Séparez le compte utilisé avec les applications de votre épargne
Lorsque vous échangez des jetons dans une application, vous choisissez le compte du wallet à connecter. Une simple connexion permet de voir votre adresse publique et de demander des actions ; ce n’est pas encore une autorisation de dépenser vos jetons. Lisez séparément chaque demande d’approbation ou de signature qui suit.
Utilisez un compte distinct pour ces applications et n’y transférez que la somme prévue. Gardez l’épargne à long terme sur un compte que vous n’utilisez pas avec elles. Si vous accordez une autorisation de dépense par erreur, moins de fonds seront exposés sur le compte concerné.
Plusieurs comptes d’un même wallet peuvent partager une phrase de récupération. Si quelqu’un l’obtient, séparer les comptes qui en dépendent ne protège pas les fonds.
Un message d’« assistance » inattendu n’est pas une consigne
Un message frauduleux peut reprendre un nom ou un logo connu pour rendre une demande inattendue banale. Connaître le modèle de votre appareil ne prouve pas que l’expéditeur représente le fabricant. Regardez surtout ce qu’il vous demande de faire.
Exemple de faux message d’assistance
Message inattendu prétendant venir de l’assistance
Votre wallet sera désactivé aujourd’hui. Vérifiez votre phrase de récupération maintenant pour conserver l’accès.
- Le délai vous met sous pression
- La menace de perdre l’accès cherche à vous faire agir sans vérifier. Elle ne prouve pas que l’expéditeur contrôle votre appareil.
- La phrase de récupération est la cible
- Le mot « vérifier » ne rend pas ce partage sûr. Une personne disposant de ce qu’exige la récupération peut accéder aux fonds sans votre appareil.
Ne donnez jamais à l’assistance votre phrase de récupération, votre clé privée ou votre phrase secrète supplémentaire (passphrase), si vous en utilisez une. N’installez pas de logiciel d’accès à distance à la demande d’un appelant inattendu. Une conversation convaincante ne rend pas ces demandes sûres.
Trouvez l’application officielle ou les instructions de connexion de votre wallet
Connecter, autoriser une dépense et transférer sont des actions différentes
Un bouton « Continuer » peut ouvrir des demandes très différentes dans le wallet. Lisez la demande elle-même et vérifiez le compte et le réseau. Les exemples ci-dessous concernent les connexions simples, les autorisations sur les jetons et les transferts dans les applications Ethereum.
Un plafond plus bas peut réduire le montant exposé par cette autorisation, sans prouver que l’application est fiable. Si vous ne comprenez pas ce qu’une demande permet, ne l’approuvez pas.
Que faire après un message ou une demande suspecte ?
Ne répondez plus à l’expéditeur et fermez le site suspect. N’approuvez plus aucune demande venant de ce site. Si vous avez divulgué des mots de récupération ou une clé privée, occupez-vous de ce problème en priorité, même si vous avez aussi envoyé un paiement. Si vous avez installé un logiciel à la demande de l’expéditeur ou lui avez donné un accès à distance, utilisez un autre ordinateur ou téléphone de confiance pour la suite.
Vous avez divulgué des mots de récupération ou une clé privée
Une personne qui possède ces secrets peut être en mesure de dépenser vos fonds sans votre appareil. Cessez d’utiliser le site suspect. Transférez les fonds restants vers un nouveau wallet que vous créez et contrôlez vous-même. Configurez-le comme un nouveau wallet, avec une nouvelle sauvegarde, sans restaurer les mots divulgués. Restaurer ces mots sur un autre appareil conserve les mêmes clés et ne retire pas l’accès à l’autre personne.
Gardez votre wallet en état de marche jusqu’à ce que vous puissiez effectuer le transfert en sécurité. Suivez les instructions du fabricant pour créer le nouveau wallet et transférer les fonds ; ne commencez pas par réinitialiser votre seul appareil fonctionnel. Le guide Trezor ci-dessous explique les possibilités avec un seul appareil ou un appareil supplémentaire.
Vous avez confirmé ou approuvé une demande sans la comprendre
N’approuvez plus rien venant de ce site. Ouvrez l’activité ou l’historique des transactions dans l’application de votre wallet. Notez le compte, le réseau et l’identifiant de transaction s’ils sont affichés. Conservez les détails de la demande initiale dont vous disposez encore, mais ne retournez pas sur le site suspect et ne signez pas à nouveau pour les retrouver.
