Qu'est-ce qu'une adresse de portefeuille crypto et comment l'utiliser en toute sécurité ?

Une adresse de portefeuille crypto est la suite de lettres et de chiffres qui indique à une blockchain où livrer des crypto-actifs. Voyez-la comme un numéro de compte propre à un réseau précis : vous pouvez la communiquer sans risque, mais elle ne pardonne pas une erreur de copie. Vous la donnez à quiconque veut vous payer, et vous collez l'adresse de quelqu'un d'autre lorsque vous envoyez. Ce que vous ne donnez jamais, c'est la clé qui la contrôle.

Ce guide explique d'où vient une adresse, à quoi elle ressemble sur les réseaux les plus utilisés, et les deux erreurs qui font perdre de l'argent : la mauvaise adresse et le mauvais réseau.

L'essentiel

• Une adresse est un identifiant public dérivé d'une clé publique. Ce n'est ni la clé elle-même ni un mot de passe.
• Chaque blockchain a son propre format d'adresse. Les adresses Bitcoin, Ethereum et TRON ont un aspect différent et ne sont pas interchangeables.
• Les sommes de contrôle intégrées à la plupart des formats détectent les fautes de frappe, mais elles ne peuvent pas vous dire si une adresse valide appartient bien à la personne visée.
• Les transferts confirmés sur une blockchain ne peuvent normalement pas être annulés ; l'actif, le réseau et l'adresse doivent donc tous concorder avant l'envoi.
• Avec un portefeuille dépositaire, le prestataire vous fournit une adresse de dépôt. Prenez-la toujours sur l'écran de dépôt actuel, et non sur une ancienne capture d'écran.

Qu'est-ce qu'une adresse de portefeuille crypto ?

Un portefeuille ne stocke pas les coins comme un porte-monnaie contient des espèces. La blockchain enregistre qui contrôle quoi, et votre portefeuille détient les clés qui prouvent ce contrôle. Nous détaillons ce modèle dans le fonctionnement d'un portefeuille crypto.

L'adresse est l'extrémité publique de ce dispositif. Elle est produite à partir de votre clé publique par hachage et encodage ; elle est donc plus courte que la clé et ne la révèle pas directement. Sur Ethereum, par exemple, l'adresse correspond aux 20 derniers octets du hash Keccak-256 de la clé publique, écrits avec un préfixe 0x. Les adresses Bitcoin encodent de la même manière un hash de la clé publique plutôt que la clé elle-même.

L'adresse étant dérivée de la clé et non l'inverse, publier votre adresse ne permet à personne de dépenser les fonds qui y sont associés. Toute dépense nécessite une signature produite avec la clé privée.

Adresse, clé publique, clé privée et phrase de récupération

Ces quatre termes sont constamment confondus, et la différence compte.

Une règle utile : si un site web, un « agent du support » ou un « expert en récupération » vous demande quoi que ce soit en dessous des deux premières lignes, arrêtez-vous. Un prestataire légitime n'a aucune raison de vous demander votre clé privée ou votre phrase de récupération, et les pages d'aide de Quppy indiquent clairement que le support n'a jamais besoin de votre mot de passe, de votre code PIN, de votre code 2FA, de votre clé privée ou de votre phrase de récupération.

À quoi ressemble une adresse de portefeuille crypto ?

Chaque réseau fixe son propre format. Voici les trois que vous rencontrerez le plus probablement :

Quelques détails derrière ce tableau. Les anciennes adresses Bitcoin de type « pay to public key hash » utilisent l'octet de version 0x00 sur le réseau principal, ce qui donne un 1 initial. Les adresses « pay to script hash » commencent par 3. Les adresses SegWit utilisent le préfixe lisible bc, et les adresses Taproot utilisent le nouvel encodage Bech32m. Une adresse TRON est une valeur de 21 octets précédée d'un octet 0x41, affichée dans les portefeuilles sous forme de 34 caractères commençant par T.

Les jetons compliquent les choses. L'USDC sur Ethereum se trouve à une adresse au format Ethereum, tandis que l'USDT peut exister sur Ethereum, TRON et d'autres réseaux. Le nom du jeton seul ne vous dit pas quel réseau un paiement utilisera.

Les adresses comportent-elles des contrôles d'erreur intégrés ?

La plupart oui, et c'est mieux que rien. Le Bech32 réserve ses six derniers caractères à une somme de contrôle et est conçu pour détecter toute erreur touchant jusqu'à quatre caractères. L'encodage EIP-55 d'Ethereum utilise les majuscules et les minuscules comme somme de contrôle ; la spécification évalue à environ 0,0247 % la probabilité qu'une faute de frappe aléatoire passe inaperçue.

