Ce que fait réellement un portefeuille matériel, et ce qu’il ne fait pas
Un portefeuille matériel est un petit ordinateur conçu à cette fin qui stocke les clés privées contrôlant vos cryptos. Il ne détient pas de coins. Les coins vivent sur une blockchain. L’appareil détient le secret cryptographique qui prouve que vous les possédez. Lorsque vous envoyez une transaction, le portefeuille la signe à l’intérieur de l’appareil, puis transmet un message signé au logiciel sur votre téléphone ou votre ordinateur portable, qui le diffuse sur le réseau.
Cette séparation est tout l’intérêt du système. Si votre ordinateur portable est infecté par un malware, l’attaquant ne voit que la transaction signée, pas la clé. Le problème est que cette protection n’est aussi robuste que la résistance de l’appareil aux manipulations, la confiance que vous accordez à son firmware et la rigueur avec laquelle vous sauvegardez la phrase de récupération.
Trois concepts reviennent constamment lors de la comparaison des appareils : la phrase de récupération, une liste de 12 ou 24 mots qui génère mathématiquement chaque clé de votre portefeuille, le secure element, une puce résistante aux manipulations conçue pour effacer ses secrets en cas de sonde physique, et l’air gap, qui consiste à garder l’appareil physiquement isolé de tout ordinateur connecté à Internet, souvent au moyen de QR codes plutôt que d’USB.
La couche de risque que la plupart des tests passent sous silence
Les pages marketing énumèrent les écrans, les boutons et les coins pris en charge. La comparaison honnête se situe ailleurs : chaque appareil refuse de faire quelque chose, et c’est ce refus qui vous protège. Ledger refuse d’exécuter un firmware tiers non audité. Trezor refuse de placer un secret dans un secure element que vous ne pouvez pas inspecter. Keystone refuse toute connexion filaire. Chacun de ces refus constitue aussi une contrainte et crée un mode de défaillance différent.
Les modes de défaillance à évaluer avant d’acheter :
- Interception dans la chaîne d’approvisionnement. Un appareil manipulé peut générer une phrase de récupération que l’attaquant connaît déjà. La plupart des acheteurs ne vérifient jamais si leur portefeuille a été manipulé. Un emballage inviolable n’aide que si vous l’inspectez réellement.
- Portes dérobées dans le firmware. Un firmware fermé est une boîte noire. Même les entreprises bien intentionnées ne peuvent pas corriger chaque bug si personne en dehors de l’entreprise ne peut auditer le code.
- Phishing du matériel de récupération. Des escrocs se faisant passer pour le support du portefeuille vous demanderont votre phrase de récupération. La phrase elle-même ne peut pas être récupérée par phishing depuis un portefeuille matériel, mais les utilisateurs sont régulièrement amenés à la saisir sur de faux sites de support.
- Contrainte physique. Une attaque à la clé à molette à 5 $ est une menace réelle. Les appareils dotés de phrases secrètes offrant un déni plausible, c’est-à-dire un second portefeuille caché derrière un faux mot, modifient légèrement ce calcul.
- Insolvabilité ou abandon du fournisseur. Si l’entreprise fait faillite, les mises à jour logicielles s’arrêtent et la prise en charge de l’appareil peut prendre du retard par rapport aux nouvelles chaînes. Un firmware open source constitue une assurance partielle.
Gardez cette liste en tête pendant la lecture des sections suivantes. Chaque appareil ci-dessous résout certains de ces problèmes et en hérite d’autres.
Ledger : matériel fermé, firmware fermé, Recover facultatif
Les appareils de Ledger reposent sur des puces à élément sécurisé de la même famille que celles utilisées dans les cartes bancaires et les passeports. La puce stocke la seed et signe les transactions, et elle est conçue pour s'effacer si quelqu'un tente de l'examiner physiquement. Ledger associe également la puce à un microcontrôleur polyvalent distinct exécutant un firmware propriétaire qui communique avec votre ordinateur ou votre téléphone.
Cette conception explique pourquoi Ledger est compact et s'intègre facilement à Ledger Live, MetaMask et à la plupart des interfaces DeFi. C'est aussi la raison pour laquelle l'entreprise fait l'objet de critiques persistantes de la part de la communauté open source, car elle n'a jamais publié le code source du firmware sous une licence permissive, seulement certaines parties du code de l'élément sécurisé via un programme de primes aux vulnérabilités.
Le principal tournant en matière de confiance est arrivé en 2023 avec Ledger Recover. Recover est un service d'abonnement facultatif qui répartit une sauvegarde chiffrée de votre seed, liée à votre identité, entre des dépositaires tiers. Pour la restaurer, l'utilisateur vérifie son identité au moyen d'un passeport ou d'une pièce d'identité nationale, ce qui signifie que les fragments de seed sont liés à une identité humaine vérifiée plutôt qu'uniquement à une phrase secrète. Pour les utilisateurs qui craignent de perdre leur propre phrase de seed, c'est véritablement utile. Pour ceux qui estiment qu'une phrase de seed ne devrait jamais quitter un appareil matériel pour des raisons purement cryptographiques, c'est rédhibitoire, car cela prouve que le firmware de l'appareil peut exporter le matériel de seed dans certaines conditions.
