Lors de la création d'un portefeuille crypto, le premier réflexe de beaucoup est de faire une capture d'écran de la phrase de récupération — c'est après tout la méthode la plus rapide et la plus pratique. Mais cette action apparemment anodine est en réalité l'une des principales causes de vol de cryptoactifs. Les données de l'équipe de sécurité SlowMist montrent que plus de 30 % des vols de portefeuilles sont directement liés à un stockage non sécurisé des phrases de récupération, les captures d'écran représentant une grande partie.
Pourquoi est-il dangereux de faire une capture d'écran de sa phrase de récupération ?
Une capture d'écran peut sembler n'être qu'une simple image sur votre téléphone, mais les menaces de sécurité auxquelles elle est exposée sont bien plus nombreuses que vous ne l'imaginez.
La synchronisation automatique cloud est le plus grand risque
Les iPhone ont la synchronisation iCloud Photos activée par défaut, et les appareils Android synchronisent par défaut avec Google Photos. Quelques secondes après la capture, l'image de votre phrase de récupération est déjà téléchargée sur les serveurs cloud.
Les risques liés aux comptes cloud incluent :
- Fuites de mots de passe (les violations de bases de données sont de plus en plus fréquentes)
- Attaques de phishing ciblant les comptes cloud
- Attaques d'ingénierie sociale
- Exposition des identifiants sur les appareils partagés
Une fois un compte cloud compromis, les hackers peuvent parcourir toutes vos photos, trouver la capture de la phrase de récupération et restaurer instantanément votre portefeuille.
La technologie OCR rend les images non sécurisées
Les malwares modernes sont dotés de capacités OCR (Reconnaissance Optique de Caractères) capables de scanner automatiquement toutes les images de la galerie de votre téléphone, d'identifier les mots anglais et de déterminer s'ils forment une phrase de récupération. Cela signifie que même si la phrase existe uniquement sous forme d'image, elle peut être détectée et extraite automatiquement.
Les permissions de la galerie photo sont largement accordées
Combien d'applications sur votre téléphone ont accès à votre galerie ? Applications photo, réseaux sociaux, éditeurs d'images, gestionnaires de fichiers... presque toutes les applications peuvent demander l'accès à la galerie. Toute application malveillante disposant des permissions de galerie peut silencieusement lire votre capture de phrase de récupération.
Scénarios toujours risqués même sans capture sur le téléphone
Les pratiques suivantes, apparemment sûres, comportent également des risques :
Captures sur ordinateur : Les ordinateurs exécutent également de nombreux logiciels pouvant contenir du code malveillant, et les données du presse-papiers et les fichiers de capture peuvent être surveillés.
Capture envoyée par e-mail à soi-même : L'e-mail est l'une des cibles les plus attaquées, et les messages sont généralement stockés non chiffrés.
Capture, impression puis suppression : La capture peut avoir été synchronisée ou scannée avant la suppression, et les données supprimées peuvent être récupérées.
Sauvegarde dans une galerie chiffrée : La plupart des applications de galerie chiffrée n'ont pas été auditées en sécurité et peuvent contenir des vulnérabilités.
Études de cas de vols réels
Cas 1 : Fuite iCloud entraînant une perte d'un million de dollars
Un utilisateur avait sauvegardé une capture de la phrase de récupération MetaMask dans la galerie de son iPhone. Après la synchronisation automatique iCloud, son identifiant Apple a été compromis suite à une fuite de mot de passe. Le hacker a trouvé la capture de la phrase de récupération dans iCloud Photos, a restauré le portefeuille et a transféré environ 1,2 million de dollars en cryptoactifs.
Cas 2 : Vol lors de la réparation du téléphone
Un utilisateur a envoyé son téléphone en réparation pour un remplacement d'écran. Pendant la réparation, le technicien a parcouru la galerie photo du téléphone, a découvert la capture de la phrase de récupération et l'a photographiée. Quelques jours plus tard, tous les actifs du portefeuille ont été transférés.
