Pourquoi la plupart des migrations depuis MetaMask tournent mal
Parcourez n’importe quel canal d’assistance de wallet et vous retrouverez toujours la même histoire. Un utilisateur décide que MetaMask est trop lourd, ou veut une extension de navigateur compatible avec une nouvelle chain, ou cherche une application mobile plus fluide. Il installe le nouveau wallet, voit un écran accueillant lui demander sa phrase secrète de récupération, saisit les douze mots de MetaMask, puis confirme. À partir de cette seconde, deux applications sur deux appareils contrôlent le même argent. La phrase de récupération vit désormais dans l’environnement antivirus, le bac à sable du navigateur et le système d’exploitation du nouvel appareil. Si cet appareil est moins sûr, tout le wallet l’est aussi.
La raison pour laquelle les gens font cela est intuitive, mais fausse. Ils supposent qu’une phrase de récupération est un mot de passe, et que la copier revient à copier un identifiant de connexion. Un mot de passe peut être modifié. Une phrase de récupération ne le peut pas. Quiconque détient ces douze ou vingt-quatre mots peut signer des transactions et vider tous les comptes qui en sont dérivés, sur toutes les chains, pour toujours. Considérez la phrase de récupération moins comme un mot de passe que comme l’acte de propriété de votre maison : vous ne photocopieriez pas l’acte pour le donner à un inconnu simplement parce qu’il possède un plus beau classeur.
Il existe aussi un mode d’échec plus discret. Même si vous n’êtes jamais victime de phishing, chaque copie supplémentaire d’une phrase de récupération est un endroit de plus qu’un futur attaquant peut compromettre. Un ordinateur portable vendu sur eBay des années plus tard. Une sauvegarde cloud d’un ancien téléphone. Une capture d’écran synchronisée avec un compte photo. Ce ne sont pas des hypothèses ; ce sont les points d’entrée les plus courants dans les cas de vols de wallets rendus publics. La première règle de toute migration n’est donc pas « comment copier proprement ma seed », mais « comment éviter de la copier tout court ».
Ce qui peut réellement mal se passer pendant un changement
Avant de suivre la méthode sûre, il est utile de faire l’inventaire des modes d’échec afin de les reconnaître sur le terrain.
Risque de réutilisation de la phrase de récupération. C’est le risque principal. Saisir votre phrase de récupération MetaMask dans un autre wallet, une application web ou une extension de navigateur double les endroits où elle peut fuiter. Les malwares de presse-papiers, les extensions de navigateur avec des autorisations cachées et les fausses interfaces de wallet récoltent toutes les phrases qui y sont saisies.
Logiciel de wallet malveillant. Des sites clones qui ressemblent à Rabby, Phantom, Frame ou Zerion distribuent de faux installateurs qui ont l’apparence et le comportement des vrais. La première fois que vous importez votre seed, votre adresse apparaît avec le bon solde. La fois suivante où vous signez une transaction, le wallet réécrit la destination vers l’adresse d’un attaquant. La seed a déjà été exfiltrée lors de l’importation.
Maintien des autorisations. Les autorisations de tokens sont enregistrées on chain, associées à votre adresse. Elles ne sont pas stockées dans votre wallet, donc changer de wallet ne les efface pas. Un contrat que vous avez autorisé il y a deux ans à dépenser un montant illimité d’USDC peut toujours le faire, même si vous signez désormais depuis un nouvel appareil. Le jour de la migration est le bon moment pour les nettoyer.
Empoisonnement d’adresse. Lorsqu’un mouvement important et visible de fonds arrive dans la mempool ou sur la chain, des bots surveillent les adresses d’origine et de destination. Ils envoient une minuscule transaction de poussière depuis une adresse qui partage les premiers et les derniers caractères avec l’un de vos véritables interlocuteurs. La prochaine fois que vous copiez une adresse depuis votre historique, vous pourriez copier celle de l’attaquant. Ce risque augmente fortement juste après une migration, car un transfert on chain d’un ancien hot wallet vers une nouvelle adresse est exactement le type d’événement que les bots recherchent.
Confusion autour du gas et des chains. Les utilisateurs qui migrent vers un nouveau wallet se rendent souvent compte au milieu du transfert qu’ils ont des soldes sur des chains que leur nouveau wallet n’affiche pas par défaut. Des fonds sur Polygon, Arbitrum, Base ou BNB Chain peuvent rester invisibles pendant des mois. Une checklist de migration doit toujours inclure un balayage de chaque chain que votre ancien wallet a déjà utilisée.
ENS, services de nommage et perte de la liste de contacts. Les noms ENS (Ethereum Name Service) se résolvent en adresses quel que soit le wallet que vous utilisez, donc votre identité vous suit. Mais les carnets d’adresses locaux, les contacts enregistrés et les adresses en lecture seule vivent dans l’application de wallet. Ils ne sont pas transférés automatiquement. Prévoyez de les reconstruire.
