Wallet DeFi expliqué : comment se connecter en sécurité aux applications crypto

Un wallet DeFi est un portefeuille crypto dont vous conservez vous-même la clé privée et avec lequel vous vous connectez directement aux applications de la blockchain : plateformes d’échange décentralisées comme Uniswap, protocoles de prêt ou services de staking. Il n’y a ni compte chez un prestataire, ni banque, ni réinitialisation du mot de passe. Celui qui possède les douze ou 24 mots de la phrase de récupération possède les cryptos. C’est précisément ce qui fait du wallet DeFi la porte d’entrée de la finance décentralisée et, dans le même temps, la brèche la plus fréquente pour les escrocs.

L’enjeu dépasse la technique : celui qui détient de l’ether, des stablecoins ou d’autres jetons dans un wallet DeFi décide à chaque confirmation qui obtient l’accès à ses avoirs. Personne ne récupère les sommes volées. Le rapport annuel du service de sécurité Scam Sniffer montre à quel point cela peut être dangereux : par le phishing par signature et les « wallet drainers », les utilisateurs ont perdu environ 83,85 millions de dollars en 2025, répartis entre 106 106 victimes. C’est 83 % de moins que les 494 millions de dollars de 2024, mais encore plus de 790 dollars par cas en moyenne.

Ce guide explique comment fonctionne un wallet DeFi, quelles formes il peut prendre, ce qui se passe réellement lors de la connexion à une application décentralisée et quelles règles européennes s’appliquent à l’autoconservation et aux transferts. L’accent est mis sur le moment où surviennent la plupart des pertes : la confirmation d’une signature ou d’une autorisation de jetons.

Qu’est-ce qu’un wallet DeFi ? L’autoconservation avec sa propre clé privée

DeFi signifie Decentralized Finance, c’est-à-dire des services financiers qui fonctionnent sous forme de contrats intelligents sur une blockchain. Un contrat intelligent est un programme qui exécute automatiquement des règles dès que quelqu’un envoie une transaction appropriée. Pour utiliser ces programmes, il faut une adresse capable de signer des transactions. Cette signature est produite avec la clé privée, un long nombre dont découle votre adresse publique.

Un wallet DeFi est le logiciel qui gère cette clé, affiche les transactions et les signe après votre confirmation. On parle d’autoconservation, ou de self-custody en anglais : personne d’autre que vous ne peut déclencher un virement, et personne d’autre que vous ne peut remplacer une phrase perdue. Parmi les exemples connus figurent MetaMask pour Ethereum et les réseaux compatibles, Phantom pour Solana ou Trust Wallet pour de nombreux réseaux à la fois. Nos guides installer MetaMask et configurer Trust Wallet détaillent la mise en place.

Un point est essentiel pour comprendre : les cryptos ne se trouvent jamais « dans » le wallet. Le solde est inscrit sur la blockchain, à votre adresse. Le wallet n’est que le trousseau qui en donne l’accès. C’est pourquoi vous pouvez restaurer la même adresse dans une autre application dès que vous saisissez la phrase de récupération. Et c’est pourquoi la phrase doit être conservée sur papier ou sur métal en lieu sûr, jamais en photo, dans le cloud ou dans une messagerie.

Wallet DeFi et wallet de plateforme : qui détient la clé contrôle l’accès

Sur une plateforme crypto comme Coinbase, Kraken ou Bitpanda, vous disposez d’un compte client. La plateforme conserve les clés, exécute vos ordres et engage sa responsabilité dans le cadre de son agrément. Dans l’UE, ces prestataires doivent être agréés comme prestataires de services sur crypto-actifs depuis la fin de la période transitoire du règlement MiCA. Un mot de passe oublié peut être réinitialisé, une équipe d’assistance contrôle les retraits suspects et un signalement peut bloquer un virement.

