D'CENT App Wallet : comment savoir si votre phrase de récupération doit déménager

Si vous détenez des cryptoactifs dans le portefeuille applicatif de D'CENT, vous devriez les transférer vers un portefeuille doté d’une nouvelle phrase de récupération. Le fabricant IoTrust a annoncé le 16 septembre 2026 avoir constaté des transferts d’actifs suspects dans cette application précise et enquêter sur leur origine. Selon l’entreprise, c’est le portefeuille applicatif qui est concerné. Quiconque utilise exclusivement un appareil matériel et n’a jamais saisi ses mots dans l’application n’a, en l’état, rien à faire.

Cette seule distinction porte tout le dossier, et la plupart des brèves l’escamotent. C’est d’elle que dépend le fait de passer votre soirée à effectuer quelques transactions ou de dormir tranquille. Ce texte explique comment reconnaître le groupe auquel vous appartenez, dans quel ordre procéder et quelles deux étapes de suivi restent, d’expérience, en souffrance.

D'CENT App Wallet : ce qu’IoTrust a signalé le 16 septembre

La communication est passée par le canal officiel de l’entreprise. Elle s’ouvre en indiquant que la société a constaté des transferts d’actifs suspects liés au portefeuille applicatif D'CENT et qu’elle mène une enquête en urgence. Selon les premiers constats, le problème se limite au portefeuille applicatif.

L’entreprise ne nomme aucune cause. Elle n’indique pas davantage un nombre de portefeuilles touchés ni un montant. Cette lacune compte pour l’appréciation du dossier : tant que le fabricant lui-même ne chiffre pas l’ampleur, tout montant de préjudice qui circule est une affirmation sans fondement. La société annonce qu’elle communiquera la cause et l’ampleur par ses canaux officiels dès qu’elles seront établies.

Ce qui est déjà établi, c’est la recommandation. IoTrust demande aux utilisateurs concernés de transférer leurs avoirs le plus vite possible vers un portefeuille matériel ou une autre adresse de confiance, de mettre l’application à jour vers la version courante et de ne déclencher aucune transaction par le portefeuille applicatif jusqu’à cette mise à jour. L’entreprise met expressément en garde contre les instructions venues de canaux non officiels.

Pourquoi une enquête en cours ne vaut pas levée d’alerte

Une enquête dont le résultat se fait attendre est l’état le plus inconfortable pour les utilisateurs, car elle n’offre pas un choix entre le juste et le faux, mais entre l’effort et le risque. L’effort d’un déménagement est mesuré et ponctuel. Le risque d’attendre le résultat, l’utilisateur le supporte seul, car un avoir accessible par une liste de mots compromise ne se récupère pas après coup.

Phrase de récupération : la question qui décide si vous êtes concerné

Une phrase de récupération, aussi appelée phrase de restauration ou seed phrase, est la liste de 24 mots en règle générale dont se déduisent par le calcul toutes les clés privées d’un portefeuille, et donc l’accès complet aux avoirs. Celui qui connaît ces mots détient les fonds, quel que soit l’appareil qui dort dans quel tiroir.

De là découle la question de contrôle, et elle ne porte pas sur l’appareil que vous possédez, mais sur les endroits où vos mots ont déjà été saisis. Trois cas se distinguent nettement.

Premier cas : vous avez créé un portefeuille directement dans l’application, sans appareil matériel. Votre liste de mots réside alors dans le logiciel, et vous appartenez au groupe directement visé.

Deuxième cas : vous possédez un appareil matériel, mais vous avez importé à un moment sa liste de mots dans l’application, par exemple pour accéder plus commodément à un solde. La même liste de mots existe alors en deux endroits, et la recommandation vaut pour vous aussi, même si votre appareil n’est pas en cause.

Troisième cas : vous connectez votre appareil matériel à l’application uniquement pour confirmer les transactions sur l’appareil, et vous n’avez jamais recopié les mots. En l’état des indications du fabricant, vous n’avez rien à entreprendre.

