Pourquoi vos cryptos ne sont pas réellement dans votre wallet

Beaucoup de nouveaux utilisateurs ouvrent Phantom, MetaMask, Trust Wallet, Coinbase Wallet ou une autre extension, voient un chiffre sur leur écran et supposent à tort que ce chiffre représente quelque chose qu'ils possèdent physiquement. C'est compréhensible : ce nombre est local à leur machine, il augmente lorsqu'ils reçoivent des fonds et il diminue lorsqu'ils en envoient. Leur cerveau en conclut paresseusement que leurs cryptos sont dans leur wallet.

C'est faux.

Pas faux dans le sens où l'on « confondrait le Wi-Fi et Internet », mais de la même manière qu'il est faux d'appeler un compte bancaire une chambre forte. C'est faux d'une manière qui affecte vos options d'assistance client, votre capacité à récupérer vos fonds après la réinitialisation d'un téléphone, votre risque de vol, vos recours lorsqu'une plateforme centralisée bloque votre retrait, et la façon dont une seule signature frauduleuse peut vider tout ce que vous possédez. Un wallet crypto n'est ni un coffre-fort, ni un compte bancaire, ni une caisse enregistreuse. C'est un trousseau de clés auquel sont collés une calculatrice et un stylo très dangereux.

Les pièces ne sont pas dans Phantom. Elles ne sont pas dans le Ledger. Elles ne sont pas dans MetaMask. Elles ne sont pas dans l'application Coinbase. Ce qui se trouve dans ces applications, c'est l'enregistrement d'un solde associé à une adresse spécifique enregistrée sur une blockchain, elle-même maintenue par un réseau de nœuds. Votre wallet Phantom contient les clés privées qui peuvent être utilisées pour signer des transactions, dépensant ainsi les pièces associées à ces adresses spécifiques.

Tout cela est très nuancé, mais cela prend tout son sens dès que quelque chose tourne mal. C'est pourquoi nous devons comprendre le fonctionnement interne d'un wallet.

Le mot « wallet » est un piège

Le mot wallet (portefeuille) est en lui-même un piège, un piège qui s'est refermé sur l'esprit des utilisateurs de crypto du monde entier. Le terme est familier, facile à appréhender et intuitif dans le contexte des objets physiques. Un portefeuille est un bout de cuir ou de plastique contenant un peu d'argent liquide, des cartes bancaires et une pièce d'identité que vous emportez avec vous. Si vous le perdez, vous pouvez vous attendre à perdre également tout ce qu'il contenait.

L'écosystème crypto a adopté ce mot parce qu'il était familier et intuitif. La plupart des utilisateurs n'ont aucun mal à visualiser un wallet comme un endroit où des cryptos peuvent être stockées. Cependant, ce mot apporte avec lui des connotations et des analogies qui ne s'appliquent pas aux portefeuilles physiques réels. Il laisse entendre que les actifs cryptos sont stockés dans l'application du wallet ou dans un appareil matériel sous forme de données ou de fichiers. Il implique qu'un wallet est une entité autonome dans laquelle vous pouvez déposer vos pièces et les retirer à volonté, où vous pouvez sauvegarder et restaurer des éléments individuels, et où vous pouvez sécuriser vos actifs, par exemple, en effaçant les données de l'application. Il suggère qu'un wallet crypto est un coffre-fort, ce qui n'est absolument pas le cas.

Un wallet crypto s'apparente bien davantage à un trousseau de clés auquel sont collés une calculatrice et un stylo très dangereux.

Lorsque vous envoyez des cryptos à une adresse, vous ne déposez pas de pièces dans un coffre-fort numérique. Vous donnez instruction au réseau de mettre à jour la blockchain afin qu'elle indique que les pièces sont désormais associées à une adresse différente. Lorsque vous envoyez des pièces depuis votre wallet, votre appareil ne transfère pas de données d'un endroit à un autre. Il calcule une signature cryptographique qui prouve au réseau que vous êtes autorisé à effectuer la transaction, et le réseau met à jour la blockchain pour refléter le nouveau solde. Rien n'est transféré : les valeurs sont simplement mises à jour.

