Pourquoi chacun est une cible

Cédric Beau a reçu Louis, qui travaille chez OpSek après avoir fait de la sécurité web2. Son constat est simple : dans le Web3, la protection de données et de fonds attire forcément les acteurs malveillants. Leur motivation reste le retour sur investissement. Avec l’automatisation et l’IA, lancer une campagne d’hameçonnage ou déployer un virus coûte de moins en moins cher. Résultat : même sans être millionnaire, chacun devient une cible potentielle, surtout en cas de détention de cryptos.

Louis invite à voir ces attaques comme un business. Les attaquants ne cassent pas toujours une fenêtre ; ils passent par un email, un appel ou une application. Le maillon faible reste le facteur humain. Louis évoque l’arnaque au président : les attaquants se font passer pour la direction, créent un sentiment d’urgence et de secret, puis obtiennent un virement. Aucune violence, uniquement de la manipulation. Cette méthode fonctionne dans toutes les industries, y compris la crypto.

Failles récentes et réflexes de base

Ces dernières semaines, des failles ont touché PHP, TLS et Ledger. Ces incidents créent un sentiment de panique que les attaquants exploitent immédiatement : fausses alertes de sécurité par email, lettres prétendant que la seed est compromise, demandes de saisie des mots de récupération. Louis insiste : il ne faut jamais penser qu’il est trop tard pour améliorer la sécurité. Il est seulement trop tard une fois l’incident survenu.

Le premier réflexe est de mettre à jour l’intégralité des appareils, téléphone et ordinateur. Ces mises à jour corrigent des vulnérabilités déjà exploitées. Ensuite, si un site habituel affiche une alerte de sécurité ou si le déroulement d’une action diffère des fois précédentes, Louis conseille de s’arrêter. L’urgence est un outil de manipulation très utilisé. Dans la plupart des cas, ne rien faire face à un email alarmiste reste la réponse la plus sûre.

Protéger son ordinateur et ses accès

Louis propose un test simple : imaginer que le PC ou le téléphone soit volé, d’abord verrouillé puis déverrouillé. L’accès aux données et aux fonds reste-t-il possible ? Si un logiciel malveillant tourne sur la machine, la situation équivaut à quelqu’un qui utilise l’appareil déverrouillé. Pour limiter les dégâts, Louis recommande de chiffrer le disque de l’ordinateur : un mot de passe sera nécessaire au démarrage et les données resteront illisibles pour un voleur.

Sur Mac, Louis recommande les outils gratuits d’Objective-See, notamment LuLu et BlockBlock. LuLu agit comme un pare-feu et alerte sur chaque connexion sortante. BlockBlock détecte les programmes persistants au démarrage. Ces outils s’intègrent à VirusTotal et affichent un drapeau coloré selon la dangerosité. Sur Windows, le principe du pare-feu s’applique aussi, même si Louis n’a pas cité de marque précise. Le but consiste à réduire la surface d’attaque, sans prétendre être invulnérable.

Sécuriser ses comptes exchange et ses authentifications

Un exchange peut être une option de stockage acceptable, mais il expose à deux risques principaux : les campagnes d’hameçonnage qui imitent l’exchange, et le social engineering où un faux support pousse à déplacer les fonds. Pour y faire face, Louis recommande les YubiKey. C’est une clé physique, autour de 60 euros l’unité, qui remplace les codes SMS et les applications TOTP classiques. Il suffit de brancher la clé, de saisir le mot de passe, puis de toucher la clé pour valider la connexion. Même si les identifiants sont volés, l’attaquant ne pourra pas se connecter sans la clé.

Le second point concerne le numéro de téléphone. Louis déconseille de l’utiliser comme second facteur ou comme moyen de récupération. Le SIM swap consiste à convaincre l’opérateur de transférer le numéro sur une autre carte SIM, parfois avec complicité interne. L’attaquant reçoit alors les codes de vérification et peut reprendre les comptes. Sur Binance ou Bybit, Louis recommande également d’activer l’option anti-phishing qui ajoute une phrase personnelle dans les emails officiels. L’absence de cette phrase constitue un signal d’alerte.

