Liste blanche de retrait sur une plateforme crypto : verrouiller la sortie contre les adresses étrangères

Si quelqu’un détient votre mot de passe et votre deuxième facteur, une seule question décide encore si votre solde quitte la plateforme : l’adresse de destination de l’attaquant figure-t-elle déjà dans votre compte, ou doit-il d’abord l’y inscrire ? C’est exactement là qu’intervient la liste blanche de retrait. Il s’agit d’une liste d’adresses de destination autorisées et, tant qu’elle est active, les retraits ne partent que vers des adresses de cette liste. Tout le reste est refusé, même avec le bon mot de passe.

Septembre 2026 a rendu cette question très concrète. Le 7 septembre, Bloomberg a fait état de la sortie d’environ 320 millions de dollars d’un portefeuille du Liquid Network, au cours de laquelle, selon l’opérateur, quelque 4 000 des 4 200 bitcoins ont été déplacés. TRM Labs