Pourquoi le choix de votre outil de suivi est avant tout une décision de sécurité
Si vous détenez des actifs sur deux ou trois blockchains, plus quelques comptes sur des plateformes d'échange centralisées, un outil de suivi de portefeuille ressemble à une amélioration du confort d'utilisation. Connectez vos portefeuilles, connectez vos clés API en lecture seule de vos exchanges, et soudainement vous disposez d'un tableau de bord unique affichant la valeur nette totale, la répartition et la performance. La plupart des sites de comparatifs traitent cela comme une comparaison de graphiques, d'alertes et d'exports fiscaux. Cette façon de voir passe à côté de l'essentiel.
Un outil de suivi de portefeuille est un tiers qui, par définition, obtient une visibilité sur les adresses et les comptes qui comptent le plus pour vous. Les vols, les campagnes de phishing et les logiciels malveillants de type drainer observés ces dernières années ont montré à plusieurs reprises que le maillon faible dans la crypto est rarement la blockchain elle-même. Ce sont les services hors chaîne auxquels les gens accordent leur confiance avec un accès en lecture, une capacité de signature, ou pire, la garde des fonds. Un outil qui demande plus que ce dont il a besoin peut devenir un point de défaillance unique pour l'ensemble de votre position.
C'est pourquoi la manière la plus utile d'évaluer un outil de suivi est de le faire comme une revue de sécurité déguisée en comparaison de fonctionnalités. Chaque case que vous cochez, y compris les alertes, le suivi des positions DeFi et les rapports fiscaux, élargit aussi ce que le fournisseur peut voir et ce qui se passe si le fournisseur est compromis. Traitez le reste de cet article comme une liste de vérification, mais traitez les questions de sécurité comme non négociables.
Accès en lecture seule contre les autorisations qui vident les portefeuilles en silence
La distinction la plus importante dans ce domaine est celle entre un véritable accès en lecture seule et les nombreuses variantes de connexion à un portefeuille qui semblent en lecture seule mais ne le sont pas. Une connexion légitime en lecture seule fonctionne de l'une des deux manières suivantes. Pour un portefeuille en autocustody, l'outil de suivi surveille soit l'adresse publique que vous collez, soit utilise une signature de portefeuille qui prouve que vous contrôlez l'adresse sans accorder aucune autorité on-chain. Pour un compte sur une plateforme d'échange, vous créez une clé API avec des permissions de lecture uniquement, sans trading, sans retrait.
Tout ce qui va au-delà est un signal d'alarme. Plus précisément, surveillez trois schémas.
- Demandes de phrase de récupération ou de clé privée. Aucun outil de suivi légitime n'en a besoin. Si un outil vous les demande, fermez l'onglet. Les outils qui exigent des phrases de récupération sont presque toujours des arnaques ou, au mieux, des portefeuilles de garde déguisés en outils de suivi.
- Invites de connexion avec le portefeuille incluant des approbations de tokens. La connexion via portefeuille (souvent appelée Sign in with Ethereum ou équivalent) produit généralement une signature qui prouve la propriété de l'adresse et ne fait rien d'autre. Une version malveillante regroupera une approbation ERC-20 ou un appel setApprovalForAll dans le même flux, accordant à la dApp la permission de déplacer certains tokens ou NFT. Lisez la demande de signature ligne par ligne avant de signer.
- Clés API de plateforme d'échange avec les retraits activés. Même sur des plateformes légitimes, lors de la création d'une clé API, vous voyez généralement des options pour lecture, trading et retrait. Le seul réglage correct pour un outil de suivi est lecture. Les retraits doivent être désactivés, et idéalement la clé doit être restreinte par IP aux serveurs de l'outil de suivi si la plateforme le permet.
Les outils de suivi réputés indiquent explicitement dans leur documentation la nature en lecture seule de la connexion. Si vous ne trouvez pas d'indication claire de ce que la connexion peut ou ne peut pas faire, c'est en soi un signal. La confiance se gagne autant par la documentation que par le code.
Comment les trackers évaluent vos actifs, et pourquoi deux trackers peuvent diverger de 10 %
Une fois qu'un tracker dispose de vos soldes, il doit les convertir en un chiffre que vous reconnaissiez. Il existe trois approches courantes, et chacune comporte des modes de défaillance que vous devriez connaître.
Tarification via API de CEX. Le tracker récupère les prix sur les grandes plateformes centralisées comme Coinbase ou Binance. La méthode est simple et généralement précise pour les principaux tokens comme BTC et ETH, mais elle hérite des particularités de la plateforme : carnets d'ordres peu profonds, restrictions régionales, et parfois un token retiré puis relisté. Un tracker qui s'appuie sur un seul CEX pour la tarification affichera occasionnellement des valeurs obsolètes ou déformées pour les actifs moins liquides.
Tarification on-chain. Certains trackers lisent les prix directement depuis des sources on-chain comme les pools Uniswap ou des flux oracle comme Chainlink. L'approche est séduisante car elle ne dépend pas d'une plateforme centralisée, mais les pools DeFi peuvent être manipulés ou faiblement échangés, en particulier lors des lancements de nouveaux tokens. Un token dont le prix provient d'un pool à faible liquidité peut bouger de 20 % sur un seul swap, ce qui apparaîtra ensuite comme un gain ou une perte fantôme dans votre portefeuille.
