Comment vérifier si un portefeuille Bitcoin est sûr (test de 5 minutes)
Vous pouvez vérifier en cinq minutes environ si un portefeuille Bitcoin est sûr grâce à WalletScrutiny, un organisme indépendant à but non lucratif qui vérifie si l'application d'un portefeuille correspond bien au code source publié. Si un portefeuille réussit tous leurs tests, c'est un signe fort de fiabilité. S'il s'agit d'un portefeuille à code source fermé ou d'un portefeuille de garde, vous devez en être conscient avant de lui confier vos économies.
Comment vérifier si un portefeuille Bitcoin est sûr avec WalletScrutiny
WalletScrutiny a passé au crible des milliers de portefeuilles Bitcoin, qu’ils soient mobiles, matériels, de bureau ou en ligne. Leur processus d’évaluation comprend 17 tests distincts pour chaque portefeuille, et la question centrale est simple : des experts indépendants peuvent-ils vérifier que l’application que vous téléchargez a bien été développée à partir du code source public ?
Lorsque la réponse est oui, le portefeuille est dit « reproductible ». C’est plus important que la plupart des gens ne le pensent. Un portefeuille reproductible signifie que n’importe qui peut récupérer le code publié, le compiler soi-même et vérifier que le résultat correspond bien à l’application disponible sur la boutique d’applications. Une entreprise proposant un portefeuille reproductible ne peut pas y glisser discrètement du code supplémentaire sans se faire prendre. Avec un portefeuille à code source fermé, vous devez simplement faire confiance à l’entreprise.
WalletScrutiny est géré par des bénévoles, financé par des dons et ne commercialise pas de classements. C'est précisément cette indépendance qui justifie son utilisation : personne ne paie pour obtenir un avis favorable.
Le contrôle de sécurité en 5 minutes
Voici la procédure exacte. Cela prend environ cinq minutes la première fois, et moins d'une minute une fois que l'on sait ce qu'il faut rechercher.
- Cherche ton portefeuille. Rendez-vous sur walletscrutiny.com et saisissez le nom du portefeuille dans le champ de recherche. Veillez à choisir le bon produit, car les portefeuilles populaires font souvent l'objet d'imitations portant des noms similaires.
- Lisez d'abord le badge « verdict ». Chaque fiche de portefeuille s'ouvre sur un verdict qui résume l'ensemble des 17 tests. Ce badge unique vous fournit l'essentiel de ce que vous devez savoir.
- Vérifiez votre plateforme, pas seulement votre portefeuille. Un portefeuille peut fonctionner sur Android mais ne pas fonctionner sur iPhone, car chaque application est développée et vérifiée séparément. Faites défiler la page jusqu'à la section correspondant à la plateforme que vous utilisez.
- Vérifiez la date de révision. Les portefeuilles numériques évoluent sans cesse, et un avis datant d'il y a deux ans décrit une application qui n'existe plus. Un avis récent a bien plus de valeur qu'un ancien.
- Découvrez les détails qui se cachent derrière ce badge. Chaque page de verdict explique en termes simples ce qui a été validé et ce qui a échoué. Prenez deux minutes pour la consulter. La différence entre “ problèmes de compilation ” et “ code source manquant ” détermine la marche à suivre.
Que signifient ces verdicts ?
WalletScrutiny utilise un ensemble fixe de verdicts. Voici ce que chacun d'entre eux signifie concrètement pour vous :
- Tous les tests ont été réussis. Le résultat le plus convaincant. Soit l'application est manifestement construite à partir du code source publié, soit le produit n'a tout simplement pas besoin d'applications compilées. C'est le verdict que vous souhaitez obtenir pour tout portefeuille contenant une épargne importante.
- Problèmes liés à la compilation ou au code source. Une partie du code est publique, mais les vérificateurs n'ont pas pu prouver que l'application publiée avait bien été générée à partir de celui-ci. Il peut y avoir une explication innocente, ou peut-être pas. Utilisez ce portefeuille avec prudence et ne conservez que de petites sommes jusqu'à ce que la situation s'éclaircisse.
- Code source manquant. Ce portefeuille est à code source fermé. Le code qui s'exécute sur votre téléphone est une « boîte noire », et vous devez vous fier aux affirmations de l'entreprise quant à son fonctionnement. C'est acceptable pour l'argent de poche que vous dépenserez cette semaine, mais pas pour l'épargne dont vous aurez besoin dans dix ans.
