Comment réagir après le piratage d’un wallet crypto : guide d’urgence
Cet article est disponible dans les langues suivantes :
Vos fonds bougent sans votre accord ? Votre solde vient de tomber à zéro ? Ou bien on vous a signalé que votre phrase de récupération a fuité là où elle n’aurait jamais dû se trouver.
Stop. Respirez. Voici comment réagir immédiatement.
- Créez un nouveau wallet sur un appareil de confiance.
- Transférez sans attendre les fonds restants vers cette nouvelle adresse.
- Révoquez les anciennes autorisations du wallet si possible.
- Gelez vos comptes sur les plateformes d’échange si des fonds y ont été touchés.
- Ne réutilisez jamais l’ancienne phrase de récupération.
Si vous êtes en pleine crise, commencez par le premier point et suivez l’ordre.
Analyser la faille : comprendre ce qui s’est passé
Avant de pouvoir récupérer vos fonds, il faut comprendre ce qui a été touché et comment. La suite dépend entièrement de cette analyse.
Vérifiez l’historique de vos transactions
Utilisez un explorateur de blocs pour examiner les transactions récentes de votre adresse. Recherchez les transferts sortants non autorisés et les autorisations de tokens inconnues.
Identifiez la méthode d’attaque
Ce que vous observez dans l’historique donne des indices sur la faille :
- Tokens drained via an approve() call you didn't make. Il s’agit d’une attaque de phishing ou d’un wallet drainer. L’attaquant vous a fait signer une autorisation donnant un accès illimité à vos tokens via un contrat malveillant. Votre phrase de récupération peut encore être intacte. Passez en revue et révoquez ces autorisations si possible.
- All funds sent to an unknown address in one transaction. Votre phrase de récupération ou votre clé privée a sans doute été compromise. Considérez l’ancien wallet comme définitivement perdu. Créez un nouveau wallet avec une nouvelle phrase sur un appareil sain et n’utilisez plus jamais l’ancienne adresse.
- Exchange account emptied, no on-chain wallet movement. Il s’agit d’un phishing, d’un SIM swap ou d’un vol d’identifiants sur la plateforme d’échange, pas sur votre wallet auto-conservé. Contactez immédiatement la plateforme pour geler le compte et changez vos mots de passe et 2FA.
- Small withdrawals over time. Ce schéma suggère un keylogger ou un malware à distance sur votre appareil. Réinitialisez complètement l’appareil avant toute autre action.
Here's the honest issue : la sécurité d’un hot wallet dépend entièrement de l’appareil sur lequel il fonctionne. Par exemple, MetaMask stocke les phrases de récupération et les clés privées localement dans le navigateur ou sur l’appareil, ce qui augmente l’exposition aux attaques de phishing et aux extensions malveillantes. Trust Wallet est non-custodial et génère les clés localement, mais reste un hot wallet sans module matériel dédié. Si un malware s’installe, votre appareil ET vos données sont en danger.
Identifier la méthode d’attaque permet de savoir s’il s’agit d’une autorisation réversible ou d’une phrase de récupération compromise. La réponse à adopter est totalement différente selon le cas.
Plan de reprise complet
Suivez ces étapes dans l’ordre. Ne sautez rien.
Étape 1 : créez un nouveau wallet sur un appareil sain
Utilisez un appareil qui n’a jamais servi à accéder à des cryptos. Si vous suspectez un malware, n’utilisez pas l’appareil compromis tant qu’il n’a pas été réinitialisé.
Vos options :
- Best option : commandez un hardware wallet et configurez-le dès réception. Vous repartez ainsi sur de bonnes bases avec une vraie sécurité dès le départ.
- If you need access immediately, créez un nouveau wallet MetaMask sur un appareil sain. Générez une nouvelle phrase de récupération. Notez-la immédiatement sur papier. Conservez-la séparément de l’appareil : jamais dans une application, un cloud ou une photo.
The key point : une phrase de récupération est une suite de 12 ou 24 mots servant de clé maîtresse au wallet. Toute personne qui la possède contrôle vos fonds. Notez-la sur papier, rangez-la dans un endroit physiquement sécurisé, ne la prenez jamais en photo et ne la saisissez sur aucun site.
Étape 2 : transférez les fonds restants vers le nouveau wallet
Si des actifs restent sur le wallet compromis, transférez-les sans attendre vers votre nouvelle adresse. Faites-le avant de révoquer les autorisations, avant de changer vos mots de passe, avant toute autre action. Chaque seconde compte.
