Sécurité de la seed phrase : définition et protection
Une seed phrase (phrase de récupération) est une liste de 12, 20 ou 24 mots qui permet de recréer toutes les clés de votre portefeuille. Quiconque la voit peut prendre vos fonds : notez-la sur papier ou sur métal, gardez-la hors ligne et secrète, et ne la saisissez jamais sur un site web ni ne la donnez à personne, support compris.
Qu'est-ce qu'une seed phrase ?
Une seed phrase encode un grand nombre aléatoire sous forme de mots lisibles. Votre portefeuille en dérive chaque clé privée et chaque adresse, pour tous les réseaux qu'il prend en charge. La plupart des portefeuilles utilisent la norme BIP39, qui choisit les mots dans une liste fixe de 2 048 mots anglais. Restaurez la même phrase dans un portefeuille compatible et les mêmes adresses et soldes réapparaissent.
Autres noms pour la même chose : phrase de récupération, mnémonique, phrase secrète de récupération (MetaMask), phrase de sauvegarde, 24 mots (Ledger).
12 ou 24 mots (et 20)
| Format | Sécurité | Utilisé par défaut sur (exemples) |
|---|---|---|
| BIP39 12 mots | 128 bits | La plupart des portefeuilles logiciels, p. ex. MetaMask, Trust Wallet, Phantom |
| BIP39 24 mots | 256 bits | Appareils Ledger, Trezor Model One |
| SLIP-39 20 mots (part unique) | 128 bits ; les mots supplémentaires stockent des métadonnées et une somme de contrôle | Trezor Safe 3 (depuis juin 2024), Safe 5, Safe 7 |
Le guide de Trezor qualifie tous ces formats d'« extrêmement sûrs » : deviner une phrase de 12 mots réellement aléatoire est impossible en pratique (Trezor, vérifié en oct. 2026). Les vrais risques sont une phrase qui n'était pas aléatoire (un mauvais générateur) ou une phrase vue par quelqu'un d'autre. Le dernier mot d'une phrase BIP39 contient une somme de contrôle, donc une faute de frappe est généralement détectée lors de la restauration.
Un aléa défaillant a déjà causé de vraies pertes : la faille Milk Sad de l'outil bx seed (plus de 900 000 $, août 2023), le bug d'entropie WebAssembly de Trust Wallet (environ 170 000 $, avr. 2023) et l'erreur de compilation du firmware Coldcard 4.0.1, exploitée à partir du 30 juillet 2026 (environ 116 M$ selon TRM Labs). N'utilisez jamais une phrase générée par un site web ou fournie par quelqu'un d'autre.
La passphrase BIP39 (« 25e mot »)
De nombreux portefeuilles, dont Ledger et Trezor, permettent d'ajouter une passphrase facultative en plus de la seed phrase. Chaque passphrase différente ouvre un portefeuille complètement différent. Elle vous protège si quelqu'un trouve votre phrase écrite, et Trezor affirme qu'elle neutralise l'attaque par extraction physique démontrée par Kraken Security Labs sur ses anciens appareils en janvier 2020 (The Block, janv. 2020).
- Avantage : une seed phrase trouvée seule ne sert à rien.
- Inconvénient : oubliez la passphrase et les fonds sont perdus. Personne ne peut la réinitialiser.
- Conservez la passphrase séparément de la seed phrase, et testez d'abord la récupération avec un petit montant.