C'est la raison pour laquelle vous pouvez supprimer votre application de wallet, la réinstaller, importer la même phrase mnémonique et retrouver les mêmes pièces sur votre nouveau wallet : parce qu'elles n'avaient en réalité jamais quitté l'ancien. L'application sert uniquement à prouver que vous contrôlez les clés régissant les adresses associées aux pièces sur la blockchain. Vos pièces ne sont pas stockées sur votre téléphone, ni sur le serveur de l'application de wallet, ni sur la blockchain elle-même. Les clés sont sur votre appareil, c'est pourquoi supprimer les données de l'application ou formater votre téléphone les effacera, à moins que vous ne disposiez d'une sauvegarde appropriée.

Coinbase n'est pas le même genre de wallet

Le produit exchange de Coinbase présente ses propres spécificités en raison de la nature de la solution de garde (custody) qu'il propose. La marque Coinbase elle-même peut être une source de confusion pour l'utilisateur final : un compte sur l'exchange Coinbase est un wallet custodial (avec garde des fonds), tandis que Coinbase Wallet, auparavant connu sous le nom de Coinbase App, est un wallet non-custodial (auto-garde). Ce dernier produit, Coinbase Wallet, fait désormais partie intégrante de l'écosystème applicatif de Base.

Si vous vous connectez à l'exchange principal Coinbase avec une adresse e-mail, un mot de passe, un code d'authentification à deux facteurs et une vérification d'identité, vous gérez un compte custodial. Coinbase détient les clés privées des actifs cryptos qu'il conserve pour vous. Les soldes de votre compte sont consultables, mais votre relation à ces actifs s'apparente davantage à celle d'un créancier envers Coinbase qu'à celle d'un propriétaire d'une adresse blockchain. Vous demandez à Coinbase d'acheter, de vendre, de retirer ou d'envoyer des cryptos en votre nom, et les systèmes de Coinbase décident si ces demandes sont valides, réalisables, conformes et autorisées.

C'est pourquoi Coinbase peut vous aider à récupérer votre compte si vous perdez l'accès à votre mot de passe. C'est également pourquoi Coinbase peut geler les retraits, répondre à des décisions de justice, détecter et interrompre des activités suspectes et exiger des étapes d'authentification supplémentaires. Ce sont tous des privilèges inhérents à la position d'un dépositaire (custodian) de compte. Si quelqu'un d'autre peut restaurer vos actifs cryptos à votre place, ce quelqu'un dispose d'une autorité et d'un contrôle sur ces actifs comparables aux vôtres. Si quelqu'un peut refuser de vous laisser retirer vos actifs cryptos, votre accès à ces actifs est soumis à son bon vouloir.

Dans le cas d'un exchange, non seulement vous n'avez pas le contrôle direct des actifs cryptos visibles sur votre compte, mais vous ne possédez même pas les clés cryptographiques qui confèrent ce contrôle. Cela ne signifie pas que la solution custodial soit intrinsèquement malveillante ou inefficace. Confier ses clés à un tiers peut être pratique, sécurisant et rassurant, en particulier pour quelqu'un qui aurait du mal, par exemple, à mémoriser ou à conserver en sécurité une phrase de récupération. Un compte sur un exchange peut offrir une récupération de compte, des audits, un service client et des passerelles d'accès (on-ramps/off-ramps) fiat. Mais ce n'est pas de l'auto-garde (self-custody), et prétendre le contraire conduit à de dangereuses illusions de contrôle.

L'adage « Not your keys, not your coins » rejette délibérément les solutions dépositaires précisément parce qu'il fait éclater cette illusion de confort. Cela ne veut pas dire que les soldes détenus par un exchange ne représentent pas vos pièces. Cela signifie que la capacité d'initier des transactions on-chain ne dépend pas de vous, et que vous vous en remettez à la bonne foi de l'entité qui la contrôle. Vous avez une relation contractuelle avec l'exchange ; l'exchange a le pouvoir de signature sur vos actifs.

