La permission que vous ne saviez pas que vous aviez donnée
J'ai passé 25 ans chez IBM à créer des systèmes qui traitaient des millions de transactions par jour. Systèmes bancaires. Plateformes d'assurance. Réseaux logistiques. Au cours de toutes ces années, un principe n’a jamais changé : la faille de sécurité la plus dangereuse n’est pas une effraction. C'est une porte laissée ouverte par le propriétaire de l'immeuble.
Ce principe s’applique plus aux crypto-monnaies en 2026 qu’à l’informatique d’entreprise.
Au cours des derniers mois, un nombre croissant de personnes sont entrées dans OneMiners endroits à Prague et à New York avec le même problème. Ils ont connecté leur portefeuille à un site Web. Ils ont approuvé une transaction. Ils n'ont pas compris ce qu'ils approuvaient. Et au moment où ils ont réalisé que quelque chose n’allait pas, leurs actifs avaient été déplacés – non pas parce que quelqu’un avait piraté leur portefeuille, mais parce qu’ils avaient, sans le savoir, autorisé ce mouvement.
Il ne s'agit pas d'une panne technique. Il s'agit d'un manque d'information. Et les lacunes en matière d’information peuvent être résolues.
Comment fonctionnent réellement les approbations de portefeuille
Laissez-moi vous expliquer cela de la même manière que j'expliquerais une architecture système à un ingénieur junior : clairement, sans raccourcis et sans supposer que vous le savez déjà.
Lorsque vous utilisez un portefeuille de crypto-monnaie, vous disposez d'un clé privée. Considérez cela comme la clé principale d’un bâtiment. Chaque porte, chaque pièce, chaque coffre-fort : une seule clé les ouvre tous. Tant que vous détenez cette clé et que personne d’autre n’en possède une copie, votre bâtiment est sécurisé.
Maintenant, c’est ici que cela devient intéressant.
Certaines applications – échanges décentralisés, plateformes de jetons, protocoles DeFi – demandent à votre portefeuille « d'approuver » une interaction. En apparence, cela semble routinier. Une petite fenêtre contextuelle apparaît. Vous cliquez sur "Confirmer". C’est comme accepter des termes et conditions.
Mais ce que vous faites peut-être, c’est remettre à quelqu’un une copie de la clé d’une chambre spécifique. Pas votre clé principale, mais une clé qui dit : "Vous pouvez entrer dans cette pièce et prendre ce que vous trouvez, à tout moment, sans me le demander à nouveau."
| Ce que vous voyez | Ce qu'il peut réellement faire |
|---|---|
| "Approuver l'accès au jeton" | Accorde une autorisation illimitée pour déplacer un jeton spécifique de votre portefeuille |
| "Confirmer la transaction" | Peut inclure une approbation cachée pour de futures transactions que vous n'avez pas initiées |
| "Connecter le portefeuille" | Généralement sûr – mais combiné à une approbation, cela ouvre la porte |
| "Réclamez des jetons gratuits" | Peut nécessiter une approbation qui accorde l'accès à vos actifs existants |
L’idée clé : Vous n'envoyez pas de fonds. Vous autorisez quelqu'un d'autre à les déplacer plus tard. La perte ne se produit pas immédiatement : elle se produit lorsque le parti que vous avez approuvé décide d’agir.
En informatique d'entreprise, nous appelons cela une « autorisation permanente ». Il s’agit de l’autorisation la plus auditée et la plus restreinte de tous les systèmes que j’ai jamais construit. En crypto, n’importe qui peut en demander un avec une seule fenêtre contextuelle.
Comment les stratagèmes trompeurs utilisent ce mécanisme
Je ne vais pas utiliser un langage dramatique. Je vais décrire les mécanismes de la même manière que je décrirais une vulnérabilité du système dans une revue d'architecture – de manière factuelle et avec suffisamment de détails pour que vous puissiez la reconnaître.
Le modèle typique
- L'appât. Vous découvrez un nouveau token, un « airdrop gratuit » ou une opportunité d'investissement. Il arrive via les réseaux sociaux, une application de messagerie ou parfois un jeton apparaît directement dans votre portefeuille que vous n'avez jamais acheté.
- L'urgence. Le message inclut la pression du temps : « Réclamez dans les 24 heures ». "Allocation limitée." "Les prix augmentent demain." En 25 ans de travail en entreprise, je n'ai jamais vu de système légitime vous obligeant à prendre une décision de sécurité en moins d'une heure.
