Jour 7 en crypto : la checklist que les débutants oublient

Le jour 7 est le bon moment pour faire le point sur votre installation crypto

Après une semaine dans la crypto, la plupart des débutants ont déjà fait suffisamment de choses pour se mettre en danger. Ils ont peut-être acheté un peu de BTC ou d'ETH, ouvert un compte sur une plateforme, installé un portefeuille, regardé quelques vidéos et validé des conditions qu'ils n'ont pas vraiment comprises. C'est normal. Le problème, c'est que la crypto punit les petites erreurs opérationnelles bien plus durement que la plupart des applications financières.

Une erreur de virement bancaire, un e-mail piraté ou un mot de passe oublié peuvent souvent être remontés au service client. Une transaction en crypto ne le peut généralement pas. Si vous envoyez des fonds à la mauvaise adresse, si vous approuvez un contrat malveillant ou si vous exposez votre phrase de récupération, il n'y aura probablement aucun service client capable d'annuler l'opération.

Cette checklist n'est pas un guide des meilleurs tokens. C'est un audit de sécurité pour votre première semaine. Considérez cela comme un ami expérimenté qui regarde par-dessus votre épaule et vous demande si votre installation peut résister aux erreurs courantes des débutants : phishing, mots de passe faibles, phrases de récupération volées, faux sites de mint, vidages de hot wallet et attaques par empoisonnement d'adresse.

Si vous apprenez encore les bases, associez ce contenu à Qu'est-ce qu'un portefeuille crypto ?, Comment fonctionnent les transactions Bitcoin et Plateforme d'échange crypto contre portefeuille. L'objectif n'est pas de devenir expert au jour 7. L'objectif est d'arrêter de commettre des erreurs capables de vider votre compte avant même que vous ne compreniez le marché.

Le plus grand risque de la première semaine est de perdre l'accès, pas de manquer une opportunité

Les débutants s'inquiètent souvent d'avoir acheté trop tard, d'avoir choisi le mauvais token ou d'avoir raté un mouvement rapide sur BTC ou ETH. Ces aspects importent moins que les risques capables de réduire votre solde à zéro instantanément. Un e-mail compromis, une fausse extension de navigateur ou une seule signature malveillante peuvent effacer des mois d'épargne en quelques secondes.

La crypto a une longue histoire de pertes qui ne viennent pas de la volatilité normale des prix. Des personnes ont perdu des fonds après avoir stocké leur phrase de récupération dans des photos sur le cloud, saisi leurs mots de récupération dans de faux formulaires de support, approuvé des mint de NFT malveillants, téléchargé de fausses extensions de portefeuille, ou copié une adresse empoisonnée depuis leur historique de transactions. Il ne s'agit pas de cas rares. Ce sont des schémas d'escroquerie récurrents, parce qu'ils fonctionnent.

Le risque de marché reste bien réel. BTC et ETH peuvent chuter fortement, et les actifs plus petits peuvent baisser plus que ce qu'un débutant imagine. Mais les pertes de marché sont au moins visibles. Les pertes de sécurité sont souvent soudaines, déroutantes et irréversibles. Si votre installation est fragile, la qualité de votre thèse d'investissement ne change rien.

Votre état d'esprit pour la première semaine doit être simple : protégez le compte, protégez le portefeuille, protégez le moyen de récupération, et prenez votre temps avant de signer. Si vous ne retenez qu'une seule chose après cette lecture, assurez-vous que votre phrase de récupération est hors ligne, que votre identifiant de plateforme est unique, et que votre portefeuille n'approuve pas des contrats que vous ne comprenez pas.

Élément de la checklist numéro un : sécuriser la plateforme d’échange avant d’ajouter davantage d’argent

Votre compte sur une plateforme d’échange est la porte d’entrée de nombreux débutants. Il contient généralement vos coordonnées bancaires, vos informations d’identité, votre historique de trading et parfois vos cryptomonnaies. Il constitue donc une cible. Une configuration peu sécurisée de la plateforme peut vous exposer même si vous n’utilisez jamais la DeFi ou les NFT.

Commencez par adopter de bonnes pratiques concernant votre adresse e-mail et votre mot de passe. Idéalement, votre plateforme d’échange crypto devrait utiliser une adresse e-mail qui n’est pas publique, qui n’est pas réutilisée sur vos comptes sociaux et qui n’est pas facile à deviner. Le mot de passe doit être long, unique et conservé dans un gestionnaire de mots de passe réputé. Réutiliser un ancien mot de passe est dangereux, car les grandes fuites de données sont constamment échangées et exploitées par les attaquants.

Activez la 2FA sur la plateforme d’échange. La 2FA signifie authentification à deux facteurs, c’est-à-dire une vérification supplémentaire au-delà de votre mot de passe. Une application d’authentification ou une clé de sécurité matérielle est généralement plus sûre que les SMS, car les numéros de téléphone peuvent être détournés par le biais d’attaques de SIM swapping. Les SMS offrent une meilleure protection que rien du tout, mais ils ne devraient pas constituer votre solution de sécurité à long terme si des options plus robustes sont disponibles.