Saisie manuelle. Les meilleurs trackers vous permettent de marquer un token comme illiquide, de fixer un prix personnalisé, ou de l'exclure entièrement des totaux. Il ne s'agit pas d'une fonctionnalité cosmétique. Si vous détenez des tokens à la liquidité défaillante ou en vesting bloqué, la tarification automatique vous induira régulièrement en erreur. La saisie manuelle fait la différence entre un chiffre de portefeuille défendable et un autre qui ne l'est pas.
Deux trackers affichant une valeur nette différente pour le même portefeuille n'est pas un bug. C'est le résultat prévisible de sources de prix différentes, d'intervalles de rafraîchissement différents, et de règles différentes pour traiter les actifs non chiffrés. La bonne question n'est pas de savoir quel chiffre est correct, mais quelle méthode correspond à votre façon réelle de penser vos positions.
Export des données, enfermement propriétaire, et ce qui se passe si le tracker ferme
Chaque entreprise SaaS finit par connaître un mauvais trimestre. Les outils de suivi, surtout gratuits, sont particulièrement vulnérables car l'économie unitaire consistant à tirer des données on-chain à travers des dizaines de chaînes n'est pas tendre. Lorsqu'un tracker ferme ou change de cap, vos données ne devraient pas disparaître avec lui.
Avant de connecter quoi que ce soit, vérifiez les options d'export proposées par le tracker. La référence absolue est CSV plus une API documentée. CSV est universel, fonctionne avec des tableurs, et est facile à migrer vers un autre outil. L'accès API est plus puissant mais n'a vraiment d'intérêt que si vous prévoyez de construire vos propres tableaux de bord.
Le spectre réaliste ressemble à ceci.
- Export CSV et API complets. Des outils comme Rotki et Koinly sont solides ici. Rotki, en particulier, stocke tout par défaut dans une base de données SQLite locale, vous avez donc toujours votre propre copie.
- CSV uniquement, parfois partiel. Courant chez les trackers de milieu de gamme. Acceptable, mais vérifiez que le CSV inclut la base de coût, l'historique des transactions et les valorisations historiques, et pas seulement les soldes actuels.
- Aucun export, ou export derrière une offre payante. Un signal d'alerte clair. Si les données ne sont utilisables qu'à l'intérieur du produit, le produit prend en otage votre historique financier.
L'enfermement propriétaire est un risque silencieux. Si un tracker est votre seule source de performance historique et de registres fiscaux, les coûts de changement deviennent douloureux même si le service se dégrade. Considérer la qualité de l'export comme un critère du top 3, aux côtés des permissions et du prix, est la démarche ennuyeuse mais correcte.
La violation de CoinStats en 2023, et ce qu'elle enseigne à chaque utilisateur de tracker
En juin 2023, CoinStats, l'un des trackers de portefeuille les plus utilisés, a divulgué un incident de sécurité qui s'est avéré être l'une des violations les plus graves jamais enregistrées pour un tracker. Les attaquants ont compromis le compte d'un employé de CoinStats, puis utilisé cet accès pour pousser une version malveillante de l'application capable d'exfiltrer les données de portefeuille d'environ 1,5 million d'utilisateurs. Environ 1 600 wallets ont été vidés lors de l'attaque qui a suivi, avec des pertes rapportées en millions de dollars.
L'incident mérite qu'on s'y attarde car il illustre plusieurs leçons valables quel que soit le tracker que vous utilisez.
- La confiance se situe au niveau de l'application. Une architecture en lecture seule n'a pas sauvé les utilisateurs affectés car la violation s'est produite en amont, dans la chaîne de build du fournisseur lui-même. Signer un message dans une version malveillante du client est fonctionnellement identique à signer un message sur un site de phishing.
- Les hot wallets exposés à un tracker représentent une zone d'impact plus large que les cold wallets. Les utilisateurs dont la perte s'est limitée à un hardware wallet ou à des fonds sur une plateforme centralisée ont connu une issue très différente de ceux qui avaient connecté un hot wallet utilisé pour du trading actif.
- La concentration est un risque. De nombreux utilisateurs avaient connecté chaque wallet et chaque compte de plateforme à un seul tracker par commodité. La violation a transformé un compromis de compte unique en un événement touchant l'ensemble du portefeuille.
CoinStats a réagi, amélioré sa posture de sécurité et continue d'opérer. L'objectif n'est pas de pointer du doigt un fournisseur en particulier. L'idée est que n'importe quel tracker, y compris les plus réputés, peut devenir le vecteur d'un compromis que vous n'avez pas directement autorisé. La posture défensive consiste à limiter ce qu'un seul tracker peut voir, à segmenter les soldes hot et cold, et à considérer que tout outil tiers auquel vous vous connectez sera un jour compromis.