Comment conserver une seed phrase
| Méthode | Verdict |
|---|---|
| Papier, écrit à la main, gardé secret | Bon point de départ ; protégez-le de l'eau et du feu |
| Plaque métallique ou acier poinçonné | Idéal pour le long terme ; résiste au feu et aux inondations |
| Deux copies dans deux lieux sûrs différents | Bien contre la perte ; chaque copie est un endroit de plus où elle peut être trouvée |
| Photo, capture d'écran, notes dans le cloud, e-mail, messagerie | À éviter : les malwares et les piratages de comptes ciblent ces supports |
| Gestionnaire de mots de passe | À éviter pour des montants importants ; des coffres en ligne ont été volés et cassés |
| Coupée en deux moitiés | À éviter : cela affaiblit la sécurité ; utilisez plutôt une passphrase, des parts SLIP-39 ou un multisig |
Pour des sommes plus importantes, envisagez de supprimer complètement le point de défaillance unique : la sauvegarde multi-parts de Trezor (SLIP-39), un smart account multisig comme Safe, ou un plan de succession qui indique à une personne de confiance où se trouve la sauvegarde sans lui donner les mots dès aujourd'hui.
Les arnaques qui visent votre seed phrase
- Faux support. Des comptes sur X, Telegram et Discord répondent aux plaintes et vous envoient vers un formulaire de « validation ».
- Courriers et e-mails. Des lettres papier à en-tête Ledger et Trezor contrefait exigeaient une vérification « obligatoire » via QR code (The Block, avr. 2025 ; BleepingComputer, févr. 2026). En septembre 2026, des attaquants ayant piraté Brevo, le prestataire e-mail de Trezor, ont envoyé du phishing depuis la véritable adresse du support de Trezor ; Trezor a fait fermer le site en 20 minutes environ (BleepingComputer, sept. 2026).
- Fausses applis. De fausses applis Ledger Live sur le Microsoft Store (environ 768 000 $, oct. 2023) et le Mac App Store (environ 9,5 M$, avr. 2026) demandaient de « restaurer » avec sa phrase. Voir fausses applis de portefeuille.
- Appareils trafiqués. Cartes de récupération pré-remplies dans la boîte, ou appareils achetés chez des revendeurs non officiels. Un vrai portefeuille génère toujours une nouvelle phrase pour vous.
- Malwares qui scannent les photos. SparkCat utilisait la reconnaissance de texte sur l'appareil pour trouver des photos de phrases de récupération (The Hacker News, févr. 2025).
La règle : le seul endroit où votre seed phrase doit être saisie est le portefeuille lui-même, lors d'une restauration que vous avez lancée, idéalement sur un hardware wallet. Aucun acteur légitime ne vous la demandera jamais. Si vous pensez qu'elle a été vue, créez immédiatement un nouveau portefeuille et transférez-y tout.
Questions fréquentes
Une seed phrase de 12 mots est-elle assez sûre ?
Oui, si elle a été générée aléatoirement par un portefeuille réputé. Une phrase BIP39 de 12 mots offre 128 bits de sécurité, ce que Trezor qualifie d'extrêmement sûr. Les vrais risques sont le vol et la perte, pas la devinette.
Quelle différence entre une seed phrase et une clé privée ?
Une clé privée contrôle une seule adresse. Une seed phrase génère de nombreuses clés privées sur de nombreux réseaux : elle sauvegarde donc tout le portefeuille.
Peut-on récupérer un portefeuille sans la seed phrase ?
Seulement si le portefeuille utilise une autre méthode de récupération, comme des parts MPC, des cartes de secours ou un smart account. Pour un portefeuille classique à seed phrase, non : personne ne peut la réinitialiser.
Faut-il utiliser une passphrase BIP39 ?
Elle ajoute une forte protection si quelqu'un trouve votre phrase écrite, mais si vous l'oubliez, vos fonds sont perdus. Ne l'utilisez que si vous pouvez la sauvegarder de façon fiable et séparée.
Que faire si j'ai saisi ma seed phrase sur un site web ?
Considérez-la comme compromise. Créez un tout nouveau portefeuille avec une nouvelle phrase sur un appareil sain et transférez immédiatement tous vos fonds, en commençant par les plus précieux.
Puis-je conserver ma seed phrase dans un coffre bancaire ?
Beaucoup le font. Cela protège contre l'incendie et le cambriolage à domicile, mais pensez aux délais d'accès et à qui d'autre pourrait l'ouvrir, et gardez une seconde copie ailleurs.