Le deuxième cas est le plus retors, car il ne se lit pas sur le matériel. Il tient à une décision que beaucoup d’utilisateurs ont prise voilà des mois et oubliée depuis longtemps. Si vous avez un doute, considérez l’import comme effectué : une précaution superflue coûte quelques frais de réseau, une levée d’alerte erronée coûte les avoirs.

Biometric Wallet, D'CENT X et R3covery Card : les produits visés par l’avis

Le fabricant exploite plusieurs gammes, et la communication les distingue. Le portefeuille applicatif est un portefeuille purement logiciel, dans lequel les clés résident sur le smartphone. À côté figurent les appareils matériels, dont la Biometric Wallet à capteur d’empreinte ainsi que les modèles D'CENT X et D'CENT S, où une puce de sécurité distincte conserve les clés, lesquelles ne quittent jamais l’appareil. La R3covery Card est une solution de sauvegarde pour la liste de mots elle-même.

La déclaration de l’entreprise porte sur le portefeuille applicatif. Pour les appareils matériels, aucune exposition n’est confirmée à ce jour, selon ses propres indications. C’est une formulation prudente et non un acquittement, et c’est exactement ainsi qu’il faut la lire. L’écart entre un portefeuille logiciel et un appareil doté de sa propre puce de sécurité explique pourquoi la recommandation pointe vers le matériel : un comparatif des portefeuilles matériels permet de voir quels appareils exécutent réellement la signature dans la puce et lesquels se contentent d’habiller joliment une solution logicielle.

Retirer ses fonds du portefeuille applicatif : l’ordre qui évite les erreurs

L’ordre compte davantage que la vitesse. Un transfert précipité vers une adresse dont vous n’avez pas sauvegardé intégralement la liste de mots transforme un problème possible en perte totale certaine.

Premièrement, préparer la destination. Créez le portefeuille cible avant de déplacer quoi que ce soit, et sauvegardez sa liste de mots intégralement et hors ligne. Vérifiez la sauvegarde en restaurant une fois le portefeuille à partir des mots. Comment ranger cette sauvegarde pour qu’elle survive à un incendie et à un déménagement, nous l’avons décrit dans notre guide sur la conservation sûre de la seed phrase.

Deuxièmement, mettre l’application à jour. Le fabricant indique la version 10.0.0 ou plus récente pour Android et iOS comme niveau minimal et demande de ne déclencher aucune transaction par le portefeuille applicatif avant la mise à jour.

Troisièmement, transférer. Envoyez d’abord un petit montant, vérifiez son arrivée dans le portefeuille cible, puis transférez le reste. Si vous utilisez plusieurs chaînes, traitez-les une par une. Consignez au passage les frais et les horodatages, ils vous serviront plus tard pour la déclaration fiscale.

Quatrièmement, mettre hors service l’ancienne liste de mots. Une liste de mots qui a pu tomber en de mauvaises mains ne sert plus jamais, ni pour un petit reliquat ni pour une autre chaîne. Cette liste de mots est épuisée.

La mise à jour ne suffit pas : pourquoi la liste de mots doit changer

L’erreur la plus fréquente après une annonce de ce genre consiste à mettre l’application à jour et à s’en tenir là. Une mise à jour comble une faille dans le logiciel. Elle ne rend pas secrète à nouveau une liste de mots qui a pu être lue auparavant. Si un attaquant détient les 24 mots, il n’a plus besoin de l’application : il peut restaurer le portefeuille dans n’importe quel autre logiciel et vider les avoirs depuis n’importe quel appareil de la planète.

Pour cette raison, le retour à la sécurité passe toujours par une nouvelle liste de mots et jamais par une mise à jour seule. Le marché a connu le même mécanisme en août 2026 lors de l’incident Coldcard, où c’est également la régénération des mots, et non le nouveau micrologiciel, qui a mis fin à l’accès.

