Pourquoi personne ne peut deviner votre phrase de récupération

Il y a quelque chose d’étrange avec votre phrase de récupération : la liste de mots n’est pas secrète. Les 2 048 mots possibles sont publiés dans une norme ouverte que n’importe qui peut télécharger. Votre portefeuille en a choisi douze. Qu’est-ce qui empêche alors quelqu’un d’essayer toutes les combinaisons jusqu’à tomber sur la vôtre ?

La réponse tient dans un seul nombre. Prenez le temps de mesurer à quel point il est grand.

Tout tient dans un seul nombre

Une phrase de douze mots est l’une des quelque 340 000 000 000 000 000 000 000 000 000 000 000 000 possibilités. Écrit comme ça, ce chiffre ne veut rien dire. Voyons ça autrement.

Il y a environ 7,5 milliards de milliards de grains de sable sur Terre. Imaginez maintenant que chacun de ces grains soit lui-même une planète entière, avec ses propres plages et ses propres 7,5 milliards de milliards de grains. Quelqu’un peint un grain, quelque part, sur l’un de ces mondes. Deviner votre phrase de récupération, c’est trouver ce grain-là, du premier coup.

Personne ne devine votre phrase de récupération. Ni avec tous les ordinateurs de la Terre, ni avec mille ans devant soi.

Cette taille porte un nom : l’entropie

L’entropie, c’est la taille de la botte de foin dans laquelle se cache l’aiguille. Elle compte toutes les phrases que la vôtre aurait pu être, et elle se mesure en bits : chaque bit supplémentaire double le nombre de possibilités. Douze mots portent 128 bits d’entropie. Vingt-quatre mots en portent 256.

On serait tenté de lire ça comme « vingt-quatre mots, c’est deux fois plus sûr ». Pas vraiment. Les deux chiffres sont déjà hors d’atteinte, un peu comme une porte fermée à clé et une chambre forte sont toutes les deux hors de portée d’un enfant de trois ans. Vingt-quatre mots vous donnent de la marge pour un avenir que personne ne voit clairement, et c’est une bonne raison de les choisir. Ils ne rattrapent pas un portefeuille qui s’est trompé de source de hasard.

D’où vient le hasard, au juste ?

Les mots sont le résultat, pas la source. Quand vous créez un portefeuille, il réclame à l’appareil une dose de vrai hasard : 128 bits pour douze mots, 256 pour vingt-quatre. Téléphones et ordinateurs embarquent un générateur cryptographique conçu précisément pour ça, alimenté par le bruit physique que la machine collecte. Ce n’est qu’ensuite que le portefeuille traduit ces bits en mots que vous pouvez noter.

La sécurité de votre phrase s’est donc jouée juste avant qu’elle ne s’affiche. Tout ce qui vient après, la mise par écrit, la plaque de métal, la cachette, protège une phrase dont la solidité était déjà fixée.

À quoi ça ressemble quand ça tourne mal

Le 30 juillet 2026, près de 594 bitcoins ont été siphonnés sur environ 500 portefeuilles, en à peine 25 minutes. Toutes les victimes avaient créé leur phrase de récupération sur la même marque de portefeuille matériel, et aucune n’avait commis la moindre erreur.

Ces appareils embarquaient pourtant une vraie puce dédiée au hasard. Le micrologiciel était censé s’en servir. À cause d’un bug dans une bibliothèque de bas niveau, la création de la phrase retombait en silence sur un générateur logiciel ordinaire. Sur les modèles touchés, l’entropie réelle chutait de 128 bits à une quarantaine : de l’ordre de mille milliards de possibilités, ce qui semble énorme et qu’un ordinateur moderne avale sans transpirer. Une fois la faille comprise, il n’y avait même plus rien à voler : il suffisait de recalculer les phrases.

Voici ce sur quoi il faut s’arrêter. Ces phrases restaient douze mots ordinaires tirés de la liste standard. Elles passaient toutes les vérifications. Elles se restauraient sans broncher dans n’importe quel portefeuille. Rien à l’écran, rien qu’un utilisateur aurait pu contrôler, ne les distinguait d’une phrase avec ses 128 bits complets derrière elle. Le bug se trouvait dans le micrologiciel depuis mars 2021 et est passé inaperçu pendant cinq ans.

Une phrase de récupération faible ressemble exactement à une phrase solide. C’est précisément ce qui la rend dangereuse.

Ce que vous pouvez vraiment y faire

Vous ne pouvez pas regarder douze mots et deviner s’ils viennent d’une bonne source. C’est inconfortable, et prétendre le contraire serait malhonnête. Ce que vous pouvez faire, c’est mettre toutes les chances de votre côté :

• Laissez le portefeuille la générer. N’inventez jamais vos propres mots. Les mots choisis par un humain n’ont rien d’aléatoire. On va tous chercher les mêmes mots, les mêmes prénoms, les mêmes tournures, et les attaquants exploitent cette prévisibilité depuis des années. Une phrase que vous avez inventée peut ne cacher que quelques dizaines de bits d’entropie réelle derrière ce que vous preniez pour un secret bien trouvé.
• Ne transformez pas une phrase de passe en phrase de récupération. Les « brain wallets », où une formule facile à retenir tient lieu de clé, sont vidés méthodiquement depuis les débuts du Bitcoin. Toutes les jolies citations sont déjà passées à la moulinette.
• Préférez les portefeuilles dont le code est public. La faille décrite plus haut a été trouvée en lisant le code source, ce qui suppose qu’il y ait du code source à lire. Le code ouvert ne garantit pas l’absence d’erreur, mais c’est toute la différence entre un bug qu’on peut trouver et un bug qu’on ne peut pas.
• Lancez les dés si vous voulez lever tout doute. Beaucoup de portefeuilles acceptent des lancers de dés comme source d’entropie, à la place de l’appareil. Cinquante lancers d’un dé à six faces suffisent à dépasser les 128 bits. C’est plus lent et plus fastidieux, et pour la plupart des gens ce n’est pas nécessaire, mais ça déplace la confiance d’une puce que vous ne pouvez pas inspecter vers un cube que vous tenez dans la main.

Comment Bad Wallet s’y prend

Bad Wallet réclame au générateur cryptographique de votre propre appareil la totalité de l’entropie prévue, à chaque fois : 128 bits pour douze mots, 256 pour vingt-quatre, jamais moins. Aucune source plus faible n’est prévue en secours, et si un appareil ne peut pas fournir du vrai hasard, l’app s’arrête au lieu de vous tendre une phrase qui n’en a que l’apparence. Le code qui s’en charge est public, et un test automatisé verrouille la source d’entropie pour qu’elle ne change pas en douce. Vous pouvez lire le modèle de sécurité complet si vous voulez le détail.