Dans la plupart des cas, une transaction crypto envoyée à une adresse valide est irréversible. Une fois les fonds partis vers l’attaquant, il n’y a plus de retour possible. Sauvez d’abord ce qui peut l’être.
Étape 3 : révoquez toutes les autorisations sur l’ancien wallet
Même après avoir transféré vos fonds, vérifiez et révoquez toutes les autorisations en cours si possible. Les attaques WalletConnect par phishing consistent à faire approuver des dApps malveillantes qui obtiennent un accès illimité à vos tokens : révoquer ces autorisations ferme la porte. Une autorisation non révoquée reste un risque sur les tokens reçus à cette adresse.
Étape 4 : sécurisez votre environnement numérique
Si vous suspectez un keylogger ou un malware à distance :
- Changez les mots de passe de vos e-mails, comptes d’échange et tout compte lié à la crypto depuis un appareil sain.
- Lancez une analyse antivirus sur l’appareil compromis. En cas d’infection grave, seule une réinitialisation complète ou un retour aux paramètres d’usine garantit l’éradication. Les analyses partielles peuvent rater des malwares sophistiqués ciblant la crypto.
- Activez l’authentification à deux facteurs partout où c’est possible.
- Pour sécuriser un hot wallet : utilisez des mots de passe forts et uniques, activez 2FA, maintenez à jour vos applications et systèmes, vérifiez chaque URL avant de vous connecter à un site.
Étape 5 : signalez là où c’est utile
Signaler un incident ne permet que rarement de récupérer les fonds, mais c’est important.
- Exchange funds taken : contactez immédiatement la plateforme. Elle peut signaler le compte de l’attaquant et parfois geler les fonds volés s’ils sont encore sur la plateforme.
- Phishing site : signalez-le à Google Safe Browsing et à PhishTank.
- Cybercrime authority : faites un signalement auprès de l’IC3 (USA) ou d’Action Fraud (UK). La récupération est rare, mais ces signalements aident à l’analyse des fraudes et protègent les autres.
One firm warning : ne payez jamais de « services de récupération » qui vous contactent après un piratage. Ce sont presque toujours des arnaques ciblant les victimes déjà en détresse. Les entreprises légitimes ne vous demanderont jamais vos clés privées, codes d’accès ou vérification de wallet via des messages non sollicités.
Repartir sur de bonnes bases : la sécurité matérielle
Vous avez limité les dégâts. Reste à éviter que cela ne se reproduise.
L’attaque qui a compromis votre ancien wallet a presque toujours exploité l’un de ces trois points : exposition de la phrase de récupération (phishing, captures d’écran, sauvegardes cloud), malware (keylogger, capture d’écran, vol du presse-papiers) ou autorisation malveillante via un site de phishing.
Voici pourquoi ce sont des faiblesses structurelles des hot wallets.
Un hot wallet est connecté à Internet et stocke les clés privées nécessaires pour signer les transactions. Dans ce modèle, la sécurité dépend uniquement de l’appareil. Tous les wallets logiciels partagent la même faille : votre clé privée réside sur un appareil connecté à Internet. Cela signifie qu’un téléphone compromis, un clic sur un lien de phishing ou une fuite de données suffisent à tout perdre.
Cold storage garde les clés privées totalement hors ligne, à l’abri des appareils connectés, ce qui réduit fortement le risque de vol par attaque en ligne. Le principe : les clés privées ne touchent jamais Internet.
Les hardware wallets sont des dispositifs physiques conçus pour générer et stocker les clés privées hors ligne. Ils signent les transactions en interne et transmettent les transactions signées sans jamais exposer les clés privées à un environnement connecté. Ces appareils protègent contre les risques en ligne en isolant les clés, loin du hacking, du phishing, des malwares et des failles de plateforme. Pour la plupart des utilisateurs, c’est la solution cold storage la plus pratique, alliant sécurité et simplicité.
Pourquoi Tangem est adapté à cette situation
Après un piratage, la dernière chose que l’on souhaite est de devoir gérer encore une phrase de récupération. C’est là que la conception de Tangem prend tout son sens. Tangem génère la clé privée à l’intérieur de la puce lors de l’activation. La clé n’existe jamais sous forme de texte. La configuration sans seed phrase par défaut de Tangem élimine ce vecteur d’attaque.