Un wallet DeFi n’offre rien de tout cela. En contrepartie, vous accédez à des applications qu’une plateforme ne propose pas : des jetons négociés uniquement sur des plateformes décentralisées, des pools de liquidité, des prêts on-chain ou des votes au sein d’une DAO. L’arbitrage se fait donc entre confort et protection d’un côté, liberté et responsabilité personnelle de l’autre. Beaucoup d’investisseurs combinent les deux : ils achètent de l’ether sur une plateforme réglementée et en envoient une partie vers leur propre wallet DeFi lorsqu’ils veulent utiliser une application précise.

Une différence souvent négligée concerne la responsabilité. Si une plateforme est piratée, elle doit répondre envers ses clients. Si vous signez une autorisation frauduleuse dans votre wallet DeFi, il s’agit, du point de vue de la blockchain, d’une transaction valide. Aucune instance ne peut l’annuler.

Extension de navigateur, application ou portefeuille matériel : les trois formes du wallet DeFi

Extension de navigateur

La forme la plus répandue est l’extension pour Chrome, Brave ou Firefox. La fenêtre s’affiche dès qu’un site demande une connexion ou une signature. C’est pratique pour négocier sur ordinateur, mais la clé est stockée, chiffrée, sur un appareil connecté à Internet. Un tel wallet fait donc partie des hot wallets. Si un logiciel malveillant s’installe sur l’ordinateur, il peut, dans le pire des cas, lire les saisies ou afficher de fausses fenêtres.

Application mobile

Des applications comme Trust Wallet ou la version mobile de MetaMask intègrent leur propre navigateur pour les applications décentralisées. Vous pouvez aussi relier l’application à un site ouvert sur votre ordinateur via WalletConnect. Grâce au cloisonnement et au verrouillage de l’appareil, le smartphone est souvent mieux protégé qu’un navigateur de bureau truffé d’extensions, mais il reste un appareil connecté.

Le portefeuille matériel comme appareil de signature

Un portefeuille matériel est un petit appareil que la clé privée ne quitte jamais. Vous pouvez l’associer à un wallet DeFi comme MetaMask : le logiciel affiche soldes et applications, mais la signature n’est produite qu’après une pression sur le bouton de l’appareil. Cela protège bien contre les logiciels malveillants sur l’ordinateur. Face à une autorisation que vous confirmez vous-même, la protection ne vaut que si l’écran affiche la transaction de façon lisible et que vous la lisez avant d’appuyer. Les appareils qui y parviennent de façon fiable et les wallets logiciels qui conviennent comme interface sont comparés dans notre comparatif des wallets logiciels.

Connecter un wallet via WalletConnect ou une extension : ce que la connexion permet et ce qu’elle ne permet pas

Lorsque vous cliquez sur « Connect Wallet » dans une application décentralisée, il ne se passe d’abord pas grand-chose. Le site apprend votre adresse publique et peut lire votre solde, que chacun peut de toute façon consulter sur la blockchain. Il ne peut pas encore déplacer de fonds. WalletConnect est un protocole ouvert qui relie un site à votre application de wallet au moyen d’un QR code, sans que la clé quitte le smartphone.

Le risque n’apparaît qu’aux étapes suivantes : l’application envoie une requête et votre wallet affiche une fenêtre vous invitant à signer ou à confirmer quelque chose. Seule cette confirmation produit un effet. Vous pouvez couper la connexion à tout moment dans les réglages du wallet. Cela supprime toutefois uniquement la visibilité de votre adresse pour ce site, pas les droits que vous avez déjà accordés à un contrat intelligent.

Une ruse fréquente consiste donc à utiliser un faux site : une copie d’Uniswap, de Lido ou d’un portail d’airdrop, accessible via une annonce dans un moteur de recherche ou un lien sur les réseaux sociaux. La connexion paraît anodine, la confirmation suivante ne l’est pas. Lisez la barre d’adresse avant chaque connexion et créez des favoris pour les applications que vous utilisez régulièrement.

Signature et transaction : deux confirmations au poids très différent

Un wallet DeFi connaît deux types de confirmation. La transaction est envoyée à la blockchain, coûte des frais et modifie immédiatement quelque chose : elle transfère des jetons, exécute un échange ou accorde une autorisation. La signature, elle, est une signature numérique apposée sur un message. Elle ne coûte rien, n’est pas envoyée immédiatement et paraît donc inoffensive.

