecture non autorisée.
- Clés USB chiffrées : permettent de séparer géographiquement les sauvegardes, mais exigent un chiffrement solide et de bonnes compétences techniques.
Évitez les photos ou captures d'écran de vos clés, qui risquent de se synchroniser avec vos comptes cloud. Renseignez-vous sur les outils de sauvegarde et de chiffrement, limitez les accès et assurez-vous que la procédure de récupération fonctionne réellement.
- Préparer la transmission
Prévoyez un processus de récupération sans exposer inutilement vos fonds de votre vivant.
Partager vos clés donne aux bénéficiaires un accès immédiat à vos fonds et multiplie les risques de perte ou de vol. Confier vos clés à un intermédiaire comporte des risques similaires.
Un dispositif de type « dead man's switch » peut diffuser vos instructions après une longue période d'inactivité. Testez et étudiez minutieusement ce service avant de vous y fier.
Ne placez jamais de clés non chiffrées ou de mots de passe de sauvegarde dans des messages programmés. Chiffrez les instructions de récupération destinées à votre bénéficiaire, par exemple avec sa clé publique PGP. Ce dernier doit comprendre la marche à suivre et protéger la clé privée nécessaire au déchiffrement.
Les plateformes centralisées
Les plateformes gèrent la garde et l'infrastructure ; la sécurité du compte reste votre responsabilité.
Évaluez leur réputation, leurs moyens de sécurité, leurs pratiques de test et la viabilité de leur modèle économique. Méfiez-vous des incitations anormalement généreuses ou des sources de revenus floues. Confier ses actifs à une plateforme implique un risque de contrepartie.
Sécurisez votre compte
1. Protégez vos ordinateurs
Dans la mesure du possible, utilisez un ordinateur dédié. Activez l'antivirus et le pare-feu, limitez les logiciels installés et restreignez les téléchargements. Sécurisez également les autres appareils connectés au même réseau.
Installez sans tarder les mises à jour du système d'exploitation et des applications. Désactivez les téléchargements automatiques superflus dans vos applications de messagerie.
2. Protégez votre adresse e-mail
Utilisez une adresse e-mail différente pour chaque plateforme. Activez une authentification à deux facteurs robuste, idéalement une clé de sécurité matérielle. Évitez la récupération par téléphone, qui expose votre compte aux attaques par SIM swapping.
3. Utilisez des mots de passe uniques
Créez un mot de passe complexe et unique pour chaque compte, puis stockez-le dans un gestionnaire de mots de passe adapté. Protégez l'appareil qui héberge ce gestionnaire : un malware pourrait neutraliser toutes ses protections.
4. Activez l'authentification à deux facteurs
Activez la 2FA sur vos comptes de plateforme et de messagerie. Les codes d'authentification renforcent la sécurité, mais les malwares et sites de phishing peuvent les intercepter ou les relayer.
5. Privilégiez les clés de sécurité matérielles
Si la plateforme le permet, sécurisez vos comptes (plateforme, e-mail, gestionnaire de mots de passe) avec des clés de sécurité matérielles. Leur authentification liée à un site précis constitue un excellent rempart contre le phishing.
6. Évitez l'authentification par SMS
Préférez les applications d'authentification ou les clés de sécurité matérielles. Un pirate qui prend le contrôle de votre numéro de téléphone peut intercepter vos codes SMS.
7. Mettez les adresses de retrait sur liste blanche
Limitez les retraits aux adresses approuvées afin de compliquer tout transfert non autorisé.
8. Protégez vos identifiants API
Gardez vos clés API confidentielles et empêchez toute utilisation non autorisée. En cas d'authentification asymétrique, conservez précieusement la clé privée et ne transmettez que la clé publique à la plateforme.
Des identifiants API perdus peuvent généralement être remplacés ; les clés de portefeuille, elles, exigent une stratégie de sauvegarde dédiée.
9. Finalisez la vérification d'identité
La vérification d'identité facilite la preuve de propriété, les enquêtes sur les activités suspectes et les procédures de succession. Renseignez-vous sur les documents exigés par la plateforme.
10. Protégez physiquement vos appareils
Utilisez des verrouillages d'écran robustes et mettez à l'abri téléphones, ordinateurs, portefeuilles matériels et sauvegardes. Un seul téléphone peut donner simultanément accès à vos e-mails, vos comptes de plateforme et vos codes d'authentification.
11. Déjouez le phishing
Accédez aux plateformes via des favoris fiables ou en saisissant soigneusement l'adresse. Ne saisissez jamais vos identifiants après avoir cliqué sur un lien reçu par e-mail, SMS ou réseau social de manière non sollicitée.
Restez prudent face aux contacts inattendus prétendant provenir du support de la plateforme ou de personnalités publiques.
Trouvez le bon équilibre
Répartissez vos fonds entre les plateformes et vos portefeuilles personnels en fonction de vos compétences techniques, de vos habitudes de sécurité et de vos besoins d'accès.
L'auto-garde exige de protéger et de récupérer vos clés de manière autonome. La garde sur plateforme suppose de faire confiance au prestataire tout en blindant la sécurité de votre compte. Un portefeuille séparé vous permettra de conserver un accès à vos fonds pendant les opérations de maintenance de la plateforme.