Révoquer les autorisations de jetons : l’étape oubliée après un changement de portefeuille

Une autorisation de jeton, en anglais token approval, est la permission que vous accordez une fois à un contrat intelligent pour qu’il puisse déplacer un jeton donné depuis votre adresse. Cette permission subsiste jusqu’à sa révocation, et elle tient à l’adresse, non au logiciel de portefeuille.

Il en découle une conséquence désagréable : si vous déplacez vos avoirs vers une nouvelle adresse alors que l’ancienne porte encore des autorisations ouvertes, tout reliquat qui y arrivera plus tard restera attaquable par ces autorisations. Sont concernées avant tout les adresses sur Ethereum et sur les réseaux qui s’appuient dessus, car c’est là que l’essentiel des autorisations est accordé.

La révocation est une transaction ordinaire et coûte des frais de réseau. Dans notre analyse du 14 septembre 2026, ces frais s’établissaient sur Ethereum à l’équivalent de 0,52 cent par révocation, comme nous l’avons documenté dans notre mode d’emploi de la révocation des autorisations de jetons. À ce niveau de prix, aucune raison sérieuse ne justifie de laisser des autorisations ouvertes.

Portefeuille auto-conservé et MiCA : pourquoi la BaFin n’est pas compétente ici

Pour les utilisateurs allemands, la situation prudentielle est la partie la plus importante et en même temps la plus inconfortable. Un portefeuille auto-conservé, dit aussi non dépositaire, est une application dans laquelle l’utilisateur seul détient les clés privées, le fournisseur n’y ayant aucun accès.

C’est précisément cette configuration que le règlement européen MiCA exclut de son champ d’application. La seule fabrication ou distribution de matériels et de logiciels destinés à la conservation de cryptoactifs ne relève pas de l’agrément obligatoire, tant que le fournisseur n’a accès ni aux valeurs conservées ni aux clés. Ce n’est qu’à partir du moment où un fournisseur accède aux clés d’autrui que le produit devient un service sur cryptoactifs soumis à agrément.

Pour vous, utilisateur, cela signifie trois choses. Il n’existe pas de surveillance de la BaFin sur le fabricant d’un portefeuille purement auto-conservé. Il n’existe pas de garantie des dépôts ni de mécanisme d’indemnisation compensant les pertes. Et il n’existe pas d’autorité auprès de laquelle signaler les faits avec une perspective de réparation. Restent des prétentions civiles contre une entreprise établie en Corée du Sud, autrement dit une voie théorique.

Cet état du droit évolue actuellement sur un autre point, et la nuance mérite attention : de nouvelles obligations de signalement s’appliquent aux fabricants depuis le 11 septembre 2026, dont nous avons rendu compte dans notre article sur l’obligation de signalement pour les fabricants de portefeuilles. Les obligations de signalement améliorent l’information sur les incidents. Elles ne fondent pas un droit à réparation.

Cryptos volées et déclaration fiscale : ce que le paragraphe 23 EStG ne permet pas

Quiconque perd des cryptoactifs dans un vol constate régulièrement, en Allemagne, que l’administration fiscale ne reconnaît pas cette perte. La raison tient à la systématique : les gains et les pertes sur cryptoactifs détenus à titre privé relèvent de l’opération de cession privée du paragraphe 23 de la loi relative à l’impôt sur le revenu, et une opération de cession suppose une vente ou un échange. Un vol n’est ni l’un ni l’autre, et les services fiscaux refusent donc de constater une perte, même lorsque celle-ci survient dans le délai de détention d’un an.

La possibilité de faire valoir une telle perte par une autre voie, par exemple au titre des frais professionnels, est discutée parmi les fiscalistes et dépend fortement du cas d’espèce. Quiconque est touché pour un montant notable devrait en parler à un conseil fiscal et non à un forum.