Beaucoup de signatures le sont effectivement, comme la connexion à une application avec « Sign-In with Ethereum ». D’autres contiennent en revanche une permission complète, qu’un tiers peut ensuite inscrire lui-même sur la blockchain. C’est le cas des signatures Permit selon la norme EIP-2612 et du procédé apparenté Permit2. Juridiquement, une telle signature équivaut à une procuration signée que le destinataire peut utiliser à tout moment tant qu’elle n’a pas expiré.

Un bon wallet DeFi indique donc, avant chaque signature, quel type est demandé. Si s’affichent « Permit », « Spending Cap » ou « Approve » avec un jeton et une adresse de destination que vous ne connaissez pas, il s’agit d’un accès à vos avoirs. Si seul apparaît un texte de connexion lisible, sans montant, c’est en règle générale sans danger.

Autorisations de jetons : pourquoi une allowance illimitée continue de courir après la déconnexion

Avant qu’un contrat intelligent puisse déplacer vos jetons, par exemple pour échanger des USDC contre de l’ether, vous devez lui accorder une autorisation. Dans le jargon, on parle d’allowance ou d’approval : le montant qu’un contrat donné peut prélever sur votre adresse. De nombreuses applications demandent par défaut une allowance illimitée, afin que vous n’ayez pas à payer de seconds frais lors du prochain échange.

Les développeurs d’ethereum.org décrivent clairement le risque dans leur guide sur la révocation des accès aux jetons : une permission accordée n’a pas de date d’expiration et reste valable même si vous n’utilisez plus l’application depuis longtemps et avez déconnecté votre wallet. Si le contrat est piraté plus tard ou était malveillant dès le départ, il peut siphonner les jetons autorisés. La révocation coûte de modestes frais de transaction et, selon le guide, ne met aucun avoir en danger.

Il en découle une habitude simple : lorsque le wallet le permet, n’autorisez que le montant nécessaire à l’échange en cours. MetaMask affiche à cet effet un champ « Spending Cap », dans lequel vous inscrivez votre montant réel au lieu du plafond proposé. Vous contrôlez les anciennes autorisations avec des outils comme Revoke.cash ou le vérificateur d’autorisations d’Etherscan, qui listent par réseau toutes les allowances ouvertes de votre adresse. Un guide détaillé, étape par étape, avec les trois questions à se poser avant chaque confirmation, figure dans l’article Wallet drainers : ce que vous autorisez vraiment en confirmant.

Signatures Permit et EIP-7702 : les mécanismes derrière 83,85 millions de dollars de pertes en 2025

Selon le rapport annuel de Scam Sniffer, les signatures Permit ont été en 2025 la forme dominante du vol par signature. Dans les gros dossiers de plus d’un million de dollars, 38 % du préjudice revenaient à Permit et Permit2. Le plus gros cas de l’année, en septembre, a coûté environ 6,5 millions de dollars à une victime, à la suite d’une seule signature Permit. Parmi les cas de plus d’un million de dollars de préjudice, trois relevaient de signatures Permit et trois d’autorisations Approve classiques.

Une nouvelle voie d’attaque est apparue avec EIP-7702. Cette extension, arrivée avec la mise à jour Pectra d’Ethereum en mai 2025, permet à une adresse ordinaire d’utiliser temporairement le code d’un contrat intelligent, par exemple pour regrouper plusieurs transactions. Si vous signez une telle délégation au profit d’un contrat malveillant, celui-ci peut disposer de votre adresse. Scam Sniffer a recensé en août 2025 deux cas totalisant 2,54 millions de dollars de préjudice.

Les détenteurs d’ether sont concernés, car presque tous ces procédés visent Ethereum et les réseaux compatibles. Une fonction que beaucoup d’utilisateurs négligent renforce la sécurité : les wallets modernes simulent une transaction avant sa confirmation et indiquent quels jetons quitteraient votre compte. Si cet aperçu est vide ou flou, ou si le wallet signale une adresse frauduleuse connue, vous annulez.

