Portefeuilles crypto : chauds et froids

Un portefeuille crypto est une application ou un appareil qui détient les clés de vos cryptomonnaies et vous permet d'envoyer et de recevoir des transactions. Il faut comprendre un point d'emblée : les pièces ne sont pas réellement stockées dans le portefeuille. Elles sont inscrites sur la blockchain. Ce que le portefeuille conserve, ce sont les clés qui prouvent votre droit de les déplacer.

Clés et adresses

Tout portefeuille repose sur une paire de clés liées entre elles :

Clé privée. Un secret qui sert à signer les transactions. Quiconque connaît la clé privée contrôle de fait les pièces.
Clé publique. Elle est dérivée de la clé privée et sert à générer une adresse, une chaîne de caractères que vous pouvez communiquer sans risque pour que l'on vous envoie des fonds.

Il est pratiquement impossible de remonter d'une adresse à la clé privée : les adresses peuvent donc être partagées ouvertement. En revanche, personne d'autre que vous ne doit jamais voir la clé privée, ni la phrase de récupération qui permet de la restaurer.

La plupart des portefeuilles modernes génèrent leurs clés à partir d'une phrase de récupération (seed phrase), une liste de 12 ou 24 mots. Elle fait office de sauvegarde : si votre appareil est perdu ou cassé, cette phrase vous permet de retrouver l'accès à vos fonds dans un autre portefeuille.

Portefeuilles chauds

Un portefeuille chaud (hot wallet) conserve ses clés sur un appareil connecté à Internet. Exemples courants :

les applications de portefeuille sur mobile
les extensions de navigateur
les logiciels pour ordinateur

Son atout, c'est la commodité. Envoyer une transaction ne prend qu'un instant, et la connexion aux applications décentralisées est simple.

Son point faible : l'appareil est en permanence en ligne, ce qui l'expose davantage aux logiciels malveillants, à l'hameçonnage et au piratage. Beaucoup réservent donc les portefeuilles chauds aux petites sommes et à l'usage quotidien.

Portefeuilles froids

Un portefeuille froid (cold wallet) conserve les clés dans un environnement non connecté à Internet. Le type le plus répandu est le portefeuille matériel (hardware wallet) : un petit appareil physique qui génère et stocke les clés en interne. Les transactions sont signées sur l'appareil lui-même, si bien que la clé privée ne le quitte jamais.

Son atout : une protection bien plus solide contre les attaques à distance. Même si votre ordinateur est infecté, un attaquant aura bien du mal à récupérer la clé.

Ses inconvénients : un usage moins pratique, et la nécessité d'acheter l'appareil puis d'en prendre soin. Surtout, cette protection ne vaut que si la phrase de récupération est elle aussi conservée en lieu sûr.

Les portefeuilles papier, c'est-à-dire de simples clés imprimées, sont une autre forme de stockage à froid. On les considère aujourd'hui comme dépassés : le papier se perd ou s'abîme facilement, et il faut de toute façon saisir la clé dans un logiciel au moment de s'en servir.

Portefeuilles avec ou sans dépositaire

Autre distinction importante : qui détient les clés ?

Portefeuille avec dépositaire (custodial). Un service, par exemple une plateforme d'échange centralisée, détient les clés à votre place. Vous vous connectez avec un identifiant et un mot de passe, et le service gère les clés pour vous. C'est comparable à un compte bancaire : pratique, mais vous dépendez de la fiabilité et des règles de l'entreprise.
Portefeuille sans dépositaire (non-custodial). Vous êtes le seul à détenir les clés. Personne ne peut geler ou perdre vos fonds à votre place, mais personne ne pourra non plus les récupérer pour vous si vous perdez votre phrase de récupération.

Un adage bien connu dans l'univers crypto le dit : « Not your keys, not your coins » (pas vos clés, pas vos cryptos). Il rappelle que confier la garde de vos fonds à un service, c'est faire confiance à un tiers.

Les règles de sécurité de base

Ne communiquez jamais votre phrase de récupération ni votre clé privée. Le vrai support client, les développeurs de portefeuilles et les plateformes d'échange ne vous les demanderont jamais.
Ne conservez pas votre phrase de récupération sous forme de photo, de capture d'écran ou de note dans le cloud. La noter sur papier ou la graver sur une plaque de métal, puis la ranger en lieu sûr, est bien plus prudent.
Téléchargez vos portefeuilles uniquement depuis les sources officielles. Les escrocs créent de fausses applications et de faux sites en apparence identiques aux vrais.
Achetez vos portefeuilles matériels auprès du fabricant ou de revendeurs agréés. Un appareil acheté à un vendeur inconnu a pu être trafiqué.
Vérifiez deux fois l'adresse avant tout envoi. Certains logiciels malveillants remplacent discrètement une adresse copiée par celle de l'attaquant.
Envoyez d'abord un petit montant de test lorsque vous transférez des fonds vers une nouvelle adresse pour la première fois.
Soyez prudent lorsque vous connectez votre portefeuille à un site et signez des demandes. Ne signez rien que vous ne comprenez pas.

À retenir

Un portefeuille stocke des clés, pas des pièces.
Les portefeuilles chauds sont plus pratiques ; les portefeuilles froids sont mieux protégés contre les attaques à distance.
Dans un portefeuille avec dépositaire, c'est un service qui contrôle les clés ; dans un portefeuille sans dépositaire, c'est vous seul.
La phrase de récupération est le secret maître : celui qui la détient contrôle les fonds.