Блог

Un utilisateur installe Rabby Wallet pour la première fois, navigue rapidement dans les premières étapes de configuration, et se retrouve deux semaines plus tard avec un portefeuille vulnérable ou des actifs difficiles à récupérer. Les erreurs commises au démarrage initial ne sont pas des détails techniques sans conséquence : elles établissent les fondations sur lesquelles reposent tous les actifs futurs. Rabby Wallet, en tant que portefeuille auto-custodié développé par DeBank et disponible sous forme d’extension navigateur et d’applications de bureau, place l’intégralité du contrôle entre les mains de l’utilisateur, ce qui signifie également que la responsabilité de la sécurité ne peut pas être déléguée.

La plateforme supporte plus de 141 chaînes EVM, offre une détection automatique du réseau, une simulation de transactions pour prévenir les arnaqueurs, et un suivi des positions DeFi intégré. Cependant, ces fonctionnalités n’ont aucune valeur si la phrase de récupération a été stockée de manière dangereuse, si la clé privée a été exposée, ou si les paramètres initiaux ont été configurés sans comprendre leurs implications. Cet article examine les erreurs les plus critiques et les plus courantes que les nouveaux utilisateurs commettent lors de la première utilisation, comment chacune compromet la sécurité, et comment les éviter dès le départ.

Erreur 1 et 2 : Sauter la phrase de récupération ou la stocker numériquement

La première erreur critique est de considérer la phrase de récupération comme une étape administrative optionnelle plutôt que comme le mécanisme fondamental de contrôle des actifs. Lors du premier lancement de Rabby Wallet, l’application génère une phrase de 12 ou 24 mots. Cette phrase n’est pas une confirmation de compte chez un prestataire ; c’est la clé cryptographique qui déverrouille chaque compte, chaque adresse, et chaque actif détenu dans ce portefeuille. Ne pas la noter revient à laisser un coffre-fort sans en conserver la combinaison.

Pire encore, beaucoup d’utilisateurs copient la phrase dans un éditeur de texte, un service de cloud, un email, ou un message instantané. Cette action anéantit immédiatement la sécurité du portefeuille. Un attaquant qui accède à une application de notes synchronisée, à un compte email, ou à un historique de messages a accès complet aux actifs. Les services cloud comme Google Drive, OneDrive ou iCloud ne sont pas des solutions de sauvegarde pour les clés cryptographiques : ils sont des points d’accès centralisés pour quiconque contrôle ce compte ou exécute une requête légale.

La bonne pratique exige d’écrire la phrase sur papier physique avec un stylo, en utilisant une écriture claire et lisible, sans prendre de photographie. Deux copies physiques, stockées dans des lieux géographiquement séparés et inaccessibles à des personnes non autorisées, réduisent le risque de perte sans créer de points d’accès numériques. Les utilisateurs les plus prudents utilisent aussi des solutions de multiplication : écrire les mots sur plusieurs petits papiers, les diviser entre plusieurs conteneurs sécurisés, ou utiliser une approche appelée Shamir Secret Sharing, où la phrase est fragmentée de manière à ce que plusieurs fragments soient nécessaires pour la reconstituer.

Le stockage de la phrase de récupération est donc l’étape déterminante du setup initial. Tout le reste du guide dépend de cette fondation. Si cette étape est compromise, chaque ligne qui suit devient presque inutile.

Erreur 3 et 4 : Ignorer le test de récupération et créer plusieurs portefeuilles par mauvaise compréhension

Une erreur subtile mais dévastatrice est d’accepter une phrase de récupération sans la tester immédiatement. Un utilisateur note la phrase, la range, puis suppose que tout fonctionne. Plusieurs mois plus tard, quand il a besoin de restaurer le portefeuille sur un nouvel appareil, il découvre que la phrase a été mal notée, qu’un mot était incomplet, ou que l’ordre des mots a été mélangé. À ce moment, les actifs peuvent être impossible à récupérer.

