Ce qu’est réellement un portefeuille en lecture seule
Un portefeuille en lecture seule correspond exactement à ce que son nom indique : un portefeuille qui peut observer, mais pas dépenser. Pour comprendre pourquoi c’est utile, vous devez connaître la différence entre les deux éléments d’information qu’un portefeuille classique détient.
Chaque adresse crypto est générée à partir d’une paire cryptographique. La clé publique (ou sa forme abrégée, l’adresse) peut être partagée sans risque avec n’importe qui, comme une adresse e-mail ou un numéro de compte bancaire. La clé privée est le secret qui contrôle réellement les fonds. Dans un hot wallet classique, les deux éléments se trouvent sur le même appareil. Dans un hardware wallet, la clé privée reste sur un appareil sécurisé et les informations publiques se trouvent sur votre ordinateur ou votre téléphone. Dans un portefeuille en lecture seule, seules les informations publiques se trouvent quelque part, et la clé privée ne touche jamais l’appareil de surveillance.
Comme l’appareil ne possède aucune clé privée, il n’y a mathématiquement rien qu’un attaquant puisse lui voler. Même si votre téléphone est perdu, infecté par un malware ou saisi, les fonds associés à l’adresse ne sont pas affectés. L’appareil de surveillance ne peut qu’afficher ce que la blockchain montre déjà.
Certaines blockchains, notamment Monero, ajoutent une petite complication. Monero masque les détails des transactions par défaut, donc pour surveiller une adresse XMR, vous avez aussi besoin d’une clé de visualisation facultative. La clé de visualisation ne peut toujours pas déplacer de fonds ; elle ne fait que permettre de décoder les montants entrants. Bitcoin, Ethereum, Solana et la plupart des blockchains UTXO ou basées sur des comptes n’ont pas besoin de clé de visualisation, car leurs soldes et transactions sont publics par conception.
Risques et limites à connaître d’abord
Un portefeuille en lecture seule est l’une des configurations les plus sûres en crypto, mais cette sécurité est limitée. Il vous protège contre un risque précis, à savoir la compromission de l’appareil de surveillance. Il ne vous protège pas contre tous les autres risques du secteur.
Premièrement, un portefeuille en lecture seule exige toujours que vous ajoutiez la bonne adresse. Si vous collez la mauvaise, vous surveillerez silencieusement le portefeuille d’un inconnu pour toujours. Vérifiez toujours les six premiers et les six derniers caractères avec la source. Pour les adresses de grande valeur, vérifiez sur un second appareil.
Deuxièmement, considérez votre liste d’adresses en lecture seule comme des métadonnées semi-sensibles. Une liste de toutes les adresses que vous surveillez peut révéler votre historique de trading, la structure de votre trésorerie ou les airdrops que vous ciblez. Si cette liste fuit, un attaquant peut établir votre profil, même s’il ne peut pas voler directement les fonds. Sur un téléphone, c’est une préoccupation moindre que sur un ordinateur portable de travail partagé.
Troisièmement, sur les blockchains avec smart contracts, surveiller n’est pas la même chose que comprendre. Un portefeuille en lecture seule peut voir que votre adresse a approuvé une allowance vers un contrat malveillant, mais il ne peut pas révoquer lui-même cette approbation. Vous avez toujours besoin d’un portefeuille de signature, et probablement d’une transaction de nettoyage séparée, pour corriger cela. Surveiller ne signifie pas être protégé.
Quatrièmement, plusieurs escroqueries réelles se sont fait passer pour des outils en lecture seule. De fausses applications de portefeuille, des extensions de navigateur copiées et des sites de phishing proposant un « accès en lecture seule » essaient parfois de collecter votre seed phrase en affirmant qu’elle est « facultative ». Un portefeuille en lecture seule légitime ne demande jamais votre seed phrase, sans exception. Si un outil en demande une pour activer le mode lecture, fermez-le.
Trois façons d’en configurer un
Vous pouvez créer un wallet en lecture seule en une dizaine de minutes avec l’une de ces trois approches. Choisissez celle qui correspond à votre niveau de prudence et à ce que vous surveillez.
Option 1 : application mobile
La méthode la plus rapide consiste à utiliser une application de wallet qui prend en charge l’ajout d’adresses en mode lecture seule. Les deux principaux logiciels compagnons de hardware wallets le permettent. Ledger Live vous permet d’ajouter n’importe quelle adresse Bitcoin, Ethereum ou Solana externe dans « Comptes » en choisissant « Ajouter un compte », puis « Utiliser une adresse existante ». Trezor Suite propose la même chose pour Bitcoin et Ethereum. Vous collez l’adresse, ajoutez éventuellement une étiquette, et l’application commence à synchroniser le solde et l’historique depuis des nœuds publics.
