Phrase de récupération wallet : à quoi elle sert

Vous installez un portefeuille d'actifs numériques, et l'application affiche une liste de mots ordinaires en vous demandant de la recopier sur un papier. Pas de bouton « me l'envoyer par e-mail », pas de « me la rappeler plus tard ». L'écran surprend, parce qu'il ne ressemble à rien de ce que font les services habituels. Voici ce qu'est cette phrase de récupération, ce qu'elle contient vraiment, et la seule règle qui compte à son sujet.

Pourquoi des mots, et pas un mot de passe

Un mot de passe protège un compte qui existe quelque part, chez quelqu'un. Cette entreprise détient la liste des comptes : elle peut vérifier votre identité, réinitialiser votre accès, bloquer une connexion suspecte. Le mot de passe n'est qu'une porte vers un dossier qu'une organisation garde pour vous.

Un portefeuille d'actifs numériques ne fonctionne pas comme ça. Il n'y a pas de compte ouvert chez un prestataire, donc personne ne conserve de copie de votre accès et personne ne peut vous le rendre. Ce que l'application produit à la création, c'est un très grand nombre tiré au hasard. Ce nombre est votre accès. Il est trop long et trop aride pour être recopié à la main sans erreur, alors on le traduit en mots.

Les mots viennent d'une liste fixe et publique, choisie pour être écrite sans ambiguïté : ils se distinguent dès leurs premières lettres et suppriment les erreurs classiques de recopie, le zéro pris pour un O, le un pris pour un l. L'ordre compte lui aussi : ce n'est pas un sac de mots, c'est une phrase. La plupart des applications intègrent en outre une vérification interne, de sorte qu'une suite mal recopiée est refusée au lieu d'ouvrir un portefeuille vide sans rien dire.

La boîte aux lettres et sa clé

Pour comprendre ce que cette phrase commande, il faut séparer ce qui est public de ce qui ne doit jamais l'être.

Imaginez une boîte aux lettres vitrée, posée dans la rue. Son adresse est publique : vous pouvez la communiquer à qui vous voulez, n'importe qui peut y glisser quelque chose, et n'importe qui peut regarder à travers la vitre — c'est exactement le cas d'un registre partagé, dont le principe est détaillé dans notre article sur le fonctionnement d'une blockchain expliqué simplement. Cette adresse dérive de la clé publique.

La clé privée, c'est la clé de la serrure. Elle n'est jamais communiquée, jamais affichée, jamais envoyée. Elle ne sert pas à recevoir : elle sert à signer ce qui sort. Quand vous transférez quelque chose, votre application produit une signature que le réseau vérifie sans jamais voir la clé elle-même. Le réseau ne se demande pas qui vous êtes ; il vérifie seulement que la signature correspond à la serrure.

Ce que la phrase contient réellement

Voici le point que presque tout le monde comprend de travers : votre phrase de récupération ne contient pas vos avoirs. Elle ne les transporte pas et ne les stocke pas. Ils sont inscrits dans un registre tenu par un très grand nombre de machines, et ils n'en bougent pas.

Ce que la phrase fait, c'est régénérer les clés. À partir de cette suite de mots, n'importe quelle application compatible recalcule exactement les mêmes clés privées, donc les mêmes adresses, donc la même capacité à signer. C'est pour cette raison qu'un téléphone perdu, cassé ou volé n'est pas un drame en soi : on réinstalle une application, on saisit la phrase, et le portefeuille réapparaît. Une précision utile : toutes les applications ne rangent pas les adresses de la même façon, et les mêmes mots saisis dans une application qui suit d'autres conventions peuvent afficher un portefeuille vide sans que rien ne soit perdu. L'application n'est qu'une fenêtre ; la phrase est le jeu de clés.

La conséquence inverse doit être dite tout aussi clairement : quiconque obtient votre phrase obtient vos clés, immédiatement, sans avoir besoin de votre téléphone, de votre code ni de votre accord. Il n'a rien à pirater : il n'a qu'à la taper. Et une fois l'ordre signé et inscrit, il n'y a ni opposition, ni annulation, ni service capable de revenir en arrière.