Plus important en pratique est le déménagement lui-même. Un transfert entre deux portefeuilles vous appartenant n’est pas une opération imposable, puisque le propriétaire économique ne change pas. Dans les données de nombreux logiciels d’analyse, il ressemble néanmoins à une sortie, et faute de rattachement, le logiciel en déduit au pire une cession. Documentez donc chacun des virements du jour avec la date, le montant, les frais ainsi que l’adresse d’origine et l’adresse de destination, et signalez-les comme transfert interne. Quels programmes consolident proprement plusieurs portefeuilles, le panorama des logiciels de fiscalité crypto et suivis de portefeuille le montre. Les données d’acquisition de vos avoirs doivent elles aussi survivre au déménagement, faute de quoi vous perdez la preuve du délai de détention de vos avoirs en Bitcoin.

Hameçonnage après l’alerte : reconnaître les faux messages du fabricant

Toute alerte de sécurité publique engendre en quelques heures une seconde vague d’attaques qui se greffe sur la première. Le schéma est toujours le même : un message se présente comme une aide du fabricant, renvoie à l’incident réel et conduit à un formulaire qui réclame la phrase de récupération. Le fabricant lui-même met expressément en garde, dans sa communication, contre les instructions venues de canaux non officiels.

La règle opposée est simple et ne souffre aucune exception : aucun fabricant, aucun support et aucune plateforme d’échange ne demande jamais vos 24 mots. Tout message qui le fait est une attaque, quelle que soit l’apparence d’authenticité de l’expéditeur. Qu’une adresse d’expéditeur puisse être exacte et le message néanmoins falsifié, nous l’avons montré à l’exemple d’un courriel d’hameçonnage parti du véritable domaine expéditeur.

Pour vous informer, tenez-vous-en au canal officiel de l’entreprise et aux pages d’assistance du fabricant. N’ouvrez pas de liens reçus en message privé, même lorsqu’ils apparaissent dans un groupe où vous recevez d’ordinaire des indications fiables.

Questions ouvertes de l’enquête : ce qui n’est pas encore tranché

Une appréciation réaliste suppose de dire ce que le fabricant laisse pour l’instant ouvert. On ignore la cause des transferts suspects, le nombre de portefeuilles touchés, le montant des sommes déplacées et la période exacte durant laquelle les transferts ont eu lieu. On ignore de même si seules certaines versions de l’application sont concernées ou si certaines chaînes ont été plus exposées que d’autres.

Tant que cela reste ouvert, les conclusions sont interdites dans les deux sens. Affirmer que le problème est circonscrit et maîtrisé n’est pas davantage établi que prétendre à une intrusion massive. Ce qui est établi, c’est la recommandation du fabricant, et elle tient quelle que soit l’issue de l’enquête : qui avait ses mots dans l’application déménage.

Vérifier son D'CENT App Wallet : ce qu’il faut retenir

1. Établissez d’abord si votre liste de mots a un jour figuré dans l’application. Seuls le portefeuille applicatif et les appareils matériels dont la liste de mots a été importée dans l’application sont visés. Qui connecte son appareil uniquement pour confirmer n’a, en l’état, rien à faire. Quels appareils exécutent réellement la signature dans la puce de sécurité, vous pouvez le vérifier dans le comparatif des portefeuilles matériels.
2. Déménagez dans le bon ordre. Créer le nouveau portefeuille, sauvegarder la liste de mots et éprouver la sauvegarde par une restauration, mettre l’application à jour, tester avec un petit montant, puis transférer le reste et mettre définitivement hors service l’ancienne liste de mots. Si vous changez de logiciel à cette occasion, le comparatif des portefeuilles logiciels aide à choisir.
3. Accomplissez les deux étapes suivantes. Révoquez les autorisations de jetons encore ouvertes sur l’ancienne adresse, et documentez chaque transfert avec la date, le montant, les frais et les deux adresses, afin que votre déménagement n’apparaisse pas comme une vente dans la déclaration fiscale. Vous trouverez un programme adapté parmi les logiciels de fiscalité crypto et suivis de portefeuille.

Sources : la communication du compte @DCENTWALLETS du 16 septembre 2026 ainsi que les questions et réponses du fabricant sur l’incident.

(Au 17 septembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)