Ce que Ledger refuse de faire : il refuse d'exécuter un firmware non signé, refuse les chargeurs de firmware tiers et refuse de fonctionner sans son application compagnon. Ce qu'il demande en retour : de faire confiance à Ledger en tant qu'entreprise, de faire confiance à son firmware sous forme binaire, et de croire que ni Ledger, ni un sous-traitant, ni une future chaîne d'assignations judiciaires ne vous contraindra à une récupération avec identité vérifiée.
Concernant la chaîne d'approvisionnement, Ledger expédie des emballages inviolables et vérifie l'authenticité de l'appareil lors de la première connexion. Concernant la lignée matérielle, plusieurs sociétés indépendantes de sécurité ont audité les défenses certifiées de l'élément sécurisé, mais le firmware de la couche applicative reste opaque au public.
Trezor : firmware open source, silicium exposé
La philosophie matérielle de Trezor est essentiellement l'opposé de celle de Ledger. Le firmware est entièrement open source sous une licence permissive, et le matériel sensible réside sur un microcontrôleur polyvalent plutôt que dans un élément sécurisé dédié. Cette ouverture explique pourquoi les développeurs, chercheurs et cypherpunks se sont historiquement tournés vers Trezor, et aussi pourquoi ces appareils ont été démontés et examinés publiquement plus que tous les autres.
Les Trezor Model One et Model T utilisent des microcontrôleurs, et non des éléments sécurisés. Cela les expose à des attaques physiques spécifiques : le voltage glitching, qui consiste à sous-alimenter brièvement la puce pour la placer dans un état défaillant, l'analyse par canaux auxiliaires, qui lit les minuscules fluctuations de consommation électrique ou d'émissions électromagnétiques pendant que la puce signe, et le décapsulage, qui consiste à dissoudre chimiquement le boîtier de la puce pour lire la mémoire. Après une démonstration de Kraken Security Labs en 2020 montrant qu'une installation de glitching à 5 $ pouvait extraire des seeds d'un Trezor en environ 15 minutes, Trezor a déployé un correctif qui maintient la seed chiffrée jusqu'à son utilisation, mais le choix sous-jacent du silicium implique toujours que le risque d'accès physique est sensiblement plus élevé que sur un appareil doté d'un élément sécurisé.
Ce que Trezor refuse de faire : il refuse de cacher son firmware, refuse les voies de signature propriétaires et refuse d'enfermer les utilisateurs dans une application de fournisseur. Ce qu'il demande en retour : que vous assuriez vous-même la sécurité physique, que vous mainteniez le firmware à jour et que vous considériez la phrase de seed comme le point de défaillance unique.
Concernant la chaîne d'approvisionnement, des utilisateurs de Trezor ont signalé par le passé des appareils altérés avec un firmware modifié. L'entreprise atténue aujourd'hui ce risque avec des hologrammes inviolables et un chargeur de démarrage qui vérifie les signatures à chaque mise à jour du firmware. La solution : achetez toujours directement auprès du fabricant et vérifiez l'hologramme avant la première utilisation.
En contrepartie, le firmware ouvert de Trezor permet aux chercheurs indépendants de publier leurs conclusions, et à l'entreprise de déployer un correctif en quelques semaines plutôt que d'attendre un processus de certification fermé. Pour un utilisateur techniquement averti qui privilégie l'auditabilité à la résistance à l'altération, il s'agit d'une fonctionnalité importante.
Keystone : firmware ouvert sur un élément sécurisé, isolé par conception
Keystone est la troisième grande marque à connaître. À l'origine, il s'agissait d'un fork du projet Cobo Vault et il exécute un firmware entièrement open source sur une puce à élément sécurisé, ce qui constitue une voie médiane pertinente : le matériel est résistant aux altérations comme celui de Ledger, tandis que le logiciel est auditable comme celui de Trezor. Le choix de conception déterminant est que Keystone est isolé. Aucune ligne de données USB ne le relie à un ordinateur pour les transactions. La signature s'effectue entièrement au moyen de codes QR.
Le processus introduit délibérément de la friction. Vous créez une transaction dans un logiciel de portefeuille, Keystone s'intègre à MetaMask, Sparrow, BlueWallet et d'autres, Keystone scanne la transaction partiellement signée sous forme de code QR, vous vérifiez la destination et le montant sur l'écran de Keystone, vous la signez hors ligne, puis affichez la transaction signée sous forme de code QR pour que le logiciel de portefeuille la diffuse. Rien ne transite par un câble USB pendant la signature, de sorte qu'un ordinateur compromis ne peut pas intercepter ou modifier ce qui arrive à l'écran.
