Comment stocker les Bitcoin Ordinals en toute sécurité

Que sont les Bitcoin Ordinals et pourquoi leur stockage est-il différent ?

Vous avez acheté une inscription, un BRC-20 token ou peut-être détenez-vous un rare sat que vous ne souhaitez pas perdre. La question n’est plus simplement « où conserver mes bitcoins ? », mais bien : comment protéger une inscription alors que le réseau Bitcoin ne fait aucune différence entre un sat valant quelques centimes et un autre qui porte une œuvre numérique de grande valeur ? Cette distinction est plus importante qu’on ne le pense au départ.

Bitcoin Ordinals fonctionne en attribuant un numéro de série à chaque satoshi, la plus petite unité de bitcoin (un cent-millionième de BTC). Une inscription correspond à un contenu (image, texte, code) attaché à l’un de ces sats numérotés. Un BRC-20 token est un jeton fongible basé sur ce même système de numérotation. Les rare sats sont des satoshis avec des numéros particuliers, comme le premier sat d’un bloc, que les collectionneurs recherchent pour leur importance historique dans Bitcoin.

Voici la subtilité : pour le réseau Bitcoin, un satoshi inscrit reste un satoshi classique. Il est contenu dans un UTXO (Unspent Transaction Output), l’unité fondamentale de valeur sur Bitcoin. Quand vous envoyez des bitcoins, votre wallet sélectionne des UTXOs pour couvrir le montant. Si votre wallet ignore qu’une inscription se trouve dans l’un de ces UTXOs, il peut le dépenser comme une simple monnaie. L’inscription part alors avec la transaction, potentiellement vers une autre adresse.

Ce n’est pas un cas théorique : cela arrive dès qu’un wallet non compatible Ordinals gère un UTXO contenant une inscription. Ordinals, Runes et les solutions Bitcoin L2 sont des usages émergents sur Bitcoin, mais les outils sont encore en développement. Le stockage de ces actifs n’est donc pas aussi automatisé que pour ETH ou SOL : il demande une configuration plus réfléchie.

Le risque principal : dépenser accidentellement une inscription

Le plus grand danger pour la garde des Ordinals n’est pas le piratage, mais la dépense accidentelle. Voici comment cela se produit : imaginez que vous détenez 0,05 BTC répartis sur plusieurs UTXOs. L’un d’eux, d’une valeur de 0,001 BTC, contient une inscription que vous avez achetée 0,3 BTC lors du mint. Vous ouvrez un wallet Bitcoin standard pour envoyer 0,04 BTC à un ami. Le wallet sélectionne automatiquement des UTXOs, y compris celui de 0,001 BTC. La transaction est validée : votre inscription a pu partir avec, vers une autre adresse.

L’inscription n’est pas détruite, mais la récupérer suppose que le destinataire vous la renvoie, ce qui nécessite qu’il comprenne ce qu’il a reçu. En pratique, la plupart des gens ne s’en rendent compte que trop tard. C’est pour cela que les wallets compatibles Ordinals existent : ils identifient les UTXOs contenant des inscriptions et les excluent de la sélection automatique. Le terme technique pour le contrôle manuel des UTXOs utilisés dans une transaction est coin control. Certains wallets vont plus loin et permettent de freeze ou lock un UTXO porteur d’inscription, afin qu’il ne soit jamais sélectionné, même par erreur.

La documentation Ordinals recommande un mode d’envoi précis : transférer une inscription depuis l’UTXO qui la contient, via une transaction avec un seul input et un seul output. C’est la méthode la plus sûre : aucun output de change, aucun input supplémentaire, aucune ambiguïté.

Les Taproot addresses (celles commençant par bc1p) sont également essentielles. Les inscriptions sont créées et transférées via Taproot, le format d’adresse le plus récent sur Bitcoin. Envoyer une inscription vers une adresse Legacy (1...) ou SegWit (bc1q...) pose problème, car ces formats ne prennent pas en charge nativement les scripts Taproot utilisés par Ordinals. On doit toujours recevoir une inscription sur une adresse Taproot (bc1p).

Se tromper de format d’adresse est une erreur fréquente chez les débutants. Cela ne provoque pas toujours une perte définitive, mais peut rendre l’inscription difficile, voire impossible à déplacer par la suite.

Comment stocker les Bitcoin Ordinals en toute sécurité

Bien gérer cela repose sur quatre décisions pratiques.

Utilisez une adresse dédiée pour les inscriptions. Ne mélangez pas vos UTXOs d’inscriptions avec ceux de votre wallet Bitcoin quotidien. Créez une adresse séparée, voire un wallet distinct, utilisée uniquement pour recevoir et conserver vos Ordinals. Ainsi, votre wallet de dépenses ne pourra jamais toucher vos inscriptions par accident, car les fonds sont totalement séparés. C’est la protection la plus fiable contre la dépense accidentelle. Cela ne coûte rien à mettre en place et ne demande aucune compétence technique particulière, hormis la configuration initiale.

Recevez uniquement sur des adresses Taproot (bc1p). Avant de recevoir une inscription, vérifiez que l’adresse commence bien par bc1p. Si votre wallet affiche par défaut une adresse SegWit, cherchez l’option pour générer une adresse Taproot. Envoyer une inscription vers le mauvais format d’adresse est une erreur bien plus facile à éviter qu’à corriger.