C'est également la raison pour laquelle les gels de comptes, les réquisitions judiciaires et l'incapacité d'un exchange à honorer les retraits sont si profondément déstabilisants pour les utilisateurs. Une personne qui conçoit ses actifs cryptos comme des « pièces » stockées à l'intérieur d'un « portefeuille » représenté par une interface soignée sur son téléphone risque d'être prise au dépourvu en découvrant soudainement que ces pièces ne sont en fait nulle part, et que cette jolie petite interface n'est qu'un portail à travers lequel une autre entité peut révoquer son accès à tout instant.

Les cold wallets ne sont pas de petits coffres remplis de pièces

Les wallets matériels (hardware wallets) souffrent de la même illusion, mais dans le sens inverse. Les exchanges vous encouragent à croire que vous avez plus de contrôle sur vos cryptos que vous n'en avez en réalité, et les hardware wallets vous encouragent à penser que vous avez moins de contrôle que vous n'en avez réellement.

Un wallet Ledger ou Trezor ne contient pas vos Bitcoins de la même manière qu'une clé USB contient une photo. Il conserve des clés cryptographiques, ou plutôt les secrets cryptographiques nécessaires pour générer ces clés. Les pièces elles-mêmes sont toujours sur la blockchain. Ce que fait le hardware wallet, c'est fournir un environnement sécurisé pour signer des transactions afin que les clés n'aient jamais à être exposées à un ordinateur connecté, qui pourrait être infecté par un malware ou un logiciel d'hameçonnage. C'est pourquoi les entreprises commencent à désigner les hardware wallets comme des signataires (« signers ») ; les appareils ne stockent pas de pièces, ils facilitent la signature de transactions avec des clés stockées ailleurs, souvent directement et exclusivement sur l'appareil.

Reprenez l'analogie du coffre-fort mentionnée plus tôt : un hot wallet revient à garder votre clé dans votre poche avant en vous promenant sur la place du marché. C'est pratique, mais les voleurs peuvent voir que vous avez une clé et tenter de s'en emparer. Un hardware wallet ressemble plutôt au fait de garder sa clé à l'intérieur d'un petit boîtier mécanique que vous seul pouvez ouvrir. L'ordinateur connecté peut proposer une transaction, mais le boîtier de signature doit l'approuver avant que la clé ne puisse produire quoi que ce soit. La clé privée est censée ne jamais quitter le boîtier.

C'est extraordinairement sécurisé, mais ce n'est pas inviolable. Si vous approuvez une transaction sur votre hardware wallet, l'appareil n'a aucun moyen de savoir s'il s'agit en réalité d'un exploit. Si vous saisissez votre phrase de récupération sur un site malveillant, votre appareil physique ne pourra pas vous sauver. Si quelqu'un vole votre phrase de récupération, il peut recréer votre wallet sur un autre appareil et vider vos fonds, hardware wallet ou pas. Votre phrase de récupération n'est pas un mot de passe de service client : c'est le secret cryptographique racine à partir duquel toutes vos clés sont générées, et quiconque le possède a concrètement pris le contrôle de votre wallet.

Perdre l'appareil physique est un désagrément, mais ce n'est rien comparé à la perte de la phrase de récupération qui a servi à le protéger. C'est ici que les nouveaux utilisateurs sont particulièrement vulnérables au piège réconfortant d'une mauvaise analogie. Un hardware wallet a l'aspect et le poids d'un coffre-fort, et tout ce qui a l'air d'un coffre-fort finira par vous persuader qu'il en est un. L'objet physique est rassurant, mais la véritable valeur qu'il protège se trouve toujours sur la blockchain, et la véritable menace pour cette valeur pèse toujours sur la clé privée. L'objet n'a de valeur que dans la mesure où il protège la clé, et la clé n'a de valeur que dans la mesure où elle donne accès à la blockchain.

Ce qu'un wallet fait réellement

Un wallet est composé de nombreux éléments, et la confusion entre toutes ces fonctions est précisément ce qui égare les nouveaux utilisateurs. De manière générale, un wallet peut générer ou récupérer des clés cryptographiques, dériver des adresses à partir de ces clés, lire la blockchain pour déterminer les soldes d'un compte, construire et signer des transactions, et diffuser ces transactions au réseau ou à un autre service qui les diffusera en votre nom.