Pour l’application propre à un fournisseur de hardware wallet, l’adresse que vous ajoutez peut être dérivée de manière déterministe à partir de la seed de votre hardware wallet, sans jamais exposer cette seed. On parle parfois de chemin de dérivation « legacy » ou « legacy segwit ». L’application demande à votre hardware wallet de révéler la partie publique de l’adresse numéro 1, 2, 3, et ainsi de suite, et l’appareil ne signe rien. C’est l’une des configurations en lecture seule les plus propres qui existent.
Les wallets mobiles non custodial le prennent également en charge. Dans les applications Zebedee, BlueWallet et Samourai, par exemple, vous pouvez choisir « Ajouter en lecture seule » et coller soit une adresse Bitcoin, soit une clé publique étendue (xpub). Avec une xpub, l’application peut dériver toutes les adresses de la hiérarchie de votre wallet et les surveiller toutes en même temps, ce qui est plus utile que de surveiller une seule adresse.
Option 2 : extension de navigateur ou explorateur web
Si vous voulez seulement jeter un coup d’œil aux soldes et n’avez pas besoin d’une interface sophistiquée, les explorateurs de blockchain vous donnent exactement ce qu’un wallet en lecture seule fournirait, sans aucune configuration. Etherscan, Blockchair, Solscan et l’explorateur Bitcoin de Blockstream vous permettent tous de coller n’importe quelle adresse et de voir immédiatement son solde, sa liste de transactions et ses avoirs en tokens. Ajoutez la page à vos favoris et vous avez, en pratique, une vue en lecture seule pour cette adresse.
Pour quelque chose qui ressemble davantage à un wallet, l’extension MetaMask prend en charge l’importation de n’importe quelle adresse Ethereum en mode « surveiller n’importe quel wallet ERC-20 », ce qui vous permet de voir les soldes et les listes de tokens sans jamais fournir de phrase de récupération. De même, Phantom sur Solana permet d’importer n’importe quelle clé publique comme compte en lecture seule. Ce sont de bons choix si vous voulez une interface de wallet familière tout en conservant la sécurité de ne jamais saisir de clé privée.
Les extensions de navigateur sont pratiques, mais elles vivent dans votre navigateur, qui est aussi l’endroit où se produisent les attaques de phishing. Si vous choisissez cette voie, utilisez un profil de navigateur séparé dédié à la crypto, limitez au minimum le nombre d’extensions et n’installez jamais d’extensions aléatoires de type « assistant de wallet ».
Option 3 : un appareil de réserve dédié
Pour la configuration offrant le plus haut niveau d’assurance, prenez un ancien téléphone ou ordinateur portable, réinitialisez-le aux paramètres d’usine, installez une seule application de wallet, ajoutez vos adresses, puis désactivez le réseau pour l’utiliser comme visionneuse de solde hors ligne, ou laissez-le en ligne mais n’installez jamais rien d’autre. C’est la référence pour surveiller une trésorerie d’entreprise ou une épargne personnelle en cold storage.
La raison pour laquelle cela fonctionne si bien est la compartimentation. Même si votre téléphone du quotidien est compromis, l’appareil de surveillance n’a pas d’e-mail, pas d’historique de navigation, pas de mots de passe enregistrés et aucune autre application à exploiter. Un attaquant qui y accède voit un solde, pas un chemin vers les fonds.
Le compromis, c’est la friction. Les mises à jour, les plantages d’application et les batteries déchargées doivent tous être gérés séparément. Pour la plupart des gens, ce niveau de séparation est excessif. Pour un responsable de trésorerie ou une personne qui surveille un solde à sept chiffres, c’est une tranquillité d’esprit peu coûteuse.
Usages pratiques au-delà d’un hardware wallet
Le cas d’usage classique consiste à surveiller votre propre hardware wallet. Une fois que votre cold storage contient une valeur significative, vous voulez pouvoir jeter un coup d’œil au solde sans brancher l’appareil matériel à chaque fois. Un wallet en lecture seule sur votre téléphone vous donne ce coup d’œil instantané, tandis que l’appareil matériel reste dans un tiroir.
Les équipes de trésorerie utilisent la même astuce à grande échelle. Une association, une DAO ou une petite entreprise peut diffuser l’adresse de son wallet multisig à toutes les personnes qui doivent exercer une supervision, sans risque qu’un observateur individuel puisse déplacer les fonds. Les membres du conseil d’administration, les comptables et les auditeurs externes peuvent tous surveiller la même adresse indépendamment. Si l’un de leurs ordinateurs portables est compromis, la trésorerie n’est pas affectée.
Vous pouvez aussi surveiller l’adresse d’un ami pour le plaisir ou pour apprendre. Observer le wallet d’un trader expérimenté, s’il l’a partagé publiquement, est une façon courante d’apprendre à quoi ressemblent réellement les mouvements onchain dans la pratique. Souvenez-vous simplement que suivre les transactions de quelqu’un ne remplace pas vos propres recherches, et que de nombreux « wallets célèbres » sur les réseaux sociaux se révèlent être des tunnels marketing.