Rabby Wallet offre un moyen de tester la récupération sans perte de contrôle : avant de déplacer des actifs majeurs, créer une phrase temporaire dans un portefeuille test, la noter, puis restaurer le portefeuille depuis cette phrase sur un autre navigateur ou appareil pour confirmer que le processus fonctionne. Cet exercice prend 10 minutes et confirme que la phrase a été écrite correctement et que le processus de restauration est compris. Ne pas le faire signifie découvrir un problème critique seulement quand la solution est plus coûteuse.

La quatrième erreur est de créer plusieurs portefeuilles Rabby sans comprendre pourquoi. Certains utilisateurs cliquent sur «créer un nouveau portefeuille» plusieurs fois, pensant que chaque clic ajoute une nouvelle adresse au même compte. En réalité, chaque nouveau portefeuille génère une phrase de récupération entièrement distincte, des clés privées différentes, et une hiérarchie de dérivation indépendante. Cela crée rapidement une confusion : quel portefeuille contient quel actif ? Quelle phrase de récupération restaure quel compte ? Si les phrases ne sont pas soigneusement étiquetées et stockées en tant que paires distinctes, la récupération devient un cauchemar ou simplement impossible.

La pratique recommandée est d’utiliser un seul portefeuille Rabby avec une phrase de récupération unique, puis d’utiliser les comptes ou adresses dérivés au sein de ce portefeuille pour organiser les actifs par contexte ou risque. Si plusieurs portefeuilles sont vraiment nécessaires, chacun doit être documenté séparément avec sa phrase de récupération, chacune stockée comme une unité d’information distincte.

Erreur 5 et 6 : Négliger le mot de passe de déverrouillage local et configurer un PIN faible

Rabby Wallet chiffre les clés privées sur l’appareil : les clés ne quittent jamais le navigateur ou l’application de bureau où elles ont été créées. Cependant, ce chiffrement requiert un mot de passe ou un PIN pour être déverrouillé à chaque démarrage ou après une période d’inactivité. Certains utilisateurs créent un portefeuille, acceptent un PIN par défaut ou faible, puis l’oublient ou le changent en quelque chose qu’ils peuvent facilement taper.

Bien que le mot de passe local ne soit pas transmis aux serveurs DeBank (Rabby est open-source et complètement décentralisé sur ce point), il est la première couche de défense contre un accès non autorisé au portefeuille si l’appareil lui-même est compromis ou volé. Un PIN à quatre chiffres offre une protection minimale : il y a seulement 10 000 combinaisons possibles. Un attaquant avec accès physique au navigateur ou à l’application peut les essayer rapidement. Un mot de passe robuste combinant majuscules, minuscules, chiffres et caractères spéciaux, d’au moins 12 caractères, augmente considérablement la difficulté.

L’erreur 6 est de réutiliser le même mot de passe que celui utilisé ailleurs : email, réseaux sociaux, services bancaires. Si ce mot de passe a été compromis dans une fuite de données ailleurs, un attaquant le testera également sur Rabby. Un mot de passe unique, généré aléatoirement et stocké dans un gestionnaire de mots de passe local ou physique, élimine ce risque. La complexité du mot de passe local importe particulièrement pour les utilisateurs qui maintiennent des actifs importants et qui voyagent avec le même appareil tous les jours.

Erreur 7 et 8 : Négliger les autorisations du navigateur et installer l’extension depuis une source non officielle

L’extension Rabby est disponible pour Chrome, Firefox, Edge et Brave. Lors de l’installation, le navigateur demande des permissions : accès au contenu des pages web, accès au stockage local, capacité à modifier les requêtes réseau. Beaucoup d’utilisateurs cliquent simplement sur «accepter» sans examiner ce que l’extension peut réellement faire. Bien que Rabby soit un projet légitime audité par Least Authority en décembre 2024, le modèle de permission des extensions rend théoriquement possible qu’une extension malveillante intercepte les clés privées ou approuve des transactions sans l’approbation de l’utilisateur.