Le parcours d’appairage d’un portefeuille matériel, étape par étape
La migration sûre n’est pas vraiment une migration. C’est une continuation. Vous gardez MetaMask (ou le portefeuille auquel vous faites confiance), vous l’appairez avec un appareil matériel, et vous transférez l’activité qui vous importe sur cet appareil. Votre phrase de récupération reste scellée dans le matériel, là où elle a été générée, et n’est jamais saisie dans un autre logiciel. C’est le seul processus qui n’augmente pas votre surface d’attaque.
Étape 1. Achetez un portefeuille matériel directement auprès du fabricant. Ledger et Trezor sont les options établies. Achetez dans la boutique officielle, pas auprès d’un revendeur sur une marketplace. Des portefeuilles matériels altérés, préchargés avec une phrase de récupération connue, ont été documentés sur Amazon et eBay. La boîte doit arriver scellée, avec une bande témoin d’inviolabilité. Si quoi que ce soit semble avoir été manipulé, retournez-la. Ce n’est pas de la paranoïa, c’est le modèle de menace documenté.
Étape 2. Initialisez l’appareil comme un nouveau portefeuille. Lorsque l’appareil s’allume pour la première fois, il génère une nouvelle phrase de récupération. Notez-la sur du papier, ou gravez-la dans du métal si vous comptez conserver une valeur importante. Ne la photographiez jamais, ne la saisissez jamais dans un téléphone, ne la stockez jamais dans un gestionnaire de mots de passe synchronisé avec le cloud. L’appareil lui-même ne révèle jamais la phrase de récupération à l’ordinateur hôte ; il signe les transactions dans sa propre puce et ne renvoie que la signature.
Étape 3. Appairez le portefeuille matériel avec MetaMask. Dans MetaMask, choisissez Connect Hardware Wallet, sélectionnez Ledger ou Trezor, puis suivez les instructions. MetaMask affichera une liste d’adresses dérivées de la phrase de récupération du matériel. Choisissez-en une (la première convient) et ajoutez-la. Vous disposez maintenant d’un compte MetaMask dont la clé privée réside entièrement sur l’appareil matériel. Du point de vue de MetaMask, c’est simplement un autre compte, mais le chemin de signature est lié au matériel.
Étape 4. Transférez les fonds vers le nouveau compte adossé au matériel. Envoyez d’abord une petite transaction de test. Envoyez ensuite le reste. Utilisez la nouvelle adresse adossée au matériel comme destination. Vous pouvez conserver de petits soldes de fonctionnement sur le hot wallet MetaMask d’origine si vous voulez une séparation hot/cold, mais l’essentiel de vos actifs devrait désormais se trouver derrière l’appareil matériel.
Étape 5. Vérifiez les adresses sur l’écran du matériel. Chaque adresse de réception doit être confirmée sur l’écran propre de l’appareil, pas seulement sur l’écran de l’ordinateur. Cela neutralise les logiciels malveillants de substitution d’adresse qui réécrivent le presse-papiers. Considérez toute adresse que vous ne pouvez pas vérifier sur l’écran du matériel comme non fiable.
Étape 6. Videz ou stockez à froid le MetaMask d’origine. Une fois que le solde du MetaMask d’origine est nul ou presque, vous avez deux choix. Le laisser vide, avec une petite quantité de ETH pour le gas futur, ou le déplacer vers un second portefeuille matériel pour une véritable séparation. Ne supprimez pas l’extension MetaMask pour la réinstaller plus tard avec la même phrase de récupération, car cela réintroduit la phrase de récupération d’origine dans un nouvel environnement logiciel et l’expose à nouveau.
Révoquer les anciennes autorisations sur votre ancienne adresse
Changer de portefeuille ne révoque pas les permissions que vous avez accordées aux smart contracts au fil des années. Si vous avez déjà autorisé un routeur de DEX (decentralized exchange) à dépenser vos USDC, une marketplace NFT à déplacer vos tokens ERC-721, ou un contrat de staking à prélever depuis votre portefeuille, ces allowances restent valides tant que le contrat n’a pas reçu d’instruction contraire. Elles sont stockées on chain, associées à votre adresse, et survivent à chaque changement de portefeuille. Une migration est le moment idéal pour les nettoyer, car vous êtes déjà dans un état d’esprit prudent.
Trouvez chaque autorisation. Des outils comme la page Token Approvals d’Etherscan, revoke.cash ou approved.zone lisent la chaîne et listent chaque contrat disposant d’une allowance active depuis votre adresse. Récupérez la liste pour l’adresse MetaMask d’origine sur chaque chaîne avec laquelle elle a interagi : Ethereum mainnet, Arbitrum, Optimism, Base, Polygon, BNB Chain, Avalanche. Chaque chaîne possède son propre ensemble d’autorisations, et elles ne se transfèrent pas.