• Utilisez une adresse e-mail unique : cela réduit le risque qu’un identifiant personnel divulgué devienne un identifiant crypto.
• Utilisez un mot de passe unique : cela empêche le credential stuffing, une technique qui consiste pour les attaquants à tester des mots de passe volés sur de nombreux sites.
• Activez la 2FA : un mot de passe volé devient ainsi moins utile à lui seul.
• Vérifiez les paramètres de retrait : les listes blanches d’adresses, les délais de retrait et les e-mails d’alerte peuvent ralentir les attaquants.

Apprenez également à reconnaître les véritables e-mails de la plateforme, mais ne vous fiez pas uniquement à leur apparence. Les e-mails d’hameçonnage copient souvent les logos et utilisent un ton urgent. Au lieu de cliquer sur des liens de connexion reçus par e-mail ou sur les réseaux sociaux, saisissez vous-même l’adresse de la plateforme ou utilisez un favori enregistré par vos soins. Cette habitude peu spectaculaire évite de nombreuses pertes dues aux faux sites.

Élément de la checklist numéro deux : stocker votre phrase de récupération hors ligne et réfléchir à la restauration de l’accès

Une phrase de récupération est une liste de mots qui contrôle un portefeuille en self-custody. Toute personne qui possède ces mots peut généralement restaurer le portefeuille et déplacer les fonds. C’est pourquoi toute checklist sérieuse pour débutants inclut le stockage hors ligne de la phrase de récupération. Une phrase de récupération enregistrée dans une capture d’écran, un brouillon d’e-mail, une note dans le cloud, une file d’attente d’imprimante ou une application de messagerie n’est pas stockée de manière sûre.

Écrivez la phrase sur papier ou sur une sauvegarde hors ligne durable, puis conservez-la dans un endroit privé. Certaines personnes utilisent des sauvegardes métalliques résistantes au feu et à l’eau, surtout lorsque les soldes augmentent. La méthode de stockage exacte dépend de votre situation, mais le principe reste le même : hors ligne, cachée et récupérable par vous, ou par une personne de confiance selon un plan prévu si quelque chose vous arrive.

Ne saisissez pas votre phrase de récupération sur un site web, ne la communiquez pas au support et ne l’entrez pas dans une application quelconque parce que quelqu’un vous affirme que votre portefeuille doit être synchronisé. Le véritable support d’un portefeuille ne devrait jamais avoir besoin de vos mots de récupération. De nombreuses arnaques commencent par un faux assistant qui adopte un ton calme et technique tout en guidant un débutant vers la divulgation de l’intégralité de son portefeuille.

Réfléchissez également à la restauration de l’accès avant qu’une urgence ne survienne. Si votre téléphone tombe en panne, si votre ordinateur portable est volé ou si l’extension de votre portefeuille est supprimée, savez-vous où se trouve la sauvegarde ? Pouvez-vous la lire clairement ? Avez-vous écrit les mots dans le bon ordre ? Une phrase de récupération privée mais inutilisable peut être presque aussi problématique que l’absence totale de sauvegarde.

Élément de la checklist numéro trois : nettoyer les autorisations du portefeuille avant d’explorer la DeFi ou les NFT

Les autorisations de portefeuille sont des permissions que vous accordez à un smart contract, c’est-à-dire du code capable d’interagir avec des tokens sur une blockchain. Certaines autorisations sont normales. Par exemple, un DEX peut avoir besoin de la permission de déplacer le token que vous échangez. Le danger vient du fait que les débutants autorisent souvent davantage qu’ils ne le pensent, parfois sur de faux sites.

Révoquer les autorisations consiste à supprimer de votre portefeuille les permissions anciennes ou risquées. C’est important, car un contrat malveillant ou compromis peut être capable de déplacer ultérieurement les tokens autorisés, même après que vous avez quitté le site. Si vous avez testé un nouveau mint, réclamé un airdrop, connecté votre portefeuille à un jeu quelconque ou autorisé un token sur une application inconnue, vérifiez ces permissions.

Les faux sites de mint en sont un exemple courant. Une page frauduleuse peut promettre un NFT gratuit, un accès anticipé ou la possibilité de réclamer des tokens. La fenêtre contextuelle du portefeuille peut sembler habituelle, mais la signature ou l’autorisation peut donner à l’attaquant la permission de vider vos actifs. Les débutants se concentrent souvent sur le design du site et ignorent le message du portefeuille, alors que c’est lui qui compte réellement.

• Vérifiez régulièrement les autorisations : surtout après avoir essayé de nouvelles applications ou signé quoi que ce soit sous la pression du temps.
• Utilisez un portefeuille de test distinct : gardez vos avoirs principaux à l’écart des expérimentations, des mints, des jeux et des liens inconnus.
• Lisez les demandes du portefeuille : si un message indique une autorisation illimitée ou une autorisation pour tous les tokens, arrêtez-vous et vérifiez pourquoi.
• Révoquez ce que vous n’utilisez pas : les anciennes permissions constituent un risque inutile si vous n’utilisez plus l’application ou si vous ne lui faites plus confiance.