Contactez l’assistance de l’application dans laquelle la demande est apparue. Expliquez sur quel bouton vous avez appuyé et transmettez les détails disponibles de la demande ou de la transaction, jamais vos mots de récupération, vos clés privées ou votre phrase secrète supplémentaire. L’assistance pourra peut-être vous aider à comprendre ce qui s’est passé. Certaines signatures de messages ne laissent aucune trace dans l’historique des transactions : un historique vide ou une demande que l’assistance ne parvient pas à identifier ne signifie donc pas que tout va bien.
Vous avez autorisé la dépense de jetons
Ouvrez l’application de wallet que vous avez utilisée et vérifiez le compte et le réseau concernés. Pour une autorisation de dépense de jetons de type Ethereum, suivez le guide officiel ci-dessous pour retrouver l’autorisation et la révoquer. La révocation annule cette autorisation ; elle nécessite généralement une transaction sur le réseau et des frais. Vérifiez qu’elle a bien été exécutée.
Déconnecter le site laisse les autorisations existantes en place. Si vous ne savez pas ce que vous avez approuvé, suivez aussi les conseils prévus pour cette situation : une liste sans autorisation active de dépense de jetons ne prouve pas que toutes les demandes signées étaient sans risque.
Vous avez envoyé un paiement
Ouvrez les détails du paiement dans votre wallet ou sur la plateforme d’échange et vérifiez son état. Si la plateforme traite encore le retrait, contactez-la immédiatement pour demander si elle peut l’arrêter.
Si la transaction est en attente sur le réseau, votre wallet peut proposer de tenter une annulation. Pour MetaMask sur Ethereum ou un réseau compatible, suivez les instructions d’annulation ci-dessous. Pour une autre application, contactez son assistance. L’annulation n’est pas garantie. Ne choisissez pas « Accélérer » pour un paiement que vous voulez arrêter.
Une fois le transfert exécuté avec succès sur le réseau, le fournisseur de votre wallet ne peut pas l’annuler. Déconnecter le site ou révoquer une autorisation ne récupérera pas les fonds.
Vous avez installé un logiciel ou donné un accès à distance
Cessez d’utiliser cet ordinateur ou ce téléphone pour accéder à votre wallet. Cherchez de l’aide depuis un autre appareil de confiance. Avant de réutiliser l’appareil concerné, demandez au service technique de son fabricant ou à un réparateur que vous connaissez déjà et en qui vous avez confiance de rechercher les logiciels indésirables. Prenez contact vous-même, depuis leur site officiel ou avec des coordonnées que vous possédez déjà.
L’assistance de l’application de votre wallet peut, de son côté, vous aider à examiner l’activité du wallet ; elle ne vérifie pas votre ordinateur ou votre téléphone. Si vous avez saisi des mots de récupération ou une clé privée dans le logiciel, suivez aussi les conseils pour les secrets divulgués.
Vous avez seulement lu un message ou connecté votre wallet au site
Si vous n’avez rien signé, divulgué aucun secret et installé aucun logiciel, fermez la page. Si vous avez connecté votre wallet au site, retirez ce site de la liste des sites connectés dans l’application du wallet. La connexion seule n’autorise pas les dépenses.
Si vous avez déjà autorisé la dépense de jetons sur ce site, vérifiez aussi ces autorisations : la déconnexion les laisse en place.
À quelle assistance s’adresser ?
Pour un paiement ou une demande de signature, commencez par l’application dans laquelle la demande est apparue. Ouvrez la rubrique d’aide ou d’assistance dans cette application ou sur son site officiel. Pour MetaMask, ouvrez le centre d’aide ci-dessous, puis, dans « Contacter le service d’assistance », choisissez « Continuer sans connecter le portefeuille ».
Pour une question sur l’appareil physique ou sa sauvegarde, contactez le fabricant du wallet. Notre répertoire d’applications officielles mène aux pages des fabricants consacrées aux applications et aux connexions ; cherchez-y leur page de contact ou d’assistance. Par exemple, sur la page de téléchargement de BitBox, choisissez « Support », puis « Contact us ». Dans la documentation de COLDCARD, choisissez « Trouble Shooting », puis le formulaire d’assistance Coinkite en bas de page.
Ignorez les offres spontanées de récupération de fonds volés, surtout si l’on vous demande de payer ou de fournir vos mots de récupération.