Chaque transaction nécessite un tap physique de la carte NFC à une distance de 0 à 5 cm. Avec les hardware wallets Tangem, un tap physique est toujours requis pour signer, quels que soient les réglages biométriques. L’intégration WalletConnect de Tangem inclut la simulation de transaction Blockaid qui signale les dApps suspectes avant la signature.
L’élément sécurisé est certifié EAL6+ Common Criteria. Les audits indépendants menés par Kudelski Security en 2018 et Riscure en 2023 n’ont révélé aucune faille. Le firmware est installé en usine et non modifiable, ce qui élimine le risque d’attaque à distance par mise à jour malveillante. Un pack de 2 cartes coûte 54,90 $. La configuration prend 1 à 3 minutes.
One honest caveat : si toutes les cartes de sauvegarde sont perdues ou détruites, la récupération des fonds est impossible. Personne, y compris Tangem, ne peut restaurer vos actifs. C’est le prix de la sécurité sans seed phrase. Conservez votre carte de sauvegarde dans un lieu physiquement séparé de la carte principale : coffre-fort, personne de confiance, endroit ignifugé.
Fresh start : lorsque Tangem génère un nouveau wallet, il n’y a aucune ancienne phrase de récupération à craindre. L’attaque est limitée à l’ancienne adresse. Votre nouvelle adresse repart de zéro.
FAQ
-
Dans la plupart des cas, non. Les transactions blockchain sont irréversibles. Une fois les tokens transférés hors de votre wallet, il est extrêmement improbable de les récupérer. Si l’attaquant a déposé les fonds sur une plateforme connue, contactez-la rapidement : elle peut parfois geler les fonds s’ils n’ont pas encore quitté la plateforme. Sinon, signalez l’incident à l’IC3 ou à Action Fraud et acceptez la perte. Ne payez jamais de « services de récupération ».
-
Non. Si votre phrase de récupération a été compromise, elle est définitivement brûlée. Ces 12 ou 24 mots permettent de régénérer toutes les clés associées et de restaurer l’accès au wallet depuis n’importe quel appareil. Toute personne qui la détient contrôle tous les comptes dérivés, pour toujours. Créez un wallet entièrement neuf avec une nouvelle phrase sur un appareil sain. N’utilisez plus jamais la phrase compromise.
-
Si vous suspectez la présence d’un malware (keylogger, trojan à distance ou tout programme pouvant capturer vos frappes ou le presse-papiers), la réinitialisation complète de l’appareil est la seule solution fiable. Un antivirus n’est qu’une mesure partielle. Les malwares sophistiqués visant la crypto peuvent passer inaperçus. Pour un appareil suspect, une restauration d’usine ou une réinstallation complète du système est la seule option sûre avant de l’utiliser à nouveau pour la crypto.
-
Il est souvent impossible d’en être certain. Le signe le plus clair : l’attaquant contrôle tous les comptes (et pas seulement certains tokens), ce qui signifie qu’il a importé le wallet plutôt que d’exploiter une simple autorisation. Si vous avez déjà pris une photo de votre phrase, l’avez stockée sur Google Drive, iCloud, email ou une application de notes, collée sur un site web ou utilisée sur un appareil qui a montré des signes de malware, considérez-la comme compromise. MetaMask confirme lui-même que toute personne possédant la Secret Recovery Phrase peut accéder à tous les comptes associés. Repartez de zéro.
-
Une phrase de récupération compromise signifie que l’attaquant a importé votre wallet et contrôle de façon permanente tous les comptes dérivés. Avec un drain par autorisation, un smart contract malveillant a reçu la permission de déplacer certains tokens. L’attaquant n’a pas vos clés, mais il peut retirer certains tokens. Les drains par autorisation peuvent être contenus : révoquez les autorisations et transférez les fonds restants. Une seed brûlée ne peut pas être contenue : l’ancienne adresse reste sous contrôle de l’attaquant, quel que soit l’appareil utilisé.
-
Être vigilant aide, mais cela ne change pas l’architecture de base : la clé privée d’un hot wallet réside sur un appareil connecté à Internet, ce qui constitue la surface d’attaque. Les hardware wallets isolent les clés des risques de hacking, phishing, malware et failles de plateforme. La pratique courante consiste à garder une petite somme sur un hot wallet pour les dépenses courantes et à placer la majorité des fonds en cold storage. Après un incident, repartir sur une base matérielle est la réponse structurelle adaptée.