La bonne pratique est de télécharger Rabby uniquement depuis les magasins officiels d’extensions des navigateurs : Chrome Web Store, Firefox Add-ons, ou les dépôts équivalents pour Edge et Brave. Jamais depuis un site tiers, un fichier téléchargé d’un forum de discussion, ou un lien raccourci dans un tweet. Chaque installation doit correspondre exactement à l’identifiant officiel de l’extension. Avant d’installer, lire les avis, vérifier que le nombre de téléchargements correspond à celui rapporté par le projet officiel, et consulter un guide complet pour la procédure sécurisée d’installation.

L’erreur 8 est d’autoriser plusieurs extensions de portefeuille incompatibles à s’exécuter simultanément. Si MetaMask, TrustWallet et Rabby sont tous actifs, ils peuvent entrer en conflit, réduire les performances du navigateur, ou créer des vecteurs d’attaque inattendus. Chaque extension ayant accès au contenu des pages et à la mémoire du navigateur, la combinaison multiplie la surface d’exposition. Désactiver ou supprimer les extensions non utilisées est une mesure d’hygiène simple.

Erreur 9 et 10 : Approuver des transactions sans simulation et activer les réseaux de manière inconsidérée

L’une des forces de Rabby Wallet est sa capacité à simuler les transactions avant que l’utilisateur ne les signe. La simulation exécute la transaction sur un nœud local ou distant sans modification d’état réelle, permettant à l’utilisateur de voir exactement ce qui se passera : quels tokens seront envoyés, quels contrats intelligents seront appelés, quel sera le coût en gaz, et si une erreur attend en aval. Cette fonctionnalité prévient des pertes catastrophiques causées par des contrats pirates, des arnaqueurs de phishing, ou des erreurs de paramètres.

Pourtant, beaucoup d’utilisateurs ignorent les résultats de la simulation ou s’impatientent de leur lecture. Ils voient une fenêtre de confirmation, cliquent sur «approuver» sans examiner les détails, et découvrent trop tard que leurs tokens ont été envoyés à une adresse incorrecte ou utilisés de manière non intentionnelle. Chaque approbation de transaction, même une approbation de petite valeur, doit être examinée : le destinataire, le montant, les contrats impliqués, et le résultat attendu doivent tous correspondre à ce que l’utilisateur a précédemment décidé.

L’erreur 10 est d’ajouter des réseaux de blockchains sans comprendre comment faire. Rabby détecte automatiquement plus de 141 chaînes EVM, mais certains utilisateurs ajoutent manuellement des réseaux personnalisés en copiant des paramètres trouvés en ligne. Si l’URL du RPC (Remote Procedure Call) est incorrecte, contrôlée par un attaquant, ou pointant vers un service de suivi, l’utilisateur pourrait envoyer des tokens vers un réseau où ils sont perdus, ou exposer son adresse à une surveillance. Utiliser toujours les URL de nœud officielles ou les services publics reconnus (Infura, Alchemy, Ankr) et vérifier l’ID de la chaîne dans les paramètres Rabby avant de valider.

Erreur 11 et 12 : Mélanger les adresses publiques et supposer une confidentialité sur les blockchains publiques

Rabby Wallet génère une adresse publique pour chaque chaîne EVM. Cette adresse n’est pas confidentielle : elle est destinée à recevoir des tokens et peut être partagée librement. Cependant, une erreur courante est de réutiliser la même adresse pour des contextes sans rapport. Par exemple, un utilisateur pourrait utiliser la même adresse pour recevoir des paiements professionnels, des donations anonymes, et des achats privés. Quiconque dispose de cette adresse peut examiner le portefeuille public, voir tous les tokens, tous les NFTs, et tracer chaque transaction. Les chaînes EVM sont transparentes par défaut : aucune transaction n’est cachée.

