L’essentiel : Six réflexes protègent vos cryptos : garder votre phrase de récupération hors ligne et pour vous seul ; verrouiller votre e-mail et vos comptes par un mot de passe unique et une double authentification sans SMS ; n’installer que les applications officielles, à jour ; vérifier chaque envoi avant de le signer ; rester discret ; vous méfier de toute urgence et de toute promesse de gain. La liste de contrôle, en fin d’article, les reprend ligne par ligne.
Ce dernier article de l’étape « Se protéger » rassemble ce que les précédents détaillent : les arnaques crypto, le hameçonnage et les drainers, puis les réglages de votre compte sur une plateforme. Aucun de ces réflexes ne demande de compétence technique. Relisez-les avant chaque opération importante.
1. Votre phrase de récupération reste hors ligne, et à vous seul
Les 12 à 24 mots de votre phrase de récupération donnent un accès complet à vos cryptos, sans code ni appareil. Notez-les sur papier ou sur métal, jamais en photo, dans un fichier ou dans un message. Ne les tapez que sur l’écran de votre portefeuille matériel, pour une restauration.
Aucun support sérieux ne vous les demandera : Ledger le rappelle en tête de son centre d’aide. Quiconque vous les réclame est un escroc. Comment les noter et où les ranger : voyez notre article sur la phrase de récupération.
2. Votre e-mail et vos comptes sont verrouillés
Utilisez un mot de passe différent pour chaque service, d’au moins 12 signes, rangé dans un gestionnaire de mots de passe. Ajoutez une double authentification par application, clé d’accès ou clé de sécurité, plutôt que par SMS, qu’un escroc peut détourner en se faisant attribuer votre numéro.
Commencez par votre messagerie : c’est elle qui permet de réinitialiser tous vos autres comptes. Sur une plateforme, activez aussi la liste blanche des adresses de retrait. Le pas-à-pas est dans notre article sur les réglages du compte.
3. Seulement des applications officielles, toujours à jour
Les fausses applications se glissent jusque dans les boutiques officielles. En avril 2026, BleepingComputer a révélé qu’une fausse application Ledger Live, publiée sur l’App Store d’Apple pour Mac, avait permis de voler 9,5 millions de dollars à 50 victimes. Téléchargez vos applications de portefeuille et de plateforme depuis le site de l’éditeur, en partant d’une adresse tapée à la main ou d’un favori, jamais d’une publicité ou d’un lien reçu.
Installez les mises à jour du système et des applications dès qu’elles sont proposées : Cybermalveillance.gouv.fr en fait l’une de ses dix mesures essentielles, avec le téléchargement des applications sur les seuls sites officiels. Ces mises à jour corrigent des failles.
4. Chaque envoi est vérifié avant d’être signé
Une transaction de cryptos ne s’annule pas. Avant de valider, comparez l’adresse du destinataire en entier, pas seulement le début et la fin : l’« empoisonnement d’adresse » consiste à glisser dans votre historique une adresse qui ressemble à celle que vous utilisez, en espérant que vous la copiiez. Le 3 mai 2024, un investisseur a ainsi envoyé l’équivalent de 68 millions de dollars à un escroc, selon CoinDesk ; fait rare, le voleur a fini par rendre l’essentiel des fonds.
Pour un premier envoi vers une adresse, commencez par un petit montant. Avec un portefeuille matériel, relisez l’adresse et l’opération sur son écran et refusez tout ce qui ne s’affiche pas clairement : les gestes propres à ces appareils sont dans notre guide pour utiliser un portefeuille matériel en sécurité. Et ne signez jamais une autorisation demandée par un site que vous ne connaissez pas.
5. Vous restez discret
Les détenteurs de cryptos sont aussi visés hors ligne : le ministère de l’Intérieur leur consacre une fiche de conseils, mise à jour le 4 septembre 2026. Elle demande de garder secrets votre patrimoine, vos adresses et vos opérations, et d’appeler immédiatement le 17 en cas de menace ou d’enlèvement. Concrètement : ne dites pas combien vous détenez, ne publiez pas de capture de vos soldes, et évitez d’afficher votre activité crypto sur les réseaux sociaux sous votre vrai nom.
6. Toute urgence ou promesse de gain vous met en alerte
Les escroqueries jouent sur deux ressorts : la peur (« votre compte va être bloqué », « mettez à jour maintenant ») et l’appât du gain (rendement garanti, conseiller qui vous pousse à investir davantage). Un vrai support ne vous presse pas et ne vous demande jamais vos codes ni votre phrase de récupération. Un rendement élevé ne va jamais sans risque élevé : un rendement « garanti » est un signal d’alerte.
Avant de confier de l’argent à un site ou à un intermédiaire, vérifiez qu’il ne figure pas sur les listes noires de l’AMF et qu’il est autorisé à vous servir en France. Les signaux d’alerte et les démarches à faire si vous êtes victime sont dans notre article sur les arnaques.
La liste de contrôle
Cochez chaque ligne une fois ; revenez-y si vous changez de téléphone, de plateforme ou de portefeuille.
- Ma phrase de récupération est notée hors ligne, jamais photographiée, et je ne la tape que sur mon portefeuille matériel.
- Mon e-mail et chaque plateforme ont un mot de passe unique, rangé dans un gestionnaire.
- La double authentification passe par une application, une clé d’accès ou une clé de sécurité, et mon numéro de téléphone ne sert plus à récupérer mes comptes quand c’est possible.
- La liste blanche des adresses de retrait est activée sur mes plateformes.
- Mes applications viennent du site de l’éditeur, et mes mises à jour sont faites.
- Je compare chaque adresse en entier, je teste avec un petit montant, et je ne signe rien que je ne comprends pas.
- Je ne partage ni mes soldes ni mes captures d’écran.
- Je vérifie les listes noires de l’AMF avant de confier de l’argent à un site ou à un intermédiaire.
C’est la fin de l’étape « Se protéger ». La dernière étape du parcours porte sur ce que l’on doit déclarer : commencez par notre guide des impôts sur les cryptos.
Questions fréquentes
Quel est le conseil le plus important ?
Garder sa phrase de récupération hors ligne et pour soi. C’est la seule information qui donne, à elle seule, un accès complet à vos cryptos, sans code ni appareil. Une fois donnée à un escroc, rien ne permet de la reprendre.
Mes cryptos sont sur une plateforme : ces conseils me concernent-ils ?
Oui, sauf le premier si vous n’avez pas de portefeuille à vous. Sur une plateforme, le plus important est le deuxième : mot de passe unique et double authentification, sur votre e-mail comme sur le compte, plus la liste blanche des adresses de retrait.
Un antivirus suffit-il à protéger mes cryptos ?
Non. Un antivirus aide contre les logiciels malveillants, mais il ne vous empêche ni de donner votre phrase de récupération, ni de signer une opération piégée, ni de croire un faux conseiller. Ce sont vos réflexes qui comptent le plus.
On m’a volé mes cryptos : peut-on les récupérer ?
Rarement, car une transaction de cryptos ne s’annule pas. Déposez plainte et signalez l’escroquerie, mais méfiez-vous de quiconque promet de récupérer vos fonds contre paiement : l’AMF prévient qu’aucune autorité ne vous appellera pour cela, et que ces offres sont une seconde arnaque.