Ce qu'une somme de contrôle ne peut pas faire, c'est repérer une adresse valide qui appartient à la mauvaise personne. Si un logiciel malveillant remplace l'adresse dans votre presse-papiers, ou si vous collez une adresse provenant de la mauvaise conversation, le résultat passe tous les contrôles de format. C'est pourquoi vous devez comparer les premiers et les derniers caractères après chaque collage, à chaque fois.

Portefeuilles dépositaires, adresses de dépôt et mémos

Sur une plateforme d'échange ou un autre service dépositaire, vous ne gérez pas vous-même les clés. Le prestataire vous fournit une adresse de dépôt et crédite votre compte lorsque les fonds arrivent sur un réseau qu'il prend en charge. Notre comparatif des portefeuilles dépositaires et non dépositaires présente les compromis.

Deux conséquences pratiques en découlent.

Certaines plateformes partagent une même adresse entre de nombreux clients et distinguent les dépôts au moyen d'un mémo, d'un tag ou d'une référence. Si l'écran de dépôt en affiche un, incluez-le. Sans lui, la plateforme pourra devoir identifier le transfert manuellement, et sa récupération n'est pas garantie.

Une adresse de dépôt peut cesser d'être valable pour de nouveaux dépôts sur ce service, par exemple si le prestataire cesse de prendre en charge un actif ou un réseau. Une adresse figurant dans une ancienne capture d'écran ou un ancien e-mail ne prouve pas que les dépôts sont toujours acceptés ; copiez-la donc à nouveau à chaque fois.

Mauvaise adresse ou mauvais réseau

Ce sont deux erreurs différentes, et toutes deux peuvent entraîner une perte définitive.

Mauvaise adresse : vous avez utilisé le bon réseau, mais envoyé vers une adresse que vous ne visiez pas. Si cette adresse est valide et contrôlée par quelqu'un d'autre, seule cette personne ou cette plateforme peut renvoyer les fonds. Votre propre prestataire ne peut normalement pas annuler un transfert confirmé sur la blockchain.

Mauvais réseau : l'adresse peut même être correcte, mais vous avez envoyé sur un réseau que le service destinataire ne prend pas en charge. La transaction peut être valide sur la blockchain et rester néanmoins invisible pour le service vers lequel vous l'avez envoyée. L'USDT sur Ethereum, l'USDT sur TRON et l'USDT sur Solana sont des configurations distinctes, et la prise en charge de l'une n'implique pas celle des autres.

Dans les deux cas, n'envoyez pas de seconde transaction pour « tester » quoi que ce soit. Conservez le hash de la transaction, l'actif, le réseau, le montant, l'adresse de destination et l'heure, et contactez les équipes de support des deux côtés par leurs canaux officiels. Méfiez-vous de quiconque propose une récupération garantie moyennant des frais payés d'avance.

Comment utiliser une adresse de portefeuille en toute sécurité

Avant chaque transfert sortant :

1. Choisissez l'actif, puis vérifiez le réseau exact du côté de l'envoi comme de la réception.
2. Copiez l'adresse depuis l'écran de dépôt actuel du destinataire, jamais de mémoire ni depuis un ancien message.
3. Collez-la, puis comparez les premiers et les derniers caractères avec la source.
4. Ajoutez tout mémo, tag ou référence indiqué par la destination.
5. Envisagez un petit transfert de test vers une nouvelle destination, en tenant compte des frais de réseau et des montants minimaux.
6. Examinez le récapitulatif complet avant de confirmer, et conservez une trace du hash de la transaction.

Si vous transférez des crypto-actifs entre prestataires réglementés, attendez-vous à ce qu'on vous demande qui est le destinataire. C'est la règle du voyage (travel rule) de l'UE à l'œuvre, que nous présentons dans notre article sur la règle du voyage.

Les adresses de portefeuille dans Quppy

Quppy Crypto repose sur un modèle dépositaire : les actifs pris en charge sont détenus par le prestataire de services crypto applicable à votre pays, et vous recevez et envoyez via l'application Quppy. Dans l'EEE, ce prestataire est Payhound Limited. Lorsque vous voulez recevoir, vous choisissez l'actif, sélectionnez un réseau que Quppy indique comme disponible pour votre compte, et copiez l'adresse de dépôt ainsi que tout mémo ou tag affiché.

Prise en charge actuelle, telle qu'indiquée dans le centre d'aide de Quppy :

L'écran de dépôt en direct fait foi. En cas de problème, les guides de Quppy sur l'utilisation du mauvais réseau blockchain et l'envoi vers la mauvaise adresse de portefeuille indiquent ce qu'il faut rassembler et qui contacter. La récupération n'est garantie dans aucun des deux cas.