Portefeuilles matériels trafiqués et contrefaits : comment en acheter un en toute sécurité
Un faux portefeuille matériel ou un appareil trafiqué peut vider vos cryptos. Découvrez comment fonctionnent ces attaques, les signaux d’alerte et comment acheter et configurer un portefeuille en toute sécurité.
Un faux portefeuille matériel est un appareil contrefait ou trafiqué conçu pour voler vos cryptos, généralement parce qu’il est livré avec une phrase de récupération prédéfinie ou qu’il divulgue en secret celle que vous créez. La meilleure défense est simple : achetez uniquement auprès du fabricant ou d’un revendeur agréé, vérifiez l’appareil pendant la configuration et n’utilisez jamais un portefeuille qui arrive avec une phrase de récupération déjà écrite.
Les portefeuilles matériels comptent parmi les meilleurs moyens de protéger des cryptos, car ils gardent vos clés privées hors ligne. C’est précisément cette réputation qui pousse les escrocs à les copier. Un appareil compromis vous donne un faux sentiment de sécurité pendant que quelqu’un d’autre détient une copie de vos clés.
Comment fonctionnent les attaques par portefeuilles trafiqués et contrefaits
Il existe plusieurs variantes, mais la plupart suivent ce schéma :
- 1L’appareil est obtenu ou fabriqué. Les escrocs achètent des appareils authentiques et les modifient, ou fabriquent du matériel contrefait qui ressemble à une marque populaire.
- 2Il est revendu par des canaux non officiels. Places de marché, sites d’enchères, boutiques sur les réseaux sociaux et magasins « discount » sont des voies courantes.
- 3Un piège est tendu. Le colis peut contenir une carte à gratter avec une « phrase de récupération » et des instructions pour l’utiliser, ou le firmware modifié peut enregistrer la phrase que vous générez.
- 4Vous déposez des fonds. Comme l’appareil a l’air normal, vous y envoyez des cryptos.
- 5L’attaquant le vide. Comme il détient la phrase de récupération, il peut restaurer votre portefeuille sur son propre appareil et tout transférer – souvent en attendant que le solde soit important.
Une tactique proche est l’arnaque au « remplacement » envoyé par la poste : des personnes reçoivent un appareil qu’elles n’ont pas demandé, accompagné d’une lettre affirmant que leur ancien portefeuille n’est pas sûr et doit être remplacé. L’appareil est modifié pour voler la phrase de récupération que vous saisissez pendant la « migration ». Notre article Attaques de la chaîne d’approvisionnement développe ce point.
Un exemple hypothétique
Ce scénario est inventé pour illustrer le schéma.
Imaginez que Priya trouve un modèle connu de portefeuille matériel dans une annonce sur une place de marché, à un prix nettement inférieur à celui de la boutique officielle. Le carton arrive dans un emballage qui semble intact, avec une carte imprimée indiquant « Votre phrase de récupération – à conserver en lieu sûr », suivie de 24 mots. Les instructions lui demandent de saisir ces mots pendant la configuration « pour une activation plus rapide ». Voir aussi : Gestionnaires de mots de passe et crypto.
Priya suit les instructions, envoie ses économies sur le portefeuille, et tout semble normal pendant des semaines. Puis son solde disparaît. Le vendeur avait gardé une copie de ces 24 mots. Il n’y avait aucun problème avec la blockchain ni avec les vrais appareils de la marque : l’appareil et les instructions étaient le piège. Pour aller plus loin, lisez Arnaques à la validation et à la synchronisation de portefeuille.
Liste des signaux d’alerte
- Une phrase de récupération est fournie dans la boîte, sur une carte ou dans les instructions.
- L’appareil est déjà configuré, ne demande pas de créer un code PIN ou affiche des comptes existants.
- Le prix est bien inférieur à celui du fabricant.
- Le vendeur ne figure pas parmi les revendeurs agréés sur le site officiel.
- L’emballage montre des signes de refermeture, des scellés de sécurité endommagés, des traces de colle ou des pièces manquantes.
- Les instructions vous renvoient vers un site ou une application autre que ceux du fabricant.
- Un appareil arrive sans que vous l’ayez demandé, avec une lettre vous pressant de « migrer » vos fonds.
- La vérification d’authenticité de l’application compagnon échoue ou émet un avertissement sur l’appareil.
Comment acheter et configurer un portefeuille matériel en toute sécurité
Avant d’acheter
- 1Rendez-vous sur le site du fabricant en tapant vous-même l’adresse – méfiez-vous du phishing via les annonces des moteurs de recherche.
- 2Achetez directement sur ce site, ou chez un revendeur listé sur ce site officiel.
- 3Évitez les appareils d’occasion, même provenant de personnes que vous connaissez.
