Pourquoi il ne faut jamais partager sa phrase de récupération

Équipe de CrabChain.org | Mis à jour le 13 octobre 2026

Dans l’écosystème des cryptomonnaies, il existe une règle de sécurité qui n’admet pratiquement aucune exception. La phrase seed, également appelée phrase de récupération, ne doit jamais être communiquée à une autre personne. Son importance tient au fait qu’il ne s’agit pas simplement d’un mot de passe servant à accéder à une application, mais d’un élément cryptographique pouvant permettre de reconstruire les clés privées associées à un portefeuille et, avec elles, le contrôle des actifs numériques liés à certaines adresses. Quiconque obtient cette information peut éventuellement disposer des mêmes capacités de contrôle que le propriétaire légitime, même sans avoir accès au téléphone, à l’ordinateur ou à l’application d’origine.

La confusion commence souvent parce qu’un portefeuille ne fonctionne pas comme un compte bancaire classique. Dans une institution financière, l’utilisateur s’identifie auprès d’une infrastructure centralisée qui vérifie son identité et applique des mécanismes supplémentaires avant d’autoriser une transaction. Avec un portefeuille non dépositaire, le contrôle réside dans les clés cryptographiques. La blockchain enregistre les soldes et les transactions, mais ne reconnaît pas qui est une personne au sens juridique et ne dispose pas d’un mécanisme central capable d’annuler un transfert effectué avec la clé correspondante. Dans ce modèle, protéger la clé privée relève directement de la responsabilité du propriétaire.

Ce qu’elle est et pourquoi elle compte

Une phrase de récupération est une représentation lisible par l’être humain d’informations cryptographiques permettant de restaurer un portefeuille. De nombreux systèmes utilisent des normes telles que BIP-39, dans lesquelles une suite de mots représente une certaine quantité d’entropie et peut servir de point de départ à la dérivation déterministe des clés. À partir de cette seed, un logiciel compatible peut reconstituer de nombreux comptes et adresses selon les règles de dérivation applicables. Ainsi, remettre la phrase de récupération à un tiers revient, en pratique, à lui donner la possibilité de reconstruire l’accès cryptographique aux fonds qui en dépendent.

Ce principe explique l’une des différences fondamentales entre une phrase seed et un mot de passe classique. Un mot de passe peut être modifié si l’on soupçonne qu’une personne l’a obtenu. Une phrase de récupération compromise ne peut pas simplement être modifiée pour rendre le même portefeuille à nouveau sûr. Dès qu’une autre personne connaît la seed, l’information n’est plus secrète. L’utilisateur peut ensuite créer un nouveau portefeuille avec une nouvelle phrase et transférer les actifs, mais le secret d’origine doit être considéré comme compromis. Conserver des fonds dans un portefeuille dont la seed a été exposée revient à accepter un risque qui ne disparaît pas en changeant d’appareil ou en réinstallant l’application.

Il n’est pas non plus nécessaire que l’attaquant connaisse l’adresse publique de la victime pour que la fuite soit potentiellement dangereuse. S’il dispose de la phrase et utilise un logiciel compatible, il peut tenter de découvrir les comptes qui en sont dérivés et d’en vérifier les soldes. Le risque augmente également lorsque le portefeuille contient différents actifs, plusieurs réseaux ou plusieurs comptes dérivés de la même seed. Une seule fuite peut affecter toute une structure d’auto-conservation et pas seulement l’adresse que le propriétaire utilise le plus fréquemment.

Ce que l’on peut partager

L’une des erreurs les plus courantes consiste à confondre la phrase seed avec d’autres informations visibles dans un portefeuille. Les adresses publiques peuvent être partagées pour recevoir des fonds. Un identifiant de transaction peut également être rendu public et certaines données d’activité peuvent être consultées dans les explorateurs de blockchain. Aucun de ces éléments n’est équivalent à la seed. Une adresse publique identifie une destination pour un transfert, tandis que la clé privée et les informations permettant de la dériver autorisent les transactions. Du point de vue de la sécurité, la première peut être comparée à un identifiant de réception, tandis que la seconde appartient à une catégorie complètement différente.

