Une clé privée, c'est un nombre. Juste un nombre, tiré au hasard entre 1 et environ 2 puissance 256. Écrit en entier, ça donne un chiffre de 78 chiffres : à peu près 10 puissance 77 possibilités. Les physiciens estiment le nombre d'atomes dans l'univers observable autour de 10 puissance 80. On est dans le même ordre de grandeur.

Quelqu'un qui voudrait deviner ta clé au hasard n'a aucune chance, même avec tous les ordinateurs de la planète pendant des milliards d'années. Ce n'est pas une façon de parler, c'est du calcul. Ta phrase de 12 mots, c'est la même logique : 2 048 mots possibles par case, 12 cases, soit 128 bits de hasard (plus une petite somme de contrôle). Largement assez.

Alors pourquoi des clés se font quand même voler ? Parce que la faille n'est presque jamais dans les maths. Elle est dans le hasard. Trois histoires vraies pour le montrer.

1. Les « brainwallets » : quand l'humain choisit son propre hasard

Au début de $BTC, certains fabriquaient leur clé à partir d'une phrase qu'ils retenaient de tête. Pratique : rien à noter. En août 2015, à la conférence de sécurité DEF CON, le chercheur Ryan Castellucci a montré ce que ça donnait. Son outil testait des centaines de milliers de phrases par seconde. Parmi ce qu'il a trouvé : « Down the Rabbit-Hole », qui a contenu environ 85 BTC en 2012. Une phrase vide, qui avait reçu 50 BTC, vidée en quelques secondes. Au total, les portefeuilles qu'il a craqués avaient contenu jusqu'à 733 BTC. Lui n'a rien pris, et il a même retrouvé un propriétaire pour lui rendre 250 BTC. D'autres, plus discrets, surveillaient déjà ces adresses en permanence.

La leçon est simple : une phrase qu'un humain trouve « originale » est souvent dans un dictionnaire, une chanson, un proverbe. Et une machine peut tester tout ça très vite.

2. Profanity : un nombre géant fabriqué à partir d'un petit

Profanity était un outil populaire sur $ETH pour créer des adresses « jolies », qui commencent par plein de zéros par exemple. Le problème, révélé par des contributeurs de 1inch le 15 septembre 2022 : la clé de 256 bits était dérivée d'une graine de seulement 32 bits. Environ 4 milliards de départs possibles. Ça paraît énorme pour toi et moi. Pour une machine, c'est une liste qu'on peut parcourir.

Cinq jours plus tard, le 20 septembre 2022, la société de trading Wintermute perdait environ 160 millions de dollars. Son adresse d'administration avait été créée avec Profanity. Elle avait retiré l'ETH de cette adresse après l'alerte, mais l'adresse gardait encore les droits sur son coffre. Une équipe de sécurité, Amber Labs, a ensuite reproduit l'attaque en moins de 48 heures avec un simple ordinateur portable.

La leçon : une clé peut avoir la bonne taille et être fausse à l'intérieur. Ce qui compte, c'est la vraie quantité de hasard au départ.

3. Le maillon qu'on oublie : la copie

Les deux premières histoires parlent de clés mal fabriquées. La plupart des vols d'aujourd'hui ne demandent même pas ça. La clé est parfaite, mais elle a été tapée dans un faux site, photographiée et sauvegardée dans le cloud, envoyée à un « support » sur Telegram. Le calcul te protège de l'attaquant qui devine. Il ne peut rien contre celui à qui tu donnes la réponse.

Ce que j'en retiens

On fait souvent peur aux gens avec la cryptographie, comme si c'était fragile. C'est l'inverse : c'est la partie la plus solide de toute l'histoire. Ce qui est fragile, ce sont nos raccourcis. Choisir sa phrase soi-même parce que c'est plus facile à retenir. Utiliser un générateur trouvé sur internet parce qu'il donne une jolie adresse. Garder une photo « au cas où ».

Trois réflexes qui suivent directement de ces histoires, et pas d'une liste toute faite :

- Laisse le portefeuille générer la phrase. Ne la compose jamais toi-même, même « au hasard » dans ta tête.

- Méfie-toi des outils qui promettent une adresse personnalisée ou une clé « plus sûre ». Un portefeuille reconnu fait déjà ce travail.

- Une phrase de récupération ne se tape que dans le portefeuille lui-même, au moment de restaurer. Jamais sur un site, jamais pour un « contrôle ».

Ce n'est pas un conseil d'investissement, juste de la mécanique.

Question pour toi : avant de lire ça, tu pensais que le plus grand risque pour tes cryptos, c'était un hacker génial ou une erreur toute bête ?

#CryptoSecurity #PrivateKey #Web3Security #BinanceSquare #CryptoEducation