À la réception
| Vérification | Ce que vous devez constater |
|---|---|
| Emballage | Intact, conforme à la description de l’emballage par le fabricant |
| Contenu | Aucune phrase de récupération fournie ; uniquement des fiches de récupération vierges |
| Premier démarrage | L’appareil vous propose de le configurer comme neuf ou de restaurer – il n’est pas déjà configuré |
| Logiciel | Application compagnon téléchargée uniquement depuis le site officiel |
| Authenticité | L’attestation intégrée ou la vérification d’authenticité réussit |
Pendant la configuration
- Laissez l’appareil générer une nouvelle phrase de récupération et notez-la vous-même, hors ligne.
- Ne saisissez jamais votre phrase de récupération sur un ordinateur, un téléphone ou un site web.
- Mettez à jour le firmware uniquement via l’application officielle.
- Envoyez d’abord un petit montant de test, puis confirmez l’adresse de réception sur l’écran de l’appareil.
Notre guide pas à pas sur la configuration d’un portefeuille matériel couvre l’ensemble du processus, et comment choisir un portefeuille matériel explique ce qu’il faut regarder avant d’acheter.
Se protéger après l’achat
- Conservez votre phrase de récupération hors ligne, dans un endroit sûr – envisagez des sauvegardes de phrase de récupération en acier pour résister au feu et à l’eau.
- Considérez comme une arnaque tout message, e-mail ou courrier qui vous demande votre phrase de récupération. Les fabricants ne la demandent jamais.
- Gardez vos informations d’achat privées ; des données clients divulguées peuvent mener à du phishing ciblé et à des arnaques par courrier.
- Vérifiez chaque adresse sur l’écran de l’appareil avant d’approuver une transaction.
Que faire si vous soupçonnez un appareil compromis
- 1Arrêtez de déposer sur le portefeuille suspect.
- 2Procurez-vous un appareil authentique auprès d’une source officielle, ou utilisez temporairement un autre portefeuille de confiance.
- 3Créez une toute nouvelle phrase de récupération sur l’appareil de confiance.
- 4Transférez tous les fonds du portefeuille suspect vers le nouveau dès que possible.
- 5Contactez le fabricant en lui donnant les détails du vendeur et de l’appareil.
- 6Signalez le vendeur à la place de marché et, le cas échéant, à la police ou à votre organisme de protection des consommateurs. Vous pouvez aussi nous en informer via notre formulaire de signalement.
Si des fonds ont déjà été dérobés, suivez que faire immédiatement si votre portefeuille est compromis.
En résumé
Un portefeuille matériel n’est sûr que dans la mesure où sa chaîne d’approvisionnement l’est. Achetez auprès du fabricant ou d’un revendeur agréé, refusez tout appareil fourni avec une phrase de récupération ou arrivé sans avoir été demandé, lancez la vérification d’authenticité officielle et générez votre propre phrase hors ligne. Ces quelques habitudes éliminent presque tout le risque lié aux appareils contrefaits et trafiqués.
Questions fréquentes
Un portefeuille matériel peut-il être faux ?
Oui. Des appareils contrefaits imitant des marques connues ont été vendus sur des places de marché et par des vendeurs non officiels, et des appareils authentiques peuvent être trafiqués avant leur revente. Un appareil faux ou modifié peut divulguer votre phrase de récupération ou être livré avec une phrase déjà définie, ce qui permet au vendeur de voler les fonds plus tard.
Est-il sûr d’acheter un portefeuille matériel sur une place de marché ?
C’est beaucoup plus risqué que d’acheter directement auprès du fabricant ou d’un revendeur agréé figurant sur le site officiel du fabricant. Les annonces sur des places de marché tierces, les sites d’enchères et les ventes d’occasion rendent plus difficile de savoir si l’appareil a été ouvert, échangé ou modifié.
Que signifie le fait que mon nouveau portefeuille matériel soit arrivé avec une phrase de récupération ?
Cela signifie presque certainement que l’appareil est compromis. Les portefeuilles matériels légitimes génèrent une nouvelle phrase de récupération sur l’appareil pendant la configuration et ne sont jamais livrés avec une phrase imprimée sur une carte. Ne l’utilisez pas ; contactez le fabricant et achetez un remplaçant auprès d’une source officielle.
Comment vérifier que mon portefeuille matériel est authentique ?
Achetez auprès d’une source officielle, inspectez l’emballage, installez l’application compagnon uniquement depuis le site officiel du fabricant et lancez la vérification d’authenticité ou d’attestation que de nombreux fabricants intègrent à la configuration. Enfin, assurez-vous que l’appareil génère une nouvelle phrase de récupération que vous seul voyez.