Ingénierie sociale

Le problème est que les criminels comprennent parfaitement cette différence et l’exploitent pour développer des campagnes d’ingénierie sociale. Un faux service client peut prétendre avoir besoin de la phrase seed pour valider un compte ou résoudre un prétendu problème technique. Un site frauduleux peut afficher un message d’erreur et demander la phrase de récupération pour restaurer le portefeuille. Il existe également des arnaques promettant des récompenses, des airdrops, des contrôles de sécurité ou des migrations urgentes qui présentent le champ de saisie de la seed comme s’il s’agissait d’une procédure normale. Dans tous ces cas, l’objectif habituel est d’obtenir directement le secret permettant de contrôler les fonds.

La pression psychologique constitue une partie essentielle de ces techniques. Les escrocs cherchent à créer un sentiment d’urgence, signalent une activité prétendument suspecte ou présentent une opportunité qui disparaîtra dans quelques minutes. L’utilisateur peut croire qu’il coopère avec un mécanisme de sécurité alors qu’en réalité il fournit l’information qui rend le vol possible. Un point particulièrement important est qu’un portefeuille légitime peut afficher des avertissements liés à la gestion de la récupération, mais la demande de la phrase complète par une entreprise ou une personne pour accéder aux fonds doit être considérée comme un signal critique de fraude.

Exposition accidentelle

L’exposition ne résulte pas non plus nécessairement d’une escroquerie directe. Photographier la seed et stocker l’image sur un téléphone introduit des risques inutiles. Il peut également être dangereux de la conserver dans des services de stockage en nuage, de l’envoyer par e-mail, de la copier dans des applications de notes synchronisées ou de la stocker dans des documents susceptibles d’être indexés ou sauvegardés automatiquement. Le problème n’est pas uniquement que quelqu’un pourrait voir physiquement l’appareil. Un compte compromis, un ordinateur infecté ou une sauvegarde mal protégée peuvent constituer des canaux indirects permettant d’obtenir l’information.

Pour cette raison, la gestion d’une phrase seed doit être comprise comme la protection d’un secret et non comme une simple tâche administrative. Le stockage hors ligne réduit certains risques numériques, tandis qu’une copie physique protégée contre la perte, l’humidité, le feu ou l’accès de tiers peut apporter une couche supplémentaire de résilience. Lorsque les actifs ont une valeur élevée, certaines personnes utilisent des solutions spécialisées de stockage physique ou des dispositifs d’auto-conservation plus sophistiqués. Toutefois, même le système le plus avancé perd son utilité si la phrase seed finit par circuler dans une conversation, une photographie ou sur un site frauduleux.

Un autre point important est de comprendre que les personnes les plus vulnérables ne sont pas toujours celles qui manquent de connaissances techniques. Un utilisateur expérimenté peut devenir victime précisément parce qu’il connaît les véritables processus de récupération et de signature de transactions. Les attaquants peuvent reproduire avec précision le langage utilisé par les applications légitimes et construire des pages visuellement convaincantes. Les connaissances techniques aident, mais elles n’éliminent pas le principe fondamental de sécurité. Aucune urgence, promotion, procédure de support technique ou vérification ne peut justifier la communication d’une phrase seed à un tiers.

Si vous pensez qu’elle a été exposée

Si une personne soupçonne que sa phrase de récupération a été communiquée, photographiée, saisie sur un site ou stockée dans un environnement compromis, la priorité doit être de considérer que le secret n’est plus sécurisé. Il convient alors d’évaluer rapidement l’exposition et, si nécessaire, de créer un nouveau portefeuille depuis un environnement fiable et de transférer les actifs vers les nouvelles adresses. Il est également important d’examiner les éventuelles autorisations de contrats et autres mécanismes d’autorisation lorsque des applications décentralisées ont été utilisées, car le risque de sécurité ne se limite pas toujours à la seed.

La véritable fonction d’une phrase de récupération est de permettre de retrouver le contrôle d’un portefeuille. Précisément en raison de cette capacité, elle doit être considérée comme l’une des informations les plus sensibles dans l’auto-conservation. Une adresse publique peut être partagée pour recevoir des cryptomonnaies, mais la phrase de récupération appartient à la catégorie des secrets qui ne doivent pas être divulgués. Dans un système où aucune autorité centrale ne peut annuler un transfert signé par la clé correspondante, protéger cette information n’est pas une recommandation secondaire, mais l’une des conditions fondamentales du maintien du contrôle sur les actifs numériques.

Sources

• BIP-39: Mnemonic code for generating deterministic keys — Bitcoin Improvement Proposals (en anglais)
• Ethereum security and scam prevention — ethereum.org (en anglais)