Tout cela semble très technique et austère, mais cela a des implications considérables pour quiconque prend un wallet pour ce qu'il n'est pas. Chacune de ces opérations comporte une variable humaine capable d'anéantir complètement l'intérêt d'un wallet non-custodial.

Lorsqu'un wallet affiche le solde de votre compte, il interprète ce chiffre pour vous. Si l'application est mal codée, si vous l'avez connectée à la mauvaise blockchain ou si le nœud RPC que vous utilisez est malveillant ou simplement incompétent, vous pourriez voir un solde erroné qui ne correspond pas du tout à l'état réel de la blockchain. C'est pourquoi des fonds peuvent sembler manquer dans un wallet tout en étant visibles dans un autre : le wallet n'a pas lu la blockchain correctement, il a interrogé le mauvais nœud RPC, et ce nœud RPC vous renvoyait des informations inexactes.

Lorsqu'un wallet vous demande de signer quelque chose, il ne vous demande pas toujours d'envoyer des fonds. Il peut vous demander d'approuver un smart contract qui dépensera des fonds plus tard. Il peut vous demander de signer un message pour prouver la propriété d'une adresse. Il peut vous demander de signer une transaction dont vous ne comprenez pas entièrement les implications parce qu'un humain l'a écrite en code Solidity. Le wallet est censé vous aider à comprendre ce qu'il vous demande de signer, mais souvent, il ne s'en sort pas très bien. Il peut vous afficher du code hexadécimal, le nom d'un contrat, un bouton libellé « Approve all tokens » ou un « Continuer » étrangement rassurant, mais vous devriez traiter chaque demande de signature comme si vous graviez les clauses d'un contrat directement dans votre âme.

Les wallets crypto souffrent d'un problème fondamental de philosophie de conception. L'industrie ne veut pas effrayer les utilisateurs, alors elle délègue la responsabilité et le risque à l'utilisateur, à qui l'on demande ensuite de lire une documentation technique rébarbative pour mesurer les risques. Les nouveaux utilisateurs sont submergés par les termes abstraits à l'écran, et ils confondent le joli nombre avec le bel objet, et le bel objet avec le solide coffre-fort. Pourtant, la seule chose véritablement sûre, c'est la partie la plus austère.

Les nouveaux utilisateurs ont raison d'être fascinés par ce chiffre. Ce nombre représente quelque chose qu'ils convoitent, et c'est ce qui se rapproche le plus d'un concept familier dans cet environnement déroutant. Mais dans l'univers de l'auto-garde crypto, les parties austères sont les seules qui comptent. Ce chiffre n'est qu'une représentation, une promesse, un pointeur. La valeur réelle est sécurisée par des clés cryptographiques, et ces clés ne sont accessibles qu'au moyen d'une signature.

C'est pourquoi l'apprentissage des wallets devrait commencer par des verbes. Un wallet ne stocke pas vos cryptos ; il lit la blockchain, dérive des adresses, prépare des transactions, vous demande de les signer et les diffuse sur le réseau. C'est un intermédiaire qui vous permet d'agir sur des registres d'une blockchain, mais ce n'est pas la blockchain elle-même, et il ne possède pas les actifs qui y sont inscrits.

Pourquoi préfère-t-on la fausse histoire

La fausse histoire persiste parce qu'elle est émotionnellement satisfaisante. « Mes cryptos sont dans mon wallet » est un mensonge réconfortant qui donne un sentiment de sécurité. Il est facile de sécuriser un objet physique. Vous verrouillez votre wallet derrière Face ID ou rangez votre Ledger dans un tiroir de votre chambre. Ce confort est illusoire, mais il n'en reste pas moins apaisant.

La réalité est bien plus anxiogène, car elle vous expose aux mêmes vulnérabilités que toute personne ayant déjà perdu un fichier important sur un ordinateur. Votre patrimoine est représenté par une ligne d'écriture sur une blockchain, et votre capacité à modifier cette ligne dépend de secrets, de signatures, d'interfaces, de réseaux et d'ingénierie sociale. Vous voulez imaginer un coffre-fort, mais c'est une boîte dotée d'une clé : la clé est dans votre main, la boîte est connectée à Internet, et Internet grouille de gens déterminés à voler vos biens.