La bonne pratique est d’utiliser plusieurs adresses dérivées du même portefeuille Rabby pour des contextes différents : une adresse pour les transactions professionnelles, une pour les interactions DeFi risquées, une pour les petites expériences. Rabby permet la dérivation de plusieurs adresses à partir d’une seule phrase de récupération, créant une séparation logique sans multiplier les phrases à sauvegarder. Cette approche, appelée segmentation contextuelle, réduit le lien entre les différentes activités.

L’erreur 12 est de supposer que parce qu’une transaction est approuvée sur la blockchain, elle ne peut pas être annulée ou modifiée. Les utilisateurs novices pensent parfois qu’une approbation de contrat intelligent accordant des permissions illimitées à un échange décentralisé ou un service de swap peut être retirée rapidement si le service devient suspect. En réalité, une approbation illimitée reste valide indefiniment jusqu’à ce que l’utilisateur la révoque explicitement. Durant ce temps, le service approuvé peut transférer tous les tokens couverts par l’approbation sans autre consentement. Rabby Wallet affiche les approbations existantes et permet de les révoquer, mais ce processus doit être compris et activement géré au lieu d’être ignoré.

Erreur 13 et 14 : Supposer que Rabby est un portefeuille d’échange et oublier les frais de gaz

Rabby Wallet est un portefeuille de self-custody : il ne détient pas les fonds, ne facilite pas les transactions inter-chaînes directes, et n’offre pas des services d’échange intégrés. Cependant, certains utilisateurs confondent les fonctionnalités de suivi DeFi et de gestion des tokens avec des capacités d’échange. Ils essaient d’effectuer un échange directement dans l’interface de Rabby, découvrent que ce n’est pas possible, puis supposent que le portefeuille est cassé ou incomplet.

Rabby est conçu pour interagir avec les protocoles DeFi existants (Uniswap, SushiSwap, etc.), mais l’utilisateur doit d’abord approuver les interactions et comprendre qu’il approuve les contrats, pas Rabby lui-même. Un swap sur Uniswap approuvé via Rabby est une transaction directe entre l’utilisateur et le contrat Uniswap, sans intermédiaire. Le succès, les tarifs, et les résultats dépendent du protocole, de l’état du réseau, et du prix du gaz à ce moment précis.

L’erreur 14 est de ne pas anticiper les frais de gaz ou de supposer qu’ils seront minimes. Sur les blockchains congénitales comme Ethereum, les frais de gaz peuvent équivaloir à des dizaines ou des centaines d’euros pour une transaction simple, surtout pendant les périodes de congestion. Rabby affiche une estimation des frais avant la signature, mais ignorer cette estimation ou supposer que c’est un prix maximal permanent est une erreur. Les frais fluctuent en fonction de la demande du réseau. Attendre les périodes de congestion faible, grouper plusieurs transactions, ou utiliser un réseau moins congestionné comme Polygon ou Arbitrum réduit considérablement les coûts.

Erreur 15 et 16 : Connecter Rabby à des sites malveillants par phishing et oublier de déverrouiller le portefeuille entre les appareil

Même si Rabby Wallet est sécurisé, un utilisateur peut être amené à connecter son portefeuille à un site contrefait. Un email, un message Discord, ou un post sur les réseaux sociaux prétend offrir une opportunité de rendement élevé ou une airdrop exclusive. Le lien mène à un site quasi identique au vrai service, mais contrôlé par l’attaquant. L’utilisateur se connecte avec Rabby, approuve une transaction supposément inoffensive, et donne instantanément à l’attaquant le contrôle de l’approbation d’un token ou d’une transaction drainante.

Rabby n’offre pas de protection contre le phishing au niveau du navigateur, car l’authentification est entièrement du côté de l’utilisateur. Toujours vérifier l’URL dans la barre d’adresse du navigateur avant de connecter le portefeuille, jamais cliquer sur des liens raccourcis ou fournis par des tiers, et préférer accéder aux services en les tapant directement dans la barre d’adresse ou en ajoutant des signets. Les projets légitimes n’envoient jamais d’emails ou de messages privés demandant une connexion au portefeuille.

