Gestionnaires de mots de passe et crypto : ce qu’il faut stocker et ce qu’il ne faut jamais stocker

Un gestionnaire de mots de passe est un bon endroit pour les mots de passe de vos plateformes d’échange et de votre messagerie, mais pas pour les phrases de récupération ni les clés privées : celles-ci doivent rester hors ligne, car quiconque les obtient contrôle vos cryptos pour toujours. Bien utilisé, un gestionnaire de mots de passe rend vos comptes crypto beaucoup plus sûrs ; utilisé comme coffre fourre-tout, il peut devenir un point de défaillance unique.

La plupart des vols de cryptos commencent par une prise de contrôle de compte ou un secret dérobé, plutôt que par une blockchain cassée. Ce guide explique comment les attaquants s’en prennent aux coffres de mots de passe et aux secrets qu’ils contiennent, ce qu’il faut y stocker et ce qu’il faut en exclure, et que faire en cas de problème.

Ce qu’il faut stocker et ce qu’il ne faut jamais stocker

Le principe directeur : le gestionnaire de mots de passe protège l’accès à des comptes qui disposent d’autres garde-fous (délais de retrait, 2FA, équipes de support). Une phrase de récupération n’a aucun garde-fou. Lisez ce qu’est une phrase de récupération et comment elle fonctionne pour comprendre pourquoi.

Comment les attaquants s’en prennent aux coffres et aux secrets

Comprendre les vecteurs d’attaque explique les règles ci-dessus :

1. 1Malwares voleurs d’informations (infostealers). Une fausse application, un logiciel piraté ou une extension de navigateur malveillante copie les données du navigateur, les mots de passe enregistrés et les fichiers de votre ordinateur. Si votre coffre est déverrouillé, ou si votre phrase de récupération se trouve dans une note, elle peut être dérobée en quelques secondes.
2. 2Phishing du mot de passe maître. Une fausse page de connexion ou un faux e-mail d’« alerte de sécurité du coffre » vous demande de vous connecter à votre gestionnaire de mots de passe.
3. 3Fuites chez le fournisseur. Des éditeurs de gestionnaires de mots de passe ont subi des fuites au cours desquelles des données de coffres chiffrées ont été copiées. Le chiffrement ne vous protège que tant que votre mot de passe maître est assez robuste pour résister aux tentatives de devinette.
4. 4Détournement du presse-papiers. Un malware surveille votre presse-papiers et remplace une adresse de portefeuille copiée par celle de l’attaquant, ou capture une phrase de récupération que vous copiez.
5. 5Recherche de mots-clés dans les coffres. Une fois dans un coffre, les attaquants recherchent des mots comme « seed », « mnemonic », « wallet » ou « private key ».

Un exemple hypothétique

Ce qui suit est un cas composite à titre d’illustration, pas un cas réel. Imaginez qu’Alex stocke tout dans un seul gestionnaire de mots de passe, y compris une note intitulée « MetaMask seed ». Alex installe une extension gratuite de « suivi des cours crypto » qui s’avère malveillante. Elle capture le mot de passe maître pendant qu’Alex le tape et exporte le coffre. L’attaquant recherche « seed », importe le portefeuille et le vide en moins d’une heure. Le compte d’Alex sur la plateforme d’échange n’est épargné que parce que les retraits exigent une clé de sécurité matérielle. La différence entre les deux issues tenait à l’endroit où chaque secret était conservé.

Signaux d’alerte indiquant que votre coffre ou vos comptes sont ciblés

• Des e-mails vous demandant de « vérifier » ou de « resynchroniser » votre gestionnaire de mots de passe ou votre compte sur une plateforme d’échange.
• Des alertes de connexion ou des demandes 2FA que vous n’avez pas déclenchées.
• Votre gestionnaire de mots de passe refuse de remplir automatiquement sur un site que vous pensez être votre plateforme d’échange.
• De nouvelles extensions de navigateur que vous ne vous souvenez pas d’avoir installées.
• Des e-mails inattendus de réinitialisation du mot de passe de votre compte e-mail.

Comment configurer un gestionnaire de mots de passe pour la crypto en toute sécurité

1. 1Choisissez un gestionnaire réputé doté d’un modèle de sécurité publié et d’un chiffrement de bout en bout, téléchargé uniquement depuis le site officiel ou la boutique d’applications.
2. 2Créez une phrase de passe maître robuste composée de plusieurs mots aléatoires que vous n’utilisez nulle part ailleurs, et notez-la pour une récupération d’urgence dans un endroit sûr.
3. 3Activez une authentification à deux facteurs robuste pour le coffre, idéalement une clé de sécurité matérielle ou une application d’authentification plutôt que les SMS.
4. 4Générez des mots de passe uniques pour chaque plateforme d’échange, compte e-mail et service crypto. Donnez la priorité à votre messagerie, car elle permet de réinitialiser tout le reste.
5. 5Utilisez le remplissage automatique comme test anti-phishing. S’il ne propose pas vos identifiants, examinez l’URL avant de saisir quoi que ce soit.
6. 6Laissez les secrets de portefeuille en dehors. Conservez les phrases de récupération hors ligne. Si vous voulez un rappel dans le coffre, notez seulement où se trouve une sauvegarde, pas ce qu’elle contient.
7. 7Verrouillez le coffre automatiquement après une courte période d’inactivité et à la mise en veille de l’appareil.

Pour une routine plus complète, consultez notre guide pour créer une routine de sécurité crypto solide et celui sur la sécurité du compte e-mail pour les utilisateurs de crypto.

Que faire si votre coffre est compromis

1. 1Partez du principe que tous les secrets qu’il contient sont exposés. Si une phrase de récupération y était stockée, transférez immédiatement vos fonds vers un nouveau portefeuille avec une nouvelle phrase de récupération ; suivez ce qu’il faut faire immédiatement si votre portefeuille est compromis.
2. 2Changez d’abord le mot de passe de votre messagerie, puis ceux des plateformes d’échange, depuis un appareil sain.
3. 3Réinitialisez l’authentification à deux facteurs et révoquez les sessions et clés API inconnues sur les plateformes d’échange.
4. 4Vérifiez les listes blanches d’adresses de retrait à la recherche d’adresses que vous n’avez pas ajoutées.
5. 5Analysez ou réinstallez l’appareil concerné avant de vous en servir à nouveau.
6. 6Signalez les sites de phishing et les adresses frauduleuses au service concerné et via notre formulaire de signalement d’arnaque.

En résumé

Un gestionnaire de mots de passe est l’un des meilleurs outils de sécurité qu’un utilisateur de crypto puisse avoir, à condition qu’il contienne les bonnes choses. Utilisez-le pour des mots de passe de compte uniques et comme test anti-phishing grâce au remplissage automatique, protégez-le avec une phrase de passe robuste et une authentification à deux facteurs matérielle, et conservez les phrases de récupération et les clés privées hors ligne, là où les malwares et les fuites ne peuvent pas les atteindre.