Personne n'a envie de penser à cela en achetant ses premiers 200 $ de Bitcoin, alors on préfère croire au mensonge rassurant. Il en va de même pour les entreprises qui cherchent à vous vendre le prétendu coffre-fort. Les exchanges privilégient l'analogie du wallet car elle dissimule le fait qu'ils sont des dépositaires, et la garde d'actifs est une responsabilité qu'ils sont légalement tenus de déclarer. Les applications de wallet plébiscitent l'analogie du portefeuille car elle masque la complexité des signatures cryptographiques pour l'utilisateur. Les fabricants de hardware wallets préfèrent cette analogie parce qu'un « cold wallet » est un produit bien plus séduisant qu'un « signataire de clé privée hors ligne ». L'industrie dans son ensemble l'adopte car elle rend la crypto plus accessible au grand public, qui n'a aucun désir de plonger dans les rouages de la cryptographie ou de la décentralisation.

Le problème des métaphores, c'est qu'elles accumulent des intérêts débiteurs. La personne qui pense que ses cryptos sont stockées sur son téléphone sera bien plus désemparée si son téléphone rend l'âme que celle qui a conscience que ses cryptos sont sécurisées par des clés cryptographiques. La personne qui voit son Ledger comme un portefeuille sera bien moins vigilante avec sa phrase de récupération que celle qui sait exactement quel rôle joue une phrase de récupération. La personne qui considère Coinbase comme un wallet aura bien moins de méfiance envers les gels de retraits que celle qui perçoit Coinbase comme un simple dépositaire. La personne qui imagine un wallet comme un support de stockage est infiniment plus susceptible de se faire piéger en pensant qu'importer sa phrase dans une application malveillante permettra de « récupérer » ses pièces, alors qu'en réalité, cela offrira à cette application un accès sans restriction à ses fonds.

La majorité des vols et des pertes en crypto ne proviennent pas d'une incompréhension des courbes elliptiques en cryptographie. Ils résultent de l'incompréhension de l'analogie qu'on leur a vendue et du modèle mental qu'on les a incités à adopter. Ils ont protégé la mauvaise chose, ont fait confiance à la mauvaise entité et n'ont pas su identifier la menace lorsqu'elle s'est présentée, simplement parce qu'ils ne comprenaient pas le fonctionnement réel d'un wallet dès le départ.

Un meilleur modèle mental

Une version plus rigoureuse de l'analogie consiste à voir la blockchain comme un immense coffre-fort collectif, l'adresse comme le numéro d'un casier, la clé privée comme la clé du casier, le wallet comme le trousseau et le mécanisme de signature, et l'exchange comme un dépositaire externe possédant son propre coffre, ses propres casiers et ses propres clés.

Avec ce modèle en tête, la plupart des problèmes qui déroutent les débutants deviennent bien plus simples à comprendre et beaucoup moins anxiogènes. Si je perds mon téléphone, mais que ma phrase de récupération est mise en lieu sûr, je peux recréer le trousseau et retrouver l'accès à mon casier. Si quelqu'un voit ma clé publique, il peut envoyer des fonds à mon adresse ou inspecter le casier de l'extérieur, mais il ne peut pas l'ouvrir. Si quelqu'un met la main sur ma clé privée ou ma phrase de récupération, il peut ouvrir le casier. Si Coinbase possède mes clés, Coinbase peut ouvrir le casier, et je n'ai aucun recours technique direct depuis mon compte sur le site de Coinbase. Si mon Ledger détient mes clés, mes pièces sont toujours dans le casier sur la chaîne, et le Ledger ne fait qu'inspecter le casier et signer les demandes pour l'ouvrir.