L’erreur 16 est de supposer que Rabby Wallet sur un navigateur de bureau ou mobile est le même que Rabby sur un autre appareil. Le portefeuille créé sur un navigateur Chrome ne sera pas automatiquement synchronisé avec Firefox ou avec l’application de bureau. Les clés privées restent sur l’appareil où elles ont été créées. Pour accéder au même portefeuille depuis un autre appareil, l’utilisateur doit restaurer le portefeuille en utilisant la phrase de récupération. Cela crée un point critique : si la phrase a été perdue ou oubliée, l’accès au portefeuille depuis tout autre appareil est impossible.

Erreur 17 et 18 : Installer une version contrefaite de Rabby sur mobile et négliger la mise à jour du logiciel

Rabby Wallet officiel est disponible sur navigateur de bureau et via des applications pour Windows, Mac, et Linux. Sur mobile, il n’existe pas d’application officielle Rabby pour iOS ou Android à ce moment. Des applications contrefaites portant le nom de Rabby, prétendant être compatibles avec iOS ou Android, circulent régulièrement sur des boutiques d’applications tiers. Ces fakes demandent aux utilisateurs de créer des portefeuilles ou d’importer des phrases de récupération, puis volent les données de manière silencieuse.

L’erreur 17 est de télécharger une application de portefeuille crypto depuis un lien aléatoire ou une boutique non officielle. Vérifier toujours les sources officielles, demander dans les canaux Discord ou Twitter officiels du projet, et préférer les solutions audités plutôt que les inconnues. Rabby est audité par Least Authority (audit achevé décembre 2024) et est open-source, ce qui signifie que le code peut être inspectée. Ces éléments sont des signaux de confiance, mais ils ne s’appliquent qu’aux versions officielles.

L’erreur 18 est de ne pas mettre à jour le logiciel. Les extensions Rabby se mettent à jour généralement automatiquement une fois par semaine, mais sur les applications de bureau, les mises à jour peuvent être manuelles. Si une faille de sécurité critique est découverte, une mise à jour rapide est essentielle. Ignorer les notifications de mise à jour expose le portefeuille aux exploits connus. Configurer les mises à jour automatiques quand cela est possible, et vérifier manuellement les mises à jour disponibles au moins une fois par mois.

Erreur 19 et 20 : Partager son adresse privée ou sa seed avec un support ou un arnaqueur, et négliger les backups réguliers

Aucun support légitime, y compris DeBank ou Rabby, ne demandera jamais la phrase de récupération, la clé privée, ou le mot de passe de déverrouillage. Une personne se décrivant comme un agent de support et demandant ces informations est toujours un arnaqueur. Les utilisateurs qui ont perdu l’accès à leur portefeuille sont particulièrement vulnérables : ils sont stressés, désespérés de récupérer les actifs, et plus susceptibles d’ignorer les avertissements de base.

Rabby lui-même ne peut pas restaurer un portefeuille perdu. Si l’utilisateur a oublié le mot de passe de déverrouillage local et ne dispose pas d’une phrase de récupération sauvegardée, il n’existe aucun moyen de récupérer les actifs. C’est la conséquence directe d’être self-custodial : plus de contrôle signifie plus de responsabilité. Avant d’être dans cette situation, documenter le processus de récupération complet et le tester une fois sur un appareil de test.

L’erreur 20 est de ne pas maintenir de copies de la phrase de récupération à jour si plusieurs portefeuilles sont utilisés. Chaque portefeuille Rabby créé génère une nouvelle phrase. Ces phrases doivent être écrites, étiquetées clairement avec la date, la chaîne supportée, et l’utilisation prévue, puis stockées de manière à que l’une puisse être trouvée rapidement en cas de besoin. Un processus de sauvegarde régulier, comme l’examen des phrases une fois par trimestre pour vérifier que le stockage physique est intact, prévient les découvertes désagréables au moment d’une urgence.