Phrases de récupération : les 12 mots qui vous empêchent de tout perdre

Ces mots ne sont pas un mot de passe. Ils représentent l’argent.

Une phrase de récupération, généralement composée de 12 ou 24 mots tirés d’une liste standardisée de 2 048 mots, n’est pas un identifiant de connexion donnant accès à des fonds stockés ailleurs. Mathématiquement, elle constitue le portefeuille lui-même. Chacun de ces mots encode une portion d’entropie brute qu’un algorithme déterministe (spécifié dans une norme appelée BIP39) transforme en une clé privée principale, et chaque adresse Bitcoin qu’un portefeuille a jamais générée ou générera un jour est dérivée de cette clé unique.

Il n’existe aucune base de données d’entreprise qui en conserve une copie, aucun service client capable de retrouver une clé oubliée, ni aucune procédure de « mot de passe oublié ». Quiconque est en mesure de fournir ces mots contrôle toutes les cryptomonnaies que ces mots permettent de générer (instantanément et de manière irréversible).

C’est précisément pour cette raison que le vol de janvier a pu être mené à bien sans aucune faille technique. La société d’expertise blockchain ZeroShadow, qui a aidé à retracer les fonds volés par la suite, a expliqué que ce vol résultait « d’une manœuvre d’ingénierie sociale plutôt que d’une compromission du logiciel de portefeuille ou de l’infrastructure de clés privées ».

L’attaquant n’a pas eu besoin de pirater quoi que ce soit. Il lui a simplement suffi que la victime saisisse ces 12 mots au mauvais endroit, puis il a agi rapidement : les quelque 139 millions de dollars en bitcoins et 153 millions de dollars en litecoins ont été répartis sur des ponts THORChain, convertis en monero via des services d’échange instantané, puis dissimulés par des transferts sur des chaînes « peel-chain » en l’espace de quelques minutes.

L’équipe de surveillance de ZeroShadow a réussi à repérer et à geler environ 700 000 dollars de cette somme en moins de 20 minutes, un sauvetage partiel rare qui rappelle à quel point la fraction d’une phrase de récupération volée qui peut être récupérée est généralement infime.

Pourquoi 12 mots constituent en réalité un nombre énorme

Chaque mot BIP39 comporte 11 bits d’entropie, car la liste de mots compte exactement 2 048 (2^11) entrées. Une phrase de 12 mots comporte environ 128 bits d’entropie totale une fois prise en compte la somme de contrôle intégrée, et une phrase de 24 mots en comporte 256. Ce ne sont pas simplement des nombres « plus grands » qu’un mot de passe classique, ils sont astronomiquement plus grands. Il faudrait environ 10^22 ans pour tester par force brute toutes les combinaisons possibles d’une phrase complète de 12 mots, même en supposant un taux extrêmement généreux d’un milliard de tentatives par seconde. L’univers a environ 13,8 milliards d’années.

Aucune puissance de calcul future, aussi importante soit-elle, ne permettra de combler cet écart ; deviner une phrase de départ complète et inconnue n’est donc pas un risque qu’il faille prendre en compte.

Le danger ne réside jamais dans les calculs, mais dans l’exposition. Si ne serait-ce qu’une poignée de mots venait à fuiter, ou si un attaquant en découvrait certains à partir d’une photo, d’une sauvegarde dans le cloud ou d’une arnaque par usurpation d’identité du service d’assistance, l’espace de recherche restant s’effondrerait de manière catastrophique plutôt que progressive. Le graphique ci-dessus en explique la raison : avec 6 mots connus sur 12, le craquage des mots restants prendrait encore environ 1 169 ans à ce même rythme de devinettes (ce qui reste sûr).

Mais dès que 7 mots sont connus, ce chiffre tombe à moins d’un an. À 8 mots connus, cela ne prend que quelques heures. À 10 ou 11 mots connus, ce n’est plus qu’une question de millisecondes. La sécurité ne se dégrade pas de manière linéaire à mesure que des mots sont divulgués ; elle s’effondre brutalement, ce qui explique précisément pourquoi « juste les six premiers mots » ou « la moitié de ma phrase » ne constituent pas une information nettement plus sûre à divulguer que la phrase entière.

La seule fonctionnalité conçue pour détecter les erreurs, et non les attaquants

La somme de contrôle du BIP39 existe pour une raison bien plus prosaïque que la protection contre les tentatives de devinette : elle permet de détecter les fautes de frappe. Le dernier mot d’une phrase de graine n’est pas purement aléatoire ; quelques-uns de ses bits constituent une somme de contrôle calculée à partir des autres mots, afin qu’un portefeuille puisse vérifier que la phrase a été transcrite correctement.

Si vous notez un mot de travers, il y a de très fortes chances que le portefeuille signale la phrase comme invalide dès que vous tenterez de la restaurer, plutôt que de générer silencieusement un portefeuille avec un solde différent, voire vide. C’est un petit détail de conception, mais c’est la raison pour laquelle une sauvegarde corrompue se révèle généralement immédiatement, au lieu de se transformer en un désastre au ralenti découvert des mois plus tard.

Des millions de cryptomonnaies prouvent que le plus grand risque n’est pas le vol

Malgré toute l’attention suscitée par un vol par hameçonnage de 282 millions de dollars, la cause de perte bien plus importante et plus discrète est plus simple : les personnes qui perdent l’accès à leurs propres mots de passe. Les estimations varient, mais la société d’analyse de la blockchain Chainalysis estime que jusqu’à 23 % de tous les bitcoins minés (plusieurs millions de BTC sur les quelque 19,8 millions minés à ce jour) sont définitivement inaccessibles, principalement en raison de phrases de récupération oubliées, de sauvegardes détruites et de décès sans aucun plan de succession pour ces phrases. Pas de pirate, pas d’exploit, pas de page de hameçonnage, juste un portefeuille que personne ne peut plus ouvrir, contenant des cryptomonnaies qui ne bougeront plus jamais. C’est là le véritable poids d’une phrase de récupération : il ne s’agit pas d’un mot de passe à mémoriser, mais de la seule preuve, non négociable, de la propriété d’un actif dépourvu de tout mécanisme de récupération. Si elle est mal notée, elle échoue en toute sécurité. Si elle est exposée, ne serait-ce que partiellement, la sécurité s’effondre rapidement. Si elle est purement et simplement perdue, sans aucune autre solution de secours, le bitcoin qu’elle représente cesse tout simplement d’exister pour quiconque.