Portefeuille auto-hébergé : comment prouver qu’il vous appartient

Portefeuille auto-hébergé : de quoi parle-t-on ?

Un portefeuille auto-hébergé est un portefeuille dont vous détenez vous-même les clés : une application sur votre téléphone ou votre ordinateur, ou un appareil physique dédié. Aucun prestataire ne conserve vos cryptos à votre place. C’est l’inverse d’un compte sur une plateforme d’échange, où le prestataire détient les clés et tient votre solde.

Le règlement européen parle d’« adresse auto-hébergée » : une adresse sur la blockchain qui n’est rattachée à aucun prestataire de services sur crypto-actifs. La distinction compte, car les règles de traçabilité ne s’appliquent pas de la même façon selon que vos cryptos viennent d’une plateforme ou de votre propre portefeuille.

• Adresse : l’identifiant public vers lequel on vous envoie des cryptos.
• Clé privée : le secret qui permet de dépenser les fonds d’une adresse et de signer des messages.
• Phrase de récupération : la suite de mots qui permet de reconstituer vos clés ; qui la détient contrôle le portefeuille.
• Identifiant de transaction (hash) : la référence unique d’un envoi sur la blockchain.

Pourquoi prouver que votre portefeuille vous appartient

Depuis le 30 décembre 2024, le règlement (UE) 2023/1113 sur les transferts de fonds, dit TFR, impose que chaque transfert de crypto-actifs soit accompagné d’informations sur son émetteur et son bénéficiaire. Entre deux prestataires, ces informations voyagent avec le transfert.

Une adresse auto-hébergée n’a pas de prestataire pour transmettre ces informations. Le règlement prévoit donc un contrôle propre : pour un transfert de plus de 1 000 € depuis une telle adresse, le prestataire qui reçoit les fonds doit prendre des mesures pour vérifier que l’adresse appartient à son client ou qu’il la contrôle (art. 16(2)).

Cet article explique la notion réglementaire de détention d’un portefeuille et les méthodes utilisées par des prestataires. Il n’ajoute pas d’étape au parcours d’activation du compte CryptoIBAN.

Pour l’activation CryptoIBAN : Indiquez vos prénom et nom, puis faites un dépôt initial d’au moins 500 $US. Votre IBAN est utilisable après confirmation du paiement. Pour un paiement, suivez le montant exact et le réseau du modal de dépôt. Les petits transferts de test décrits ci-dessous sont des exemples généraux, pas des instructions de dépôt.

Les deux méthodes courantes

Les prestataires utilisent surtout deux méthodes. Elles prouvent la même chose, le contrôle de l’adresse, mais ne demandent ni le même effort ni le même coût.

La signature de message est la plus discrète : rien ne bouge sur la blockchain. Le virement de test est la plus universelle : tout portefeuille sait envoyer des fonds, même s’il ne sait pas signer un message.

Quand vous avez le choix, commencez par la signature : elle n’entraîne aucun frais de réseau et ne déplace aucun fonds. Le virement de test reste la solution pour les portefeuilles qui ne savent pas signer, ou lorsque le prestataire le demande.

Signer un message, pas à pas

Une signature prouve que vous détenez la clé privée de l’adresse, sans jamais la révéler. Elle ne déplace aucun fonds et n’entraîne aucun frais de réseau.

Si votre portefeuille vous présente une transaction à valider, ou une autorisation de dépenser vos jetons, alors qu’on vous a demandé de signer un message : arrêtez-vous. Ce n’est pas une preuve de propriété.

1. Le prestataire vous indique l’adresse concernée et le texte exact à signer.
2. Ouvrez votre portefeuille et sélectionnez cette adresse.
3. Utilisez la fonction de signature de message de votre portefeuille, si elle existe.
4. Collez le texte sans rien y changer : un espace de plus suffit à rendre la signature invalide.
5. Vérifiez à l’écran du portefeuille, ou de l’appareil physique, qu’il s’agit bien d’un message et non d’une transaction, puis signez.
6. Copiez la signature obtenue et transmettez-la par l’interface du prestataire.

Le petit virement de test, pas à pas

Cette méthode convient à tous les portefeuilles. Elle prouve le contrôle de l’adresse par un envoi réel, parti de cette adresse précise.

Le test entraîne des frais de réseau, comme tout envoi. Si vous prévoyez des dépôts réguliers depuis la même adresse, demandez au prestataire si la vérification reste valable pour les dépôts suivants.

1. Notez les instructions du prestataire : actif, réseau, montant et adresse de destination.
2. Envoyez depuis l’adresse à vérifier, et non depuis une autre adresse ou depuis une plateforme.
3. Sélectionnez exactement l’actif et le réseau indiqués.
4. Conservez l’identifiant de la transaction (hash) et transmettez-le si on vous le demande.
5. Attendez la confirmation du prestataire avant d’envoyer un montant important.

Les erreurs fréquentes

Ces erreurs sont simples à éviter. La dernière est de loin la plus grave.

En cas de doute sur une demande, interrompez la démarche et contactez le support du prestataire par son canal habituel, jamais par un lien reçu par message.

• Modifier le texte à signer (espace, retour à la ligne, majuscule) : la signature ne correspond plus.
• Signer avec une autre adresse que celle d’où partent les fonds. Un portefeuille Bitcoin, par exemple, peut gérer plusieurs adresses.
• Envoyer le virement de test depuis une plateforme d’échange : il ne prouve rien sur votre portefeuille auto-hébergé.
• Choisir un autre réseau que celui indiqué : les fonds peuvent être définitivement perdus.
• Déposer depuis le portefeuille d’un proche : la preuve doit porter sur un portefeuille qui vous appartient.
• Saisir sa phrase de récupération sur un site qui se présente comme une « vérification » : c’est une tentative de vol.

Ce qu’une preuve de propriété ne demande jamais

Prouver qu’un portefeuille vous appartient ne demande jamais de révéler ce qui permettrait de le vider. Aucun prestataire légitime n’a besoin de votre phrase de récupération, de votre clé privée, de vos mots de passe ou de vos codes de double authentification.

Les escroqueries jouent précisément sur cette confusion : un faux message de « mise en conformité », un lien vers une page qui imite votre prestataire, une urgence inventée. Vérifiez que le prestataire figure au registre de l’ESMA et passez toujours par son site ou votre espace client.