Décidez lesquelles conserver et lesquelles révoquer. Si vous utilisez encore activement un DEX, vous pouvez laisser une autorisation spécifique de token avec un plafond précis (par exemple, 100 USDC sur Uniswap). Si vous avez utilisé une dapp une fois il y a un an et n’y êtes pas revenu, révoquez-la. Le risque qu’un contrat malveillant ou compromis draine plus que ce que vous avez autorisé est réel et a causé des pertes à huit chiffres dans tout l’écosystème.
Exécutez les révocations. Chaque révocation est une transaction qui coûte du gas. Vous aurez besoin d’une petite quantité de ETH natif (ou du token de gas de la chaîne que vous nettoyez) dans le portefeuille depuis lequel vous révoquez. Attendez-vous à signer des dizaines de transactions sur un portefeuille actif depuis des années. Prévoyez le budget nécessaire. Après chaque révocation, vous pouvez réapprouver avec un plafond plus strict si vous devez réutiliser cette dapp plus tard.
Répétez l’opération pour chaque chaîne. Le même portefeuille peut avoir des autorisations sur six ou sept chaînes. En ignorer une signifie qu’un contrat sur cette chaîne dispose encore d’une allowance active. Après le nettoyage, relancez l’analyse des autorisations sur chaque chaîne et confirmez que les listes sont vides ou ne contiennent que des dapps que vous utilisez activement.
L’empoisonnement d’adresse et ce qui change après une migration visible
L’empoisonnement d’adresse est une attaque d’ingénierie sociale qui exploite la façon dont les humains lisent les adresses. Les adresses Ethereum comportent quarante caractères hexadécimaux, ce qui est trop long à mémoriser. Les gens regardent les quatre premiers et les quatre derniers caractères, puis font confiance au milieu. Les attaquants génèrent des adresses personnalisées qui imitent le préfixe et le suffixe d’adresses avec lesquelles leurs cibles ont récemment effectué des transactions, puis envoient de minuscules transactions de poussière depuis ces adresses ressemblantes. L’objectif est que l’adresse empoisonnée se retrouve dans votre historique de transactions, où vous la copierez plus tard à la place de la vraie.
Ce risque augmente fortement immédiatement après une migration. Lorsque vous envoyez un montant significatif de votre ancien MetaMask vers votre nouvelle adresse adossée au matériel, cette transaction est publique on chain. Des bots l’indexent en quelques secondes. En quelques minutes, vous pouvez recevoir de la poussière depuis une adresse qui ressemble presque exactement à l’expéditeur ou au destinataire. Certains attaquants vont plus loin et inscrivent leur adresse malveillante dans ENS ou dans des services de noms similaires pour la rendre plus conviviale.
La défense contre cela est surtout comportementale.
Ne faites jamais confiance à votre historique de transactions comme carnet d’adresses. C’est une liste d’adresses qui vous ont envoyé quelque chose, pas une liste de contacts vérifiés. Si vous voulez un carnet d’adresses permanent, utilisez des noms ENS que vous contrôlez, ou le carnet d’adresses étiqueté d’un portefeuille matériel, où les entrées sont stockées sur l’appareil et ne peuvent pas être remplacées silencieusement par un malware.
Ignorez la poussière provenant d’expéditeurs inconnus. N’interagissez pas avec une transaction de poussière. N’essayez pas de la renvoyer. Ne cliquez sur aucun contrat avec lequel la poussière interagit. Traitez chaque transfert non sollicité comme une tentative potentielle de piégeage.
Revérifiez toujours les adresses sur l’écran du matériel. La défense contre l’empoisonnement d’adresse est la même que celle contre les malwares de presse-papiers : un affichage de confiance que l’ordinateur hôte ne peut pas réécrire. Si votre portefeuille matériel affiche l’adresse prévue, signez. S’il affiche autre chose, refusez.
Utilisez des listes d’autorisation lorsqu’elles sont prises en charge. Certains portefeuilles et couches de conservation vous permettent de maintenir une liste d’adresses de destinataires approuvées, de sorte que le portefeuille refusera de signer une transaction vers toute adresse hors de cette liste. C’est la défense la plus solide, mais elle exige de planifier à l’avance, pas d’improviser au moment de la transaction.
Ce que vous ne devriez jamais faire, même une seule fois
Certaines erreurs sont récupérables, d’autres non. Les suivantes appartiennent à la seconde catégorie.