Un quatrième usage est plus défensif : surveiller une adresse qui pourrait selon vous recevoir un futur airdrop, sans jamais connecter cette adresse à un wallet que vous utilisez activement. Le schéma des « drains de chasseurs d’airdrops » est devenu courant. Les attaquants créent des sites qui vous demandent de « vérifier votre éligibilité » en signant une transaction, puis abusent de cette signature pour vider les tokens ou les futurs airdrops de l’adresse avec laquelle vous avez signé. Si l’adresse que vous voulez tester se trouve dans un wallet en lecture seule, il n’y a rien à vider, car le wallet ne peut rien signer du tout. Le drainer échoue tout simplement.
Ajouter des alertes pour ne pas avoir à actualiser
Un wallet en lecture seule est surtout utile lorsqu’il vous parle au lieu d’attendre que vous l’ouvriez. Il existe trois façons courantes de configurer des alertes.
Les bots Telegram sont les plus simples. Des services comme Nansen, Moralis et quelques bots communautaires vous permettent d’enregistrer une adresse et de choisir quels événements déclenchent un message : toute transaction entrante, les transactions au-dessus d’un certain seuil, les interactions avec un contrat précis ou les changements de solde de tokens. Vous recevez l’alerte sur votre téléphone quelques secondes après la confirmation de la transaction.
Zerion et Zapper proposent une fonctionnalité similaire pour Ethereum et quelques autres chaînes EVM, avec un tableau de bord plus convivial. Vous ajoutez l’adresse, choisissez les tokens à suivre, et l’application envoie des notifications via le canal habituel de votre téléphone. L’avantage par rapport aux bots Telegram est une meilleure UX, et l’inconvénient est qu’ils dépendent du maintien en ligne du service et de la stabilité de ses conditions.
Pour une surveillance plus sérieuse, les plateformes d’analytics onchain comme Nansen, Arkham et Dune vous permettent d’étiqueter des adresses, de créer des tableaux de bord personnalisés et de déclencher des webhooks vers vos propres systèmes. C’est excessif pour un wallet personnel de loisir, mais c’est exactement ce dont une équipe de trésorerie a besoin pour repérer en temps réel des sorties de fonds inattendues.
Une remarque sur les alertes : plus vous surveillez d’adresses, plus vous recevez de bruit. Un ami qui trade des memecoins générera des dizaines d’alertes par jour. Décidez à l’avance si vous voulez chaque transaction ou seulement celles qui dépassent un seuil significatif, sinon les alertes deviennent un fond sonore et vous cessez de les lire.
Que faire si le wallet que vous surveillez est compromis
Même avec une configuration en lecture seule parfaite de votre côté, l’adresse que vous surveillez peut toujours être vidée à cause d’erreurs commises ailleurs. Une seed de hardware wallet divulguée depuis une photo de sauvegarde, un signataire multisig piégé par phishing ou un smart contract détenant les fonds exploité. Votre wallet en lecture seule montrera la sortie de fonds en temps réel, ce qui est exactement ce que vous voulez, mais la question est de savoir ce que vous faites ensuite.
Si vous contrôlez le wallet surveillé, la mesure à prendre est de déplacer les fonds restants vers une adresse fraîchement générée aussi vite que possible. C’est là qu’une configuration en lecture seule peut sembler peu pratique, car vous avez besoin d’un wallet de signature séparé, éventuellement sur un appareil matériel, pour effectuer réellement le sauvetage. Entraînez-vous au parcours de récupération avant d’en avoir besoin, idéalement avec un tout petit montant de test.
Si vous surveillez pour le compte de quelqu’un d’autre, documentez les hashes de transaction, les horodatages et toutes les interactions avec des contrats, puis partagez-les avec le propriétaire du wallet ou un service forensic. Chainalysis, TRM Labs et plusieurs cabinets spécialisés réalisent des analyses forensic blockchain pour les forces de l’ordre et les dossiers de récupération. Des ressources gratuites comme le classement de Rekt News et divers groupes Telegram communautaires peuvent aussi aider à identifier des signatures d’exploit connues.
Enfin, n’échangez avec aucun « service de récupération » qui vous contacte en premier. L’environnement après un hack regorge d’arnaques secondaires qui promettent de récupérer des fonds volés contre des frais payés d’avance. Le travail forensic légitime est généralement lancé par vous, pas l’inverse.
Gardez une longueur d’avance sur les mouvements onchain avec les bons outils
L’activité onchain évolue rapidement, et un portefeuille en lecture seule n’est utile que si vous le consultez vraiment. Actualiser manuellement les explorateurs toute la journée est une stratégie perdante, surtout lorsque vous suivez plus de deux ou trois adresses. Zippfeed met en avant les gros titres crypto avec un score de sentiment, labellisé bullish, neutral ou bearish, ainsi qu’une note d’importance, afin que vous puissiez voir quels événements onchain et quels exploits comptent réellement sans vous noyer dans le bruit.