C'est le modèle de signature le plus résistant aux virus parmi les trois. Le compromis est opérationnel : chaque transaction implique au minimum un cycle de scan et d'affichage, et les utilisateurs qui interagissent fréquemment avec la DeFi ou effectuent beaucoup de petits envois ressentiront cette friction. Les utilisateurs avancés qui considèrent les portefeuilles matériels comme un stockage à froid pour des soldes plus importants et associent le Keystone à un hot wallet pour leurs activités quotidiennes y trouvent généralement leur compte.
Ce que Keystone refuse de faire : il refuse toute connectivité filaire, refuse les firmwares fermés et refuse de déléguer la confiance à un service de signature d'un fournisseur. Ce qu'il demande en retour : que vous tolériez un flux de transactions plus lent et que vous fassiez confiance à l'appairage basé sur QR avec le portefeuille compagnon que vous utilisez.
Ce que chaque appareil refuse de faire, résumé côte à côte
Une grille de lecture utile pour ledger vs trezor vs keystone consiste à inverser la liste habituelle des fonctionnalités et à se demander ce que l'appareil refuse de faire, car c'est ce refus qui vous protège dans des conditions adverses.
Ledger refuse les firmwares tiers et la signature isolée, et protège contre la plupart des attaques physiques grâce à un élément sécurisé certifié. Il se fait confiance en tant qu'entreprise, ce qui signifie qu'il vous fait aussi confiance pour lire attentivement les invites de mise à jour du firmware et pour renoncer aux services tels que Recover qui modifient le modèle de menace de l'appareil.
Trezor refuse les firmwares fermés et l'enfermement chez un fournisseur, et protège contre la plupart des attaques logicielles grâce à un code entièrement ouvert. Il ne protège pas contre les attaques physiques peu coûteuses, et vous fait donc confiance pour conserver l'appareil en sécurité physique et vérifier l'emballage à la réception.
Keystone refuse la connectivité filaire et les firmwares fermés, et protège à la fois contre les malwares distants et contre la plupart des attaques physiques. Il vous fait confiance pour utiliser un logiciel de portefeuille compagnon qui ne ment pas sur la transaction en cours de signature, et pour accepter le flux de travail uniquement par QR.
Aucun de ces éléments ne départage à lui seul les appareils. Le bon choix est celui dont le mode de défaillance vous convient le mieux, car chaque portefeuille matériel en hérite d'au moins un que vous ne pouvez pas éliminer par ingénierie.
Conséquences pratiques avant de dépenser le moindre dollar
Avant de vous engager, passez en revue quatre vérifications qui s'appliquent aux trois marques.
Achetez directement. Les contrefaçons ne sont pas hypothétiques. Elles existent sur les places de marché et même sur les sites de vente aux enchères. Commandez sur la boutique officielle du fabricant et évitez les revendeurs tiers dont vous ne pouvez pas auditer la chaîne d'approvisionnement.
Vérifiez l'appareil à sa réception. Contrôlez les scellés inviolables, assurez-vous que l'appareil génère une seed phrase lors de la première mise sous tension (un appareil compromis vous fournira parfois une phrase pré-générée), et mettez immédiatement à jour le firmware avant d'approvisionner le wallet.
Décidez où conserver la seed phrase. Écrivez la seed phrase sur papier ou gravez-la dans du métal, conservez-la dans un lieu où l'appareil n'est pas lui aussi stocké, et ne la saisissez jamais sur un téléphone, un ordinateur ou un site web. Quel que soit l'appareil choisi, cette étape compte davantage que le modèle.
Adaptez l'appareil au cas d'usage. Les utilisateurs actifs de DeFi qui ont besoin d'une intégration fluide avec les wallets de navigateur peuvent préférer un Ledger, malgré les réserves liées à la confiance. Les détenteurs à long terme qui stockent une valeur importante bénéficient le plus du modèle à air gap de Keystone. Les développeurs, les bricoleurs et les utilisateurs très attachés à l'auditabilité se tourneront vers Trezor.
Comment suivre intelligemment l'actualité des wallets et de la sécurité
Les risques liés aux hardware wallets évoluent rapidement : de nouvelles vulnérabilités de firmware sont divulguées, des incidents dans la chaîne d'approvisionnement apparaissent, et les changements de fonctionnalités (services de type Recover, nouvelles puces secure element, nouveaux chargeurs de firmware) modifient l'évaluation de la confiance. Suivre manuellement le débat ledger vs trezor vs keystone implique de surveiller les fils X, les avis GitHub, les journaux des modifications des fournisseurs et les rapports d'incidents d'au moins trois entreprises. Zippfeed rassemble les titres sous-jacents sur les wallets et la sécurité dans un seul flux avec une évaluation du sentiment (bullish, neutral ou bearish) et un niveau d'importance, afin que vous puissiez voir quelles divulgations ne sont que du bruit et lesquelles exigent de véritables changements dans votre configuration.