Ne saisissez pas votre phrase de récupération MetaMask dans un autre portefeuille, point final. Cela inclut les extensions de navigateur, les applications mobiles, les pages web d’« importation » et les « outils de récupération » annoncés dans les résultats de recherche. Chaque copie supplémentaire de la phrase de récupération est une responsabilité permanente. Si un produit de portefeuille vous demande votre phrase de récupération existante, c’est le signe qu’il s’agit du mauvais outil pour une migration.
Ne saisissez jamais votre phrase de récupération sur un site web, jamais. Les portefeuilles légitimes n’ont pas besoin que vous fassiez cela. MetaMask lui-même ne demande la phrase de récupération que lors de la restauration d’un portefeuille dans l’extension, et c’est le seul endroit où il est sûr de le faire, car l’extension s’exécute localement. Toute page web qui demande une phrase de récupération est en train de la voler.
Ne stockez pas la phrase de récupération dans un gestionnaire de mots de passe. Les gestionnaires de mots de passe sont excellents pour les mots de passe. Ils se synchronisent avec le cloud. Ils peuvent faire l’objet d’une assignation, être compromis ou être ciblés par du phishing. Une phrase de récupération n’est pas un mot de passe et ne doit pas être traitée comme tel.
Ne vous envoyez pas votre phrase de récupération par e-mail ou application de messagerie. Les e-mails et les applications de messagerie stockent les données en clair sur des serveurs, dans des sauvegardes et sur chaque appareil qui s’est déjà connecté. La phrase survit à la conversation.
Ne sautez pas la vérification de l’adresse sur l’écran du matériel. L’affichage propre au matériel est la seule partie du pipeline de transaction à laquelle vous pouvez pleinement faire confiance. Ignorer cette vérification est le moyen le plus rapide de tout perdre à cause d’un malware de substitution d’adresse.
N’approuvez pas d’allowances de tokens illimitées après la migration. Les vieilles habitudes ont la vie dure, mais autoriser un contrat à dépenser la totalité du solde d’un actif est rarement nécessaire. Définissez des plafonds personnalisés lorsque la dapp le permet, et révoquez sans hésiter lorsque vous avez terminé.
Liste de contrôle pratique avant, pendant et après votre migration
Une migration se déroule sans accroc lorsque vous la traitez comme un projet délibéré avec des phases, et non comme une simple tâche à réaliser en un après-midi.
Avant. Faites la liste de toutes les chaînes avec lesquelles votre MetaMask a déjà interagi. Faites la liste de toutes les dapps que vous avez approuvées. Vérifiez que votre phrase de récupération est sauvegardée dans un lieu physique, car une migration est un mauvais moment pour découvrir que votre seule copie a disparu. Achetez un hardware wallet directement auprès du fabricant. Prévoyez d’effectuer les déplacements réels un jour où vous n’êtes pas pressé.
Pendant. Initialisez le hardware comme neuf, notez la nouvelle seed, ne la saisissez jamais sur un autre appareil. Associez le hardware à MetaMask. Envoyez une petite transaction de test vers la nouvelle adresse protégée par le hardware. Vérifiez l’adresse sur l’écran du hardware. Envoyez ensuite le reste. Répétez l’opération pour chaque chaîne. Récupérez tous les soldes que vous aviez oubliés.
Après. Exécutez le scanner d’approbations sur chaque chaîne, pour l’ancienne adresse comme pour la nouvelle. Révoquez tout ce que vous n’utilisez plus activement. Ignorez toute poussière inattendue. Revérifiez chaque contact enregistré avec le carnet d’adresses de votre hardware wallet, et non avec l’historique des transactions de votre software wallet. Envisagez de répartir vos avoirs entre un coffre froid de long terme sur un hardware wallet qui se connecte rarement, et un petit hot wallet pour le trading actif.
Si quelque chose vous semble anormal à une étape quelconque, arrêtez-vous. Les migrations de wallet sont réversibles dans le sens où les fonds que vous n’avez pas encore déplacés sont toujours en sécurité. Les transactions que vous avez signées ne sont pas réversibles. Aller plus lentement est plus sûr.
Suivre les risques de migration de wallet avec un signal clair
Les migrations de wallet et les arnaques qui les entourent évoluent rapidement. De nouveaux contrats qui vident les approbations apparaissent chaque semaine, les botnets d’empoisonnement d’adresses deviennent plus sophistiqués, et les faux logiciels de wallet sont de plus en plus difficiles à distinguer des vrais. Suivre ces menaces manuellement sur les différentes chaînes, plateformes sociales et flux de sécurité est perdu d’avance. Zippfeed met en avant les actualités liées à la sécurité crypto et aux wallets avec un score de sentiment (bullish, neutral ou bearish) et une note d’importance, afin que vous puissiez repérer les risques qui comptent réellement pour vos avoirs avant qu’ils n’atteignent votre boîte de réception.