Cas 3 : Application malveillante scannant la galerie
Un utilisateur a téléchargé une application de "suivi des prix crypto". Après avoir obtenu les permissions de galerie, l'application a automatiquement scanné toutes les images et utilisé l'OCR pour identifier la phrase de récupération. En 24 heures, le portefeuille a été vidé.
Méthodes correctes de sauvegarde de la phrase de récupération
Abandonnez les captures d'écran et utilisez ces méthodes véritablement sécurisées :
- Écriture manuscrite sur papier : Utilisez un stylo résistant à l'eau pour écrire clairement chaque mot et son numéro
- Gravure sur plaque métallique : Utilisez des produits professionnels de plaques en acier, résistants au feu, à l'eau et à la corrosion
- Sauvegardes multiples : Conservez au moins 2 copies stockées dans des endroits sécurisés distincts
- Stockage sécurisé : Coffres-forts, coffres bancaires et autres emplacements physiquement sûrs
- Vérifications régulières : Confirmez que vos sauvegardes sont intactes et lisibles tous les quelques mois
Rappel de sécurité
Protéger votre phrase de récupération nécessite d'éliminer le stockage électronique à la racine :
- Ne faites jamais de capture de votre phrase de récupération : Que ce soit sur téléphone ou ordinateur, les captures ne sont pas sûres
- Désactivez la synchronisation cloud automatique des photos : Ou assurez-vous au minimum que les phrases de récupération n'apparaissent jamais dans votre galerie
- Auditez les permissions des applications : Vérifiez régulièrement quelles applications ont accès à la galerie et supprimez les permissions inutiles
- Assurez un environnement sécurisé lors de la création d'un portefeuille : Désactivez l'enregistrement d'écran et vérifiez l'absence de caméras
- Si vous avez déjà fait une capture : Créez immédiatement un nouveau portefeuille, transférez vos actifs et supprimez la capture (y compris les copies cloud)
- Adoptez l'habitude des sauvegardes sécurisées : Quelques minutes de sauvegarde manuscrite valent bien mieux que risquer des années d'actifs accumulés
Si vous trouvez la gestion de sécurité d'un portefeuille auto-hébergé trop complexe, vous pouvez aussi choisir de stocker vos actifs sur un grand exchange régulé. Binance offre une sécurité professionnelle de plateforme, ou téléchargez l'application Binance — les utilisateurs iPhone peuvent consulter le guide d'installation iOS pour une gestion facile.
Ajouter un filigrane à la capture peut-il empêcher le vol ?
Non. Les filigranes n'affectent pas la reconnaissance ni l'utilisation d'une phrase de récupération. Tant qu'un hacker peut voir les 12/24 mots et leur ordre, il peut restaurer votre portefeuille. Les filigranes servent uniquement à « tracer la source de la fuite » — ils ne peuvent pas empêcher le vol d'actifs.
Est-il sûr de mettre la capture dans un dossier sécurisé du téléphone ?
Relativement sûr mais toujours déconseillé. Les dossiers sécurisés comme Samsung Knox ou l'Espace Privé de Huawei fournissent une couche de chiffrement supplémentaire, mais ces protections peuvent être contournées si le téléphone est rooté ou jailbreaké. Les supports physiques (papier/plaques métalliques) restent le choix le plus fiable.
Ma phrase de récupération est-elle en sécurité après suppression de la capture ?
Pas complètement. Les fichiers supprimés peuvent être récupérés avec des outils de récupération de données, les copies synchronisées dans le cloud peuvent ne pas avoir été supprimées, et un malware peut avoir lu et téléchargé le contenu pendant que la capture existait. Si la capture existe depuis un certain temps, l'approche la plus sûre est de créer un nouveau portefeuille et de transférer vos actifs.
Chiffrer et compresser la capture est-il viable ?
C'est un peu plus sûr qu'une capture en clair, mais cela ajoute de la complexité à la récupération et comporte toujours le risque que le chiffrement soit cassé après la compromission de l'appareil. Si vous devez utiliser une sauvegarde électronique comme méthode complémentaire, un fichier chiffré VeraCrypt avec un mot de passe fort est une option relativement bonne, mais elle ne devrait pas être votre seule sauvegarde.