Utilisez un wallet compatible Ordinals pour tout transfert. Pour envoyer une inscription, utilisez un wallet qui prend explicitement en charge Ordinals. Ces wallets affichent les inscriptions avec les détails UTXO, permettent de lock ou freeze les UTXOs concernés, et offrent le coin control pour choisir exactement quel UTXO dépenser. Les workflows à la UniSat ou Sparrow illustrent ce type d’outil. Les wallets Bitcoin standards, même réputés, peuvent dépenser des inscriptions sans avertissement s’ils ne gèrent pas Ordinals.

N’envoyez jamais d’inscription depuis un wallet qui ne montre pas les détails UTXO. Si vous ne pouvez pas voir quels UTXOs vous détenez et lesquels contiennent des inscriptions, vous ne pouvez rien déplacer en toute sécurité. L’absence de visibilité UTXO est un signe clair qu’un wallet n’est pas adapté à la garde d’Ordinals.

À propos des BRC-20 tokens : ils sont déployés sous forme d’inscriptions, donc les mêmes risques UTXO s’appliquent. Un solde BRC-20 existe dans des UTXOs porteurs d’inscriptions, et non comme un simple solde d’adresse, contrairement aux ERC-20 tokens. Traiter les BRC-20 comme des tokens fongibles classiques, ou utiliser un wallet Bitcoin standard pour les gérer, expose à des transferts ou pertes accidentels.

Cold storage et auto-conservation pour les Ordinals

Conserver ses inscriptions sur une plateforme d’échange ou chez un dépositaire signifie que quelqu’un d’autre détient les clés privées. Si la plateforme fait faillite, bloque les retraits ou subit un piratage, vos inscriptions sont en danger. Les échanges peuvent effectivement échouer : QuadrigaCX s’est effondrée en 2019, bloquant les fonds de ses clients. L’auto-conservation (self-custody) signifie que l’utilisateur du wallet, et non un intermédiaire, contrôle directement ses clés privées. Les transactions sont signées localement puis diffusées sur la blockchain.

Le cold storage va plus loin : les clés privées restent complètement hors ligne, à l’abri de tout appareil connecté à Internet, ce qui réduit l’exposition au vol en ligne ou à l’accès non autorisé. Pour les Ordinals, le cold storage est pertinent pour toute conservation de long terme. Le workflow : votre appareil de cold storage détient les clés privées ; vous l’utilisez pour signer les transactions lors d’un déplacement d’inscription ; la transaction signée est diffusée sans que la clé privée ne quitte jamais l’environnement hors ligne.

Les hardware wallets sont l’outil standard du cold storage. L’appareil signe la transaction en interne et retourne le résultat signé pour diffusion. La clé privée ne quitte jamais l’appareil.

Un hardware wallet pertinent ici est le Tangem Wallet, un wallet matériel auto-custodial qui stocke les clés privées hors ligne sur une carte physique NFC. Il utilise une puce sécurisée Samsung S3D350A certifiée Common Criteria EAL6+ et l’architecture prévoit que la signature s’effectue dans l’élément sécurisé, la clé privée ne touchant jamais un appareil connecté. Pour la réception de bitcoins, l’application Tangem prend en charge les adresses SegWit et Legacy.

Cet aspect doit être souligné en toute transparence : la documentation Tangem indique une prise en charge des adresses Bitcoin SegWit et Legacy. Les recherches disponibles à ce jour ne confirment pas si l’application Tangem génère des adresses Taproot (bc1p) ou propose une visibilité UTXO spécifique Ordinals et le coin control. Pour toute inscription de grande valeur, il convient de vérifier directement avec Tangem la prise en charge actuelle de Taproot et Ordinals avant d’utiliser ce wallet comme solution de stockage. Le cold storage est la bonne stratégie pour les Ordinals, mais le wallet utilisé doit répondre aux exigences d’un usage compatible Ordinals.

L’approche recommandée pour la plupart des débutants est hybride : séparez votre wallet d’inscription de votre wallet de dépenses, utilisez le cold storage pour les avoirs de long terme, et ne connectez votre appareil hors ligne que pour signer une transaction. Le reste du temps, vos clés privées restent hors ligne.

Un exemple concret : vous détenez 5 inscriptions Ordinals sur un wallet dédié en cold storage. Ce wallet n’est jamais utilisé pour vos dépenses BTC classiques. Lorsqu’un acheteur propose d’acquérir une inscription pour 0,15 BTC, vous ouvrez votre wallet compatible Ordinals, identifiez le UTXO contenant l’inscription, construisez une transaction avec uniquement ce UTXO en input et l’adresse Taproot de l’acheteur en output, signez avec votre appareil de cold storage, puis diffusez la transaction. L’inscription est transférée sans toucher les 4 autres, restées dans leurs UTXOs respectifs. Ce workflow est plus délibéré que pour ETH, mais cette rigueur est essentielle.

Une limite à connaître avec tout hardware wallet, y compris Tangem : si toutes les cartes sont perdues et qu’aucune phrase de récupération n’a été créée, les fonds deviennent définitivement inaccessibles. La sauvegarde n’est pas optionnelle. La configuration Tangem impose au moins une carte de sauvegarde, et jusqu’à trois cartes peuvent partager la même clé privée, chacune offrant un accès complet. Rangez votre carte de sauvegarde dans un lieu distinct de votre carte principale.