Frais de gas et réseaux : chaque blockchain exige son propre carburant

Chaque transaction dans un wallet DeFi coûte des frais de réseau, les gas fees. Sur Ethereum, vous les payez en ether, sur Solana en SOL. Faute de la bonne cryptomonnaie, votre solde reste immobilisé, même si suffisamment de stablecoins se trouvent à l’adresse. C’est l’une des erreurs de débutant les plus fréquentes : envoyer des USDC sur un réseau de couche 2 comme Arbitrum, puis constater qu’il manque de l’ether sur ce même réseau pour l’étape suivante.

Le choix du bon réseau compte tout autant lors d’un dépôt. Une adresse Ethereum a la même apparence sur Arbitrum ou Base. Si vous envoyez des jetons via le mauvais réseau vers une plateforme qui ne le prend pas en charge, ils peuvent être perdus dans le pire des cas. Un wallet DeFi affiche généralement le réseau actif en haut de la fenêtre. Les faux réseaux aux adresses d’interface de données manipulées constituent une autre voie d’attaque ; n’ajoutez donc de nouveaux réseaux que via des répertoires reconnus ou le site officiel du projet.

Wallet DeFi et règles européennes : MiCA, règlement sur les transferts de fonds et seuil de 1 000 euros

L’utilisation d’un wallet DeFi ne requiert aucun agrément, et les éditeurs de logiciels de pure autoconservation ne relèvent pas non plus de l’obligation d’agrément du règlement MiCA. Celui qui conserve en revanche les clés d’autrui, comme une plateforme ou un dépositaire, a besoin d’une licence ; les règles MiCA fixent les obligations de ces prestataires.

La réglementation se fait sentir à l’interface. Le règlement européen sur les transferts de fonds appliqué aux crypto-actifs, le règlement (UE) 2023/1113, s’applique depuis le 30 décembre 2024. Si vous effectuez un virement d’une plateforme vers une adresse auto-hébergée, le prestataire doit recueillir des informations sur l’expéditeur et le destinataire. Pour les montants supérieurs à 1 000 euros, il doit en outre, en vertu de l’article 14, paragraphe 5, établir si l’adresse vous appartient ou est contrôlée par vous. En pratique, les plateformes demandent pour cela un petit virement test, un message signé depuis le wallet ou une capture d’écran. Prévoyez cette étape avant d’envoyer un montant important vers votre wallet DeFi.

Il en va de même en sens inverse lors d’un dépôt : si des fonds reviennent vers la plateforme depuis un wallet DeFi, le prestataire peut s’enquérir de l’origine et de la propriété de l’adresse. Veillez donc à ce que le lien entre votre compte de plateforme et votre propre adresse reste traçable. Selon votre pays de résidence, les échanges entre jetons peuvent aussi avoir des conséquences fiscales : conservez dès le départ un historique complet de vos transactions.

Wallet DeFi : sans autorisation ouverte, un drainer tourne à vide

Un wallet DeFi n’est pas un produit que l’on configure une fois pour l’oublier ensuite. C’est un outil dont la sécurité dépend de vos habitudes : des adresses distinctes pour les essais et pour l’épargne, des autorisations limitées, un regard sur chaque signature et un nettoyage régulier des anciennes allowances. Trois comparatifs vous aident pour la suite :

1. Couper les clés d’Internet : associez votre wallet DeFi à un appareil de signature. Les modèles qui affichent les transactions de façon lisible figurent dans le comparatif des portefeuilles matériels.
2. Commencer avec un prestataire agréé : achetez de l’ether ou des stablecoins sur une plateforme agréée MiCA et ne transférez que la part que vous utilisez réellement dans la DeFi. Le comparatif des plateformes crypto réglementées en donne un aperçu.
3. Documenter pour le fisc dès le départ : importez vos adresses de wallet dans un logiciel fiscal avant que des centaines d’échanges ne s’accumulent. Les programmes adaptés figurent dans le comparatif des logiciels fiscaux crypto et outils de suivi de portefeuille.

(Au 13 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)