Révoquer les autorisations n’est pas un bouclier magique. Cela n’annule pas une transaction déjà effectuée et ne peut pas sauver un portefeuille après le vol de la phrase de récupération. Mais cela réduit l’exposition future liée aux permissions que vous avez oublié d’accorder. Pour un débutant, c’est une amélioration importante.

Élément de la checklist numéro quatre : éviter les drainers d’extensions de navigateur et l’empoisonnement d’adresses

Les drainers d’extensions de navigateur sont des outils ou des sites malveillants conçus pour vider un portefeuille après sa connexion ou la signature d’une transaction. Certains se font passer pour des extensions de portefeuille. D’autres sont de fausses versions de pages de mint populaires, de pages de réclamation de tokens ou de tableaux de bord de portefeuille. La page peut sembler soignée, mais la transaction qu’elle vous demande de signer peut être malveillante.

Installez les extensions de portefeuille uniquement depuis des sources officielles et méfiez-vous des annonces dans les résultats de recherche. Les attaquants achètent souvent des annonces qui apparaissent au-dessus des vrais résultats. Ajoutez les sites officiels à vos favoris après les avoir vérifiés, puis utilisez ces favoris au lieu d’effectuer une recherche à chaque fois. En cas de doute, consultez plusieurs sources avant d’installer quoi que ce soit qui interagira avec votre portefeuille.

L’empoisonnement d’adresses est une autre technique. Les attaquants envoient de petites transactions depuis des adresses qui ressemblent à une adresse que vous avez récemment utilisée. Leur objectif est de faire apparaître la fausse adresse dans l’historique de votre portefeuille afin que vous la copiiez par erreur plus tard. Comme les adresses blockchain sont de longues chaînes de caractères, les débutants ne vérifient souvent que les premiers et les derniers caractères. Cette habitude peut échouer si l’attaquant crée une adresse similaire.

Protégez-vous en utilisant des adresses enregistrées, des carnets d’adresses, l’écran d’un hardware wallet lorsque cette option est disponible et des transactions de test lorsque le montant est important. Avant d’envoyer des BTC, de l’ETH ou n’importe quel token, comparez l’adresse complète lorsque c’est possible, ou comparez au moins davantage que les premiers et les derniers caractères. Ne copiez jamais une destination depuis l’historique de vos transactions sans la vérifier à partir de la source originale.

À quoi devrait ressembler votre routine crypto de jour 7

Une bonne routine pour débutant n'est pas compliquée. C'est une courte pause avant les actions risquées. Avant de vous connecter, demandez-vous si vous avez atteint le site via un signet de confiance. Avant d'envoyer, vérifiez la destination. Avant de signer, lisez l'invite du portefeuille. Avant d'acheter davantage, demandez-vous si votre configuration de sécurité peut gérer un solde plus important.

Il est également utile de séparer les usages. Votre compte d'échange peut servir à acheter et vendre. Votre portefeuille principal peut être dédié à l'autogestion à long terme si vous en comprenez la responsabilité. Un petit portefeuille chaud peut être réservé aux expérimentations. Un portefeuille chaud est connecté à un appareil relié à Internet, ce qui le rend pratique mais plus exposé. Tout garder dans un seul portefeuille fait de chaque nouvelle application une décision à plus haut risque.

Effectuez un audit hebdomadaire simple. Vérifiez l'activité de connexion à l'échange, les paramètres de retrait, les autorisations du portefeuille, les extensions de navigateur et les transactions récentes. Supprimez les extensions que vous n'utilisez pas. Révoquez les autorisations dont vous n'avez plus besoin. Confirmez que la sauvegarde de votre phrase de récupération existe toujours et n'a pas été photographiée, copiée ou déplacée dans un stockage cloud.

Surtout, ralentissez face à l'urgence. Les arnaques adorent les comptes à rebours, les mint limitées, les liens privés, les faux chats de support et les messages qui affirment que votre portefeuille est en danger si vous n'agissez pas maintenant. Une vraie sécurité vous laisse généralement le temps de vérifier. Si une décision implique de l'argent et de la pression, supposez que la pression fait partie de l'attaque jusqu'à preuve du contraire.

Comment suivre intelligemment les risques crypto pour débutants

La sécurité crypto pour débutants évolue vite, tout comme les arnaques autour de BTC, ETH, des portefeuilles, des échanges et des nouvelles applications. Suivre manuellement chaque fausse mint, campagne d'empoisonnement d'adresse, alerte d'échange et gros titre sur un drainer de portefeuille est difficile. Zippfeed aide à faire remonter les titres crypto avec un sentiment bullish, neutral ou bearish et une note d'importance, pour que vous puissiez repérer les signaux de risque pertinents sans traiter chaque publication comme une urgence.