- L'utilisateur ne reçoit qu'une reconnaissance de dette. Ce portefeuille est un portefeuille de garde. Le prestataire détient vos bitcoins et vous disposez d'un solde sur votre compte. Si l'entreprise bloque les retraits, est victime d'un piratage ou fait faillite, vos bitcoins sont menacés. C'est tout le contraire de l'auto-garde, aussi élégante que puisse paraître l'application.
- Gestion non sécurisée des clés. De par sa conception, ce produit expose vos clés privées à des systèmes moins sécurisés ou signe des transactions à leur insu. Aucun gain de commodité ne justifie cela. Ne l'utilisez pas.
- Faux. Cette application imite un portefeuille très connu et est très probablement frauduleuse. Si elle se trouve sur votre téléphone, supprimez-la immédiatement ; si vous y avez saisi une phrase de récupération, considérez que vos fonds sont compromis.
- En attente de révision. WalletScrutiny connaît ce produit, mais n'a pas encore terminé de le tester. Revenez plus tard plutôt que de supposer le pire ou le meilleur.
Ce que WalletScrutiny ne peut pas vous dire
Un verdict « propre » signifie que le code est authentique. Cela ne signifie pas pour autant que votre téléchargement est sûr. Les escrocs publient de fausses versions de portefeuilles populaires dans les boutiques d’applications, achètent des publicités pour des sites de hameçonnage qui sont visuellement identiques aux vrais, et envoient des messages privés en se faisant passer pour des membres de l’équipe d’assistance. Aucun audit de code ne vous protège contre l’installation d’une mauvaise application.
La deuxième partie de cette vérification de sécurité dépend donc de vous : procurez-vous toujours le lien de téléchargement sur le site officiel du développeur du portefeuille, en le saisissant vous-même dans votre navigateur. N’installez jamais un portefeuille à partir d’une publicité, d’un lien contenu dans un e-mail, d’un résultat de recherche que vous n’avez pas vérifié ou d’un lien que quelqu’un vous a envoyé. Et aucun test, quel qu’il soit, ne peut détecter une photo de votre phrase de récupération stockée dans la pellicule de votre appareil photo, ni un “ agent du service client ” qui vous persuade avec des paroles mielleuses de lui lire votre sauvegarde.
Considérez cela comme deux barrières. WalletScrutiny répond à la question “ ce logiciel est-il fiable ? ”. Vos propres habitudes répondent à la question “ ai-je obtenu la version authentique et l'utilise-je en toute sécurité ? ”. Il faut que ces deux barrières soient fermées.
Que faire si votre portefeuille obtient un mauvais résultat ?
Ne paniquez pas, et surtout, ne vous précipitez pas. C'est en transférant des bitcoins sous la pression que l'on commet des erreurs.
Si vous utilisez un portefeuille de type « custodial » et que vous souhaitez passer à une véritable auto-garde, l’ordre des opérations est crucial. Tout d’abord, configurez un portefeuille d’auto-garde réputé qui réponde à tous les critères de sécurité. Ensuite, sauvegardez correctement sa nouvelle phrase de récupération, au minimum sur papier, et vérifiez la sauvegarde en la restaurant. Troisièmement, envoyez une petite transaction test vers le nouveau portefeuille et assurez-vous qu’elle arrive à bon port. Ce n’est qu’alors que vous pourrez transférer le reste, en laissant une toute petite somme sur l’ancien portefeuille jusqu’à ce que vous soyez pleinement rassuré.
Si votre portefeuille est à code source fermé mais non dépositaire, faites votre choix en fonction des montants. L’argent de poche pour la semaine peut rester où il est pendant que vous recherchez des alternatives. Vos économies devraient être transférées vers un portefeuille dont la fiabilité est avérée. Et une règle sans exception : ne saisissez jamais votre phrase de récupération actuelle dans une nouvelle application que vous n’avez pas encore vérifiée. S’il existe le moindre risque que votre phrase actuelle ait été exposée, par exemple à une application présentant un verdict “ faux ”, ne l’importez pas dans le nouveau portefeuille. Créez un nouveau portefeuille avec une nouvelle phrase de récupération et transférez-y vos fonds.