Hardware wallets et seed phrase : les bons réflexes

Les hot wallets restent une source de risque majeure : si le PC est infecté, les clés privées peuvent être volées. Louis est direct : utiliser encore un hot wallet, c’est une question de temps avant de perdre ses fonds. Il recommande de leur préférer les hardware wallets. Pour l’achat, il conseille de commander auprès du fabricant ou via Amazon en vérifiant que le vendeur est bien le fabricant, et de se faire livrer dans un casier pour éviter de relier son identité à cette commande. Il conseille ensuite de répartir les fonds sur plusieurs marques : Louis utilise des Ledger et des Trezor, mais l’important est de ne pas mettre tous ses œufs dans le même panier.

La seed phrase ne doit jamais toucher un ordinateur ou un téléphone, ni être stockée dans un gestionnaire de mots de passe. Louis propose un découpage en trois morceaux de papier : le premier avec les mots 1 à 16, le deuxième avec les mots 9 à 24, le troisième avec les mots 1 à 8 et 17 à 24. Avec deux morceaux sur trois, la seed complète se reconstitue. Chaque morceau doit être placé dans un lieu sécurisé différent : domicile, coffre à la banque, proche de confiance. Ce principe de multisig papier protège à la fois contre le vol et contre l’incendie.

Sécurité physique et déplacements

Pour éviter de devenir une cible, Louis conseille de taper son nom et son prénom sur Google et de parcourir au moins cinq pages, afin de repérer les informations publiques : adresse, email, anciens comptes. Il recommande ensuite de se désabonner des newsletters, de supprimer les comptes inutilisés et de demander la suppression de ces données. Côté physique, la discrétion s’impose : mieux vaut ne pas afficher publiquement ses cryptos. Les attaquants font des recherches avant d’agir. Montrer un investissement dans la sécurité (alarme, vidéosurveillance) peut dissuader, car un cambrioleur choisira la maison qui paraît la moins protégée.

En voyage, Louis déconseille d’emporter de quoi accéder à l’intégralité du portefeuille. Si un hardware wallet doit voyager, il conseille de le laisser dans le coffre de l’hôtel à l’intérieur d’un sac scellé (tamper-evident bag) avec un numéro, et de photographier le contenu du coffre après chaque ouverture pour détecter toute intrusion. Il recommande aussi de préparer un portefeuille leurre avec quelques fonds. En cas d’agression, rien ne vaut la vie : mieux vaut donner ce qui a été préparé plutôt que de résister. Les systèmes de délais et les multisig évitent de tout perdre en deux clics.

Aller plus loin avec un budget raisonnable

Pour ceux qui protègent un patrimoine plus important, Louis recommande trois investissements complémentaires : des YubiKey pour tous les comptes (environ 200 euros pour trois), un EDR comme CrowdStrike ou SentinelOne (environ 150 euros par appareil et par an), et un appareil dédié type Chromebook (environ 300 dollars) pour les opérations sensibles. L’EDR remplace l’antivirus classique en surveillant les comportements, pas seulement les noms de fichiers. Le Chromebook, limité en installations, réduit fortement le risque d’infection lors des signatures de transactions.

Louis recommande d’ajouter des multisig avec délais sur des plateformes comme Safe : plusieurs personnes doivent approuver, et une transaction signée peut attendre un certain temps avant exécution. Enfin, un audit OSINT par une entreprise spécialisée permet de nettoyer les données déjà exposées. Ces mesures placent la barre beaucoup plus haut pour les attaquants, sans garantie de sécurité absolue.

Être parano, mais agir sans attendre

Louis termine avec une phrase simple : « Soyez parano. » Malheureusement, beaucoup attendent un incident pour s’intéresser à leur sécurité. Les actions gratuites évoquées ici peuvent être passées en revue sans attendre, à commencer par les deux questions du début : si le PC ou le téléphone est volé, verrouillé puis déverrouillé, l’accès aux données et aux fonds reste-t-il possible ?

Les priorités : mettre à jour les appareils, activer le chiffrement du disque, installer un pare-feu sur Mac, supprimer le numéro de téléphone des récupérations, commander des YubiKey et cesser d’utiliser des hot wallets. Chaque couche ajoutée réduit la probabilité de tout perdre. L’objectif consiste à devenir une cible moins facile, sans viser la perfection.

Louis publie ses analyses de sécurité sur X : @theSouilos.