Personne de légitime ne vous la demandera jamais

C'est la règle la plus simple de tout ce domaine, et elle ne souffre aucune exception.

Aucun support technique ne vous demandera votre phrase. Aucune banque, aucun conseiller, aucun administrateur d'un groupe de discussion, aucun ami même de bonne foi. Aucun formulaire de « vérification », de « migration » ou de « mise en conformité ». Un support légitime n'a rien à en faire : elle ne donne qu'un seul pouvoir, celui de signer à votre place.

La demande elle-même est donc le signal. Peu importe le prétexte, peu importe que la personne semble compétente, pressée de vous rendre service, ou qu'elle vous ait contacté juste après une question posée en public. Dès qu'une phrase de récupération est demandée, c'est une tentative de vol, et la bonne réaction est de fermer la conversation. Les autres formes de ce piège sont détaillées dans notre article sur les signaux qui trahissent une arnaque crypto.

Même vigilance sur les endroits où vous la saisissez : uniquement dans une application installée par vous, et uniquement pour restaurer un portefeuille existant. Jamais dans une page ouverte depuis un lien, jamais dans un champ rencontré au hasard.

Être son propre banquier, avec le mauvais côté

La formule revient souvent, et elle est exacte. Personne ne peut geler votre portefeuille, le clôturer, vous refuser un transfert ou vous demander de justifier un mouvement. C'est le côté lumineux.

L'autre côté est moins raconté, et tout aussi réel : être son propre banquier, c'est assurer soi-même le service après-vente. Pas de mot de passe oublié, pas de conseiller, pas de service fraude, pas de médiateur. Perdre la phrase, c'est perdre l'accès, définitivement : les avoirs restent inscrits au registre, visibles de tous, et plus personne ne peut les faire bouger. Un héritier qui ne sait ni où chercher ni quoi chercher se retrouve devant la même porte close.

Il faut le dire calmement : beaucoup de gens concluront que cette responsabilité ne leur convient pas, et c'est une conclusion parfaitement raisonnable. Comprendre un mécanisme n'oblige à rien — c'est d'ailleurs l'esprit du guide Bloqo.

Conserver sa phrase sans se raconter d'histoires

Les usages constants dans ce domaine tiennent en quelques points, sans citer aucune marque.

• Un support physique : la phrase se recopie à la main, lisiblement, sur quelque chose qui survit au temps. Relisez-la à froid, mot par mot.
• Plusieurs endroits, séparés géographiquement, de façon qu'un seul incident — incendie, dégât des eaux, cambriolage — ne puisse pas tout emporter.
• Jamais de photo, jamais de capture d'écran, jamais de note dans un téléphone, jamais de fichier dans le nuage, jamais d'e-mail que l'on s'envoie. Ces supports sont sauvegardés et recopiés automatiquement, sans que vous sachiez où finissent les copies.
• Prévoir l'oubli : une cachette si bonne que personne ne la retrouve, vous compris, produit le même résultat qu'une perte. Laissez à une personne de confiance l'indication de l'endroit, sans y écrire la phrase.

En résumé

• La phrase de récupération est un très grand nombre aléatoire traduit en mots faciles à recopier sans erreur ; l'ordre des mots fait partie du secret.
• Elle ne contient pas vos avoirs : elle régénère les clés privées qui permettent de signer, donc de déplacer ce qui est inscrit au registre.
• La clé publique est l'adresse d'une boîte aux lettres vitrée, visible de tous ; la clé privée ouvre la serrure et sert à signer les sorties.
• Personne de légitime ne vous la demandera jamais : la demande elle-même trahit la tentative de vol, quel qu'en soit le prétexte.
• Être son propre banquier supprime les intermédiaires, et supprime aussi tout recours : une phrase perdue est un accès perdu.
• On la conserve sur un support physique, en plusieurs endroits, jamais en photo ni dans un fichier hébergé ailleurs.