Sécurité du compte Binance : 2FA, anti-phishing et listes blanches

1. La double authentification

Activez-la avec une application d'authentification plutôt que par SMS.

Les codes SMS sont livrés à un numéro de téléphone, et les numéros de téléphone sont transférables. Les attaques par échange de SIM — où quelqu'un convainc un opérateur mobile de basculer votre numéro sur son appareil — sont une technique standard contre les comptes crypto précisément, parce que le gain justifie l'effort.

Une application d'authentification génère les codes sur l'appareil lui-même. Il n'y a rien à intercepter et aucun opérateur à manipuler. Une clé de sécurité matérielle est encore plus solide là où elle est prise en charge.

1. Installez une application d'authentification sur un appareil que vous contrôlez et gardez.
2. Activez la double authentification par application dans les réglages de sécurité de Binance.
3. Conservez les codes de récupération hors ligne — sur papier c'est très bien, dans le même gestionnaire de mots de passe que le mot de passe non.
4. Si la double authentification par SMS est déjà active, désactivez-la une fois la méthode par application fonctionnelle.
5. Testez-la une fois en vous déconnectant et reconnectant, avant tout dépôt.

Perdre l'accès à l'authentificateur sans codes de récupération impose une procédure de récupération par vérification d'identité qui prend des jours. Notez les codes au moment de l'activation, pas plus tard.

2. Le code anti-phishing

C'est le réglage au meilleur rapport valeur/effort, et la plupart des gens n'en ont jamais entendu parler.

Vous choisissez une courte phrase, et Binance l'inclut dans chaque e-mail authentique qu'elle vous envoie. Les e-mails de phishing — qui copient précisément le design de Binance et sont souvent impossibles à distinguer autrement — ne peuvent pas la contenir, car leur expéditeur ne la connaît pas.

Dès lors, un e-mail sans votre phrase est faux, aussi convaincant soit-il. C'est une vérification que vous pouvez faire en une seconde, à chaque fois, sans aucun jugement à porter.

3. La liste blanche d'adresses de retrait

C'est le réglage qui détermine la gravité du pire scénario.

Avec la liste blanche activée, les fonds ne peuvent être retirés que vers des adresses approuvées à l'avance, et ajouter une nouvelle adresse déclenche un délai avant qu'elle ne soit utilisable. Un attaquant qui a votre mot de passe, votre session et même vos codes de double authentification ne peut toujours pas envoyer les fonds vers sa propre adresse immédiatement — et ce délai est exactement la fenêtre pendant laquelle vous remarquez et agissez.

Sans elle, un compte compromis est vidé en une transaction vers une adresse que vous n'avez jamais vue, et la transaction est irréversible.

• Activez la liste blanche avant votre premier retrait, pas après.
• N'ajoutez que des adresses que vous contrôlez et comptez réutiliser.
• Attendez-vous à un délai de sécurité à chaque ajout — ce délai est la fonctionnalité.
• Revoyez la liste périodiquement et retirez les adresses que vous n'utilisez plus.
• Combinez-la avec la double authentification : ensemble elles couvrent presque toute attaque réaliste.

4. Hygiène des sessions et des appareils

Les réglages de sécurité de Binance listent chaque appareil et chaque session active du compte. Lisez cette liste une fois puis de temps en temps.

Tout ce que vous ne reconnaissez pas doit être terminé immédiatement, suivi d'un changement de mot de passe et d'une réinitialisation de la double authentification. Les sessions persistent bien plus longtemps qu'on ne le pense, et une vieille session sur un appareil vendu ou perdu est un identifiant vivant.

La même section contient la gestion des clés API. Si vous n'avez jamais créé de clé API, aucune ne devrait figurer — une clé que vous n'avez pas créée est la découverte la plus grave possible, car les clés peuvent trader sans déclencher d'alerte de connexion.

Si vous créez des clés API pour un bot ou un suivi de portefeuille, limitez-les aux permissions réellement nécessaires, liez-les à une adresse IP, et n'activez jamais la permission de retrait.

Comment les comptes sont réellement pris

Comprendre les voies habituelles rend les réglages ci-dessus moins abstraits.

Le phishing est la voie dominante. Un e-mail ou une publicité convaincante mène à une page de connexion qui n'est pas Binance, vous saisissez vos identifiants et votre code de double authentification, et l'attaquant les relaie tous deux vers le vrai site pendant la fenêtre de validité du code. Le code anti-phishing bat la version par e-mail ; mettre le vrai site en favori et ne jamais naviguer depuis un lien bat le reste.

Le faux support est la deuxième. Personne chez Binance ne vous contactera en premier sur Telegram, Discord ou WhatsApp. Les conversations de support démarrent depuis l'application, à votre initiative.

Les approbations malveillantes et les logiciels espionnant le presse-papiers comptent davantage pour les portefeuilles auto-gérés que pour les comptes de plateforme, mais l'habitude qui en protège — vérifier les premiers et derniers caractères de toute adresse collée — vaut partout.

L'échange de SIM vise spécifiquement la double authentification par SMS, ce qui explique le contenu de la première section.

Ce contre quoi aucun réglage ne protège

Être clair sur les limites compte autant que la liste de contrôle.

Aucun de ces réglages ne vous protège de vos propres décisions de trading, d'une position à effet de levier liquidée, ou d'un actif qui perd de la valeur. Ce ne sont pas des incidents de sécurité, et aucune configuration ne les empêche.

Ils ne changent pas non plus le fait fondamental que les actifs sur une plateforme sont détenus par cette plateforme. Pour des montants destinés au long terme, l'auto-conservation dans un portefeuille dont vous contrôlez les clés est un profil de risque différent — avec ses propres modes de défaillance, principalement la perte définitive et irrécupérable d'une phrase de récupération.

La liste de contrôle en dix minutes

Dans l'ordre, avant le premier dépôt.

1. Activer la double authentification par application et conserver les codes de récupération hors ligne.
2. Définir un code anti-phishing.
3. Activer la liste blanche d'adresses de retrait.
4. Passer en revue les sessions, appareils et clés API ; terminer tout ce qui est inconnu.
5. Mettre le vrai domaine Binance en favori et n'utiliser que ce favori désormais.
6. Faire un petit dépôt et un petit retrait de test pour confirmer que tout le parcours fonctionne pendant que les enjeux sont faibles.