Comparaison côte à côte : Zerion, DeBank, CoinStats, Rotki et Koinly
Aucun des outils ci-dessous n'est universellement le meilleur. Chacun repose sur un compromis différent, et la taille de votre portefeuille, votre tolérance à l'auto-hébergement du logiciel, et votre situation fiscale doivent guider le choix.
Zerion. Une combinaison portefeuille et suivi avec une forte couverture DeFi sur les chaînes EVM et Solana. Connexion via signature de wallet, aucune seed phrase requise. La tarification s'appuie sur des sources on-chain, elle est donc généralement précise pour les tokens liquides, mais peut dériver sur les actifs de longue traîne. L'export est disponible mais plus léger que celui des outils fiscaux dédiés. Idéal pour les utilisateurs qui vivent principalement dans la DeFi et veulent une interface unique pour swapper, bridger et suivre.
DeBank. Une surface similaire à Zerion, avec une vue particulièrement claire des avoirs multi-chaînes et des fonctionnalités sociales. Les permissions sont en lecture seule via signature de wallet. Les sources de tarification sont similaires. DeBank convient bien aux utilisateurs détenant des positions sur de nombreuses chaînes et protocoles plus petits, là où sa couverture tend à être plus large que les alternatives.
CoinStats. Un tracker généraliste avec un large support de CEX et une application mobile soignée. Connexion via signature de wallet ou API read-only d'une plateforme. C'est celui qui a l'historique de violation le plus chargé sur cette liste (voir plus haut), les utilisateurs disposant de soldes significatifs devraient donc peser soigneusement cet historique face au confort d'utilisation.
Rotki. L'option auto-hébergée. Rotki tourne localement sur votre machine, tire les données depuis des nœuds blockchain publics et les API que vous configurez, et stocke tout dans une base de données locale. Aucun tiers ne voit jamais vos adresses, sauf si vous choisissez de les partager. Le compromis, c'est que vous l'administrez vous-même, les synchronisations prennent plus de temps, et la configuration initiale est plus lourde. Pour les utilisateurs détenant plus que ce qu'ils confieraient à n'importe quel tracker SaaS gratuit, Rotki est la réponse sérieuse.
Koinly. Fiscalité d'abord. Koinly est optimisé pour générer des rapports de plus-values dans des dizaines de juridictions, avec une large intégration d'exchanges et de chaînes, et un solide import CSV pour les utilisateurs qui ne veulent pas accorder d'accès API. C'est moins un tableau de bord quotidien, davantage un cheval de trait de fin d'année.
Liste de contrôle pratique avant de connecter un outil de suivi
Utilisez-la comme un bref test préalable et sans détour avant de coller une adresse ou de générer une clé API où que ce soit.
- Vérifiez que la connexion est réellement en lecture seule. La connexion au portefeuille doit se limiter à une signature, sans approbations de jetons groupées. Les clés API d exchange doivent avoir les retraits désactivés et, idéalement, être restreintes à une adresse IP.
- Examinez le modèle de tarification. Comprenez si les prix proviennent des carnets d ordre de CEX, des pools on-chain, ou des deux. Décidez si vous avez besoin d un ajustement manuel pour les jetons peu liquides.
- Testez l export avant de vous engager. Générez un petit export, ouvrez-le et confirmez qu il contient la base de coût, l historique des transactions et les valorisations passées. N attendez pas la fin de l année pour découvrir que l export est bloqué derrière une offre payante.
- Examinez l historique des incidents du fournisseur. Un bilan sans faille ne garantit pas une sécurité future, mais une violation connue envoie un signal réel sur la manière dont le fournisseur gère la sécurité.
- Segmentez votre exposition. Connectez un portefeuille chaud pour le trading, mais envisagez de laisser votre portefeuille matériel principal ou vos avoirs à long terme hors de tout outil de suivi. Si l outil est compromis, vous voulez que la zone d impact reste limitée.
- Révoquez régulièrement les accès inutilisés. Les clés API d exchange, les signatures de portefeuille et les approbations de jetons doivent être examinées et nettoyées selon un calendrier, idéalement une fois par trimestre.
Suivre cette liste ne rendra aucun outil de suivi parfaitement sûr. Rien de connecté à Internet ne l est. Elle vous donnera toutefois un cadre structuré pour choisir un outil adapté au volume de vos avoirs et aux pertes que vous subiriez en cas de scénario du pire.
Anticipez les risques liés aux outils de suivi de portefeuille grâce à des signaux de marché plus précis
Les incidents de sécurité dans la couche de suivi vont vite, tout comme les exploits qui en découlent. Un nouveau wallet drainer, une violation chez un fournisseur d outils de suivi, ou un changement dans la gestion des autorisations par un outil populaire peuvent affecter vos avoirs du jour au lendemain. Suivre ces signaux manuellement à travers X, Discord, GitHub et une douzaine de médias crypto est une bataille perdue d avance. Zippfeed met en avant les titres liés aux outils de suivi de portefeuille et l actualité crypto en matière de sécurité, avec une notation de sentiment (bullish, neutral ou bearish) et un score d importance, afin que vous puissiez réagir aux véritables menaces avant qu elles n atteignent vos portefeuilles.