Cette analogie permet également de comprendre pourquoi l'auto-garde est à la fois une perspective libératrice et redoutable. Il n'existe aucune autorité centrale vers laquelle se tourner en cas d'erreur. Il n'y a pas de bouton « Annuler » intégré. Si vous perdez vos clés, aucun support client providentiel ne pourra les recréer pour vous, à moins que vous ne vous soyez menti à vous-même en choisissant un wallet custodial. L'auto-garde fait reposer la responsabilité de vos actifs directement sur vos épaules, ce qui explique à la fois son attrait et la crainte qu'elle inspire.

Cela ne signifie pas que quiconque souhaite plus de sécurité doive immédiatement passer à un wallet non-custodial. Cela signifie que chacun devrait évaluer rigoureusement son modèle de menace et sa capacité à gérer les risques avant de choisir la solution qui y répond le mieux. Certaines personnes sont bien plus en sécurité sur un exchange custodial. D'autres devraient s'initier à l'auto-garde avec de petits montants avant de gérer des dépôts plus conséquents. D'autres encore devraient recourir à des hardware wallets, à des solutions multisig, ou utiliser des wallets séparés pour leur épargne, leurs dépenses courantes, la DeFi, les NFT et leurs phases de test. Les détails comptent, et ils varient d'un utilisateur à l'autre.

L'essentiel est que chacun comprenne le wallet qu'il utilise et les risques qui lui sont associés. Un compte Coinbase n'est pas la même chose qu'un wallet Phantom, qui n'est pas la même chose qu'un wallet Ledger, qui n'est pas non plus un coffre-fort de stockage à froid isolé du réseau. Une phrase de récupération n'est pas un simple mot de passe récupérable auprès du service client. Un solde affiché n'est pas une garantie intangible que ce que vous regardez est hors de danger. Un wallet n'est pas un coffre : c'est un outil permettant d'interagir avec un registre sécurisé grâce à des clés cryptographiques.

Grâce à cette compréhension, l'univers crypto devient moins intimidant et bien plus concret. On cesse de se demander où sont les pièces physiques pour se demander qui contrôle les clés et ce qu'il est possible d'en faire. On pose moins de questions naïves et bien plus de questions pertinentes. Qui contrôle les clés ? Où ces clés peuvent-elles être compromises ? Qu'est-ce que je signe exactement ? Sur quelle chaîne suis-je réellement connecté ? S'agit-il d'un solde sur un exchange ou d'une adresse sur la blockchain ? Puis-je récupérer ces clés sans l'aide d'une entreprise ? Une entreprise peut-elle bloquer mes transactions ? Quelqu'un peut-il me manipuler pour me faire signer une mauvaise action ?

Ce ne sont pas des questions aussi flatteuses que « Combien cela vaut-il ? », mais elles sont infiniment plus cruciales. Le piège d'une mauvaise analogie est qu'elle vous fait vous sentir à la fois faussement protégé et vulnérable. Vous vous sentez rassuré par un objet familier, tout en étant fragilisé dès que les failles de cet objet apparaissent. En réalité, la crypto est exactement aussi sûre ou dangereuse que vous la rendez. La blockchain en elle-même se soucie peu de savoir si vous utilisez un wallet applicatif, un signataire matériel, un exchange ou une banque. Elle se contente d'accepter les signatures valides et de rejeter celles qui ne le sont pas. Dans la crypto, c'est la clé qui règne en maître.

De plus, lorsqu'un utilisateur prend conscience que le wallet est véritablement un composant critique du système de registres de la blockchain, l'importance des solutions pratiques du quotidien devient évidente. Netts Energy Charge Bot s'intègre parfaitement dans cette logique en aidant les utilisateurs de TRON à utiliser l'Energy pour réduire le coût de leurs transferts d'USDT : un seul clic permet de charger l'adresse avec suffisamment d'Energy pour une transaction ; la recharge automatique maintient l'adresse approvisionnée ; les utilisateurs peuvent acheter de l'Energy pour une courte période afin de financer la recharge en TRON Energy, recharger leur TRON Energy et réduire de manière globale les frais sur TRON sans gaspiller de TRX dans des opérations superflues. Il ne s'agit pas de savoir où se trouvent les USDT dans le wallet : il s'agit de s'assurer que l'adresse de signature dispose de suffisamment d'Energy et de Bandwidth pour exécuter chaque transaction au coût le plus bas.