- L'approbation. Vous êtes dirigé vers un site Web d’aspect professionnel. Il vous demande de connecter votre portefeuille et d'approuver une transaction. Enfouie dans les détails se trouve une autorisation qui accorde un accès illimité à vos jetons.
- L'extraction. Des heures, des jours ou parfois des semaines plus tard, la partie approuvée utilise cette autorisation permanente pour déplacer vos actifs. La transaction est confirmée sur la blockchain et irréversible.
Pourquoi ça marche : Il ne s’agit pas ici d’intelligence. J'ai vu des docteurs en informatique commettre cette erreur. L’interface d’approbation de la plupart des portefeuilles n’a pas été conçue pour être claire, mais pour être fonctionnelle. Les informations sont techniquement présentes, mais nécessitent une expertise pour être interprétées. C'est un échec de conception, pas un échec de l'utilisateur.
Signes d’avertissement : la liste de contrôle
En matière de sécurité d'entreprise, nous utilisons des listes de contrôle. Non pas parce que les gens sont négligents, mais parce que même les personnes prudentes bénéficient d’un examen structuré avant de prendre une décision. Voici le vôtre.
Avant d'approuver quoi que ce soit, vérifiez-les
- Langue d'urgence — "Agissez maintenant", "durée limitée", "expire dans 24 heures". Les protocoles légitimes n’expirent pas du jour au lendemain.
- Demandes de secret — "Ne partagez pas cette opportunité." Les plateformes légitimes veulent des utilisateurs. Ils ne chuchotent pas.
- Jetons inconnus dans votre portefeuille — Les jetons que vous n'avez pas achetés et qui apparaissent dans votre portefeuille ne sont pas des cadeaux. Ce sont des appâts conçus pour vous conduire vers un site d’approbation malveillant.
- Descriptions d'approbation vagues — Si la fenêtre contextuelle du portefeuille n'indique pas clairement ce que vous approuvez et pour quel montant, arrêtez.
- Aucune explication claire de ce que fait l'approbation — Un protocole légitime expliquera ce que vous approuvez et pourquoi. Si l’explication manque, traitez-la comme un avertissement.
- Montants d'approbation de jetons illimités — Si l'approbation dépasse ce qu'exige la transaction ou indique qu'elle est « illimitée », il s'agit d'un risque important.
- Le site Web n'est pas familier — Vérifiez l'URL caractère par caractère. Les sites frauduleux diffèrent souvent par une seule lettre.
La règle des deux minutes : Si vous ne pouvez pas expliquer à quelqu'un d'autre — dans un langage simple — ce que fera une approbation et pourquoi vous l'accordez, ne l'approuve pas. Fermez le navigateur. Éloignez-vous. La blockchain sera toujours là demain.
Que faire si vous avez approuvé quelque chose que vous n'auriez pas dû
La vitesse compte ici. Pas de panique, de la vitesse.
Étapes immédiates
- N'approuvez pas de transactions supplémentaires. Si un site demande une deuxième approbation pour « corriger » ou « annuler » la première, il s’agit probablement d’une autre demande malveillante.
- Vérifiez vos approbations actives. Des outils tels que revoke.cash ou le vérificateur d'approbation de jetons d'Etherscan vous permettent de vérifier et de révoquer les autorisations permanentes.
- Révoquer immédiatement les approbations suspectes. Cela coûte des frais de réseau minimes mais supprime l'autorisation permanente. Si la partie malveillante n’a pas encore agi, la révocation empêche toute extraction future.
- Déplacez les actifs restants vers un nouveau portefeuille. En cas de doute, transférez vos actifs restants vers un nouveau portefeuille qui n'a jamais interagi avec le site suspect.
- Documentez tout. Captures d'écran du site, hachages de transaction et détails d'approbation. Ces informations sont utiles pour signaler et comprendre ce qui s’est passé.
Meilleures pratiques : créer des habitudes de sécurité à long terme
La sécurité n'est pas une action ponctuelle. C'est un système. En 25 ans chez IBM, les organisations qui sont restées sécurisées n'étaient pas celles dotées des meilleurs pare-feu, mais celles qui avaient les meilleures habitudes.
Les habitudes qui comptent
- Utilisez des portefeuilles séparés. Gardez un portefeuille « chaud » avec de petites sommes pour un usage quotidien. Conservez les avoirs principaux dans un portefeuille qui ne se connecte jamais à des sites inconnus. Pensez compte courant et compte d’épargne.
- Examinez les autorisations mensuellement. Vérifiez vos approbations actives sur revoke.cash. Révoquez tout ce dont vous n’avez plus besoin. Les autorisations permanentes sont des portes ouvertes que vous avez oubliées.
- Vérifiez avant de vous connecter. Tapez vous-même les adresses ou utilisez des signets. Ne cliquez pas sur les liens des messages ou des réseaux sociaux.
- Utilisez des portefeuilles matériels pour les avoirs importants. Confirmation physique de chaque transaction – la différence entre un bâtiment avec un agent de sécurité et un autre avec un hall ouvert.
- Restez informé. Suivez des ressources éducatives réputées comme btcfq.com, qui fournit des guides clairs et sans jargon sur les principes fondamentaux des crypto-monnaies.
Quand vous avez besoin de parler à quelqu'un
Voici ce que j’ai appris au cours d’une décennie de travail dans ce domaine : le moment le plus dangereux pour quiconque travaille dans le domaine de la cryptographie n’est pas celui où il est confronté à un stratagème trompeur. C’est le moment d’après – où ils se sentent confus, ne savent pas ce qui s’est passé et ne savent pas à qui s’adresser.
Internet regorge de conseils. Une partie est bonne. Certains d’entre eux aggraveront la situation. Et il y a quelque chose de fondamentalement différent dans le fait de s'asseoir en face d'une vraie personne, de lui montrer votre écran et de dire : "Pouvez-vous m'aider à comprendre ce qui s'est passé ici ?"
C'est l'une des choses qui font OneMiners véritablement différent.
Entrez et parlez avec l’équipe. Que vous n'êtes pas sûr d'une interaction avec le portefeuille, que vous souhaitiez que quelqu'un examine une transaction ou que vous souhaitiez simplement comprendre le fonctionnement des autorisations, avoir cette conversation en face à face change tout.
Le même niveau de soutien en personne. Apportez vos questions. Apportez vos préoccupations. Apportez l'ordinateur portable si vous souhaitez que quelqu'un regarde l'écran avec vous. Rien ne remplace la présence d’une personne compétente dans la salle.
Le personnel de OneMiners ne sont pas seulement des mineurs et des experts en matériel informatique. Ils comprennent les portefeuilles, les transactions, les approbations et le paysage plus large de la sécurité. Lorsque cinq clients sont arrivés avec le même type de problème en un seul mois, l'équipe a reconnu la tendance et a commencé à éduquer les visiteurs de manière proactive. C’est le genre de réponse que vous recevez de la part de personnes qui se soucient réellement de la communauté qu’elles servent.
Vous pouvez également utiliser asicprofit.com pour calculer votre rentabilité minière, et btcfq.com pour approfondir votre compréhension des principes fondamentaux du Bitcoin – car mieux vous comprenez l’écosystème, plus il est difficile pour quiconque de vous induire en erreur.
La vision à long terme
Je travaille dans la technologie avant qu'Internet ne soit commercial. J'ai vu des technologies apparaître, perturber, échouer et perdurer. La crypto-monnaie – Bitcoin en particulier – appartient à la catégorie « endurer ». Je l'ai dit en 2014, et je le répète maintenant : cette technologie reste.
Mais la technologie qui perdure doit être abordée avec la même discipline que tout système à long terme. On ne construit pas une plateforme de 25 ans sur des raccourcis et des décisions rapides. Vous le construisez sur la compréhension, sur de bonnes habitudes et sur la présence des bonnes personnes autour de vous lorsque des questions se posent.
L’espace cryptographique n’est pas intrinsèquement dangereux. C'est intrinsèquement nouveau. Et les nouveaux systèmes nécessitent toujours une courbe d’apprentissage. Les personnes qui réussissent à franchir cette courbe ne sont pas les plus brillantes techniquement – elles sont les plus méthodiques.
Soyez méthodique. Vérifiez avant d'approuver.
Et quand quelque chose ne va pas -
entrez et parlez à quelqu’un qui l’a déjà vu.
Vos actifs méritent d’être protégés. Votre confiance mérite d’être bâtie. Et ces deux choses sont plus faciles lorsque vous ne le faites pas seul.
