Signatures, autorisations et réponse à incident

Nommez l'action avant de l'approuver

Quatre choses différentes sont couramment regroupées sous l'expression « connecter le portefeuille », et leurs conséquences sont très inégales. Une connexion révèle en général une adresse publique que vous choisissez — c'est la moins lourde de conséquences et celle qui inquiète le plus.

Une signature de message prouve la maîtrise d'une adresse sans rien déplacer, d'où son usage pour se connecter. Elle peut aussi autoriser des données structurées dont le sens n'est pas évident dans le texte affiché, et c'est ainsi que fonctionnent certaines des attaques les plus destructrices : l'écran ressemble à une connexion anodine et accorde autre chose.

Une autorisation de jeton accorde à un contrat un pouvoir continu de dépenser un jeton depuis votre adresse, jusqu'à un plafond, tant qu'elle n'est pas révoquée. Elle ne déplace rien au moment où vous signez, et c'est précisément ce qui la rend dangereuse : la conséquence arrive plus tard et n'exige plus rien de vous. Une transaction est le cas direct : elle transfère des actifs ou appelle du code maintenant.

Lisez la portée, pas la marque

Pour toute demande, les champs qui comptent sont le réseau, le contrat appelé, le bénéficiaire du pouvoir, le montant ou le plafond, la destination, la méthode invoquée et les frais maximaux. Les portefeuilles présentent ces éléments avec une clarté variable, et certains exigent d'ouvrir un panneau de détails pour les voir.

Les autorisations illimitées sont la valeur par défaut dans beaucoup d'interfaces car elles évitent d'autoriser à nouveau plus tard. La contrepartie est que le contrat peut dépenser ce jeton depuis votre adresse indéfiniment ; toute compromission future du contrat, de ses clés d'administration ou de l'interface atteint donc tout ce que vous détenez de ce jeton. Autoriser un montant précis est un peu moins commode et nettement plus étroit.

Un portefeuille matériel ne règle pas cela. Il protège la clé contre l'extraction ; il signe ce que vous confirmez. Si la demande elle-même accorde un pouvoir excessif, le matériel signe fidèlement cette demande. L'appareil améliore la sécurité de la clé, pas le jugement.

Confinez avant d'improviser

Quand quelque chose a mal tourné, l'instinct pousse à agir vite, et l'improvisation précipitée aggrave généralement les choses. Suivez plutôt une séquence fixe.

D'abord, cessez de signer et d'envoyer : plus d'autorisations, pas de transaction de test, aucune interaction avec le site. Ensuite, établissez quel pouvoir a réellement été accordé, à l'aide d'un outil vérifié de revue des autorisations atteint par vous-même et non via un lien qu'on vous propose. Troisièmement, révoquez les autorisations inutiles si les clés sont encore les vôtres seules. Quatrièmement, si la phrase de récupération elle-même peut être exposée, révoquer ne suffit pas : les actifs doivent rejoindre un portefeuille généré sur un appareil de confiance, et ce déplacement exige des actifs de frais qui peuvent eux aussi être menacés.

Pendant tout ce temps, conservez les preuves — hashes, domaine exact, captures, horodatages — et contactez le portefeuille ou le service par un canal que vous trouvez vous-même. Ne suivez pas d'instructions de récupération non sollicitées, et sachez qu'une demande d'aide publique attire des usurpateurs en quelques minutes.

• Déconnectez le site suspect et cessez toute signature.
• Passez en revue les autorisations avec un outil atteint par vous-même.
• Révoquez les pouvoirs inutiles tant que les clés vous appartiennent seul.
• Si la phrase peut être exposée, migrez au lieu de révoquer.
• Conservez hashes, domaines et captures avant toute autre chose.
• Signalez la fraude par des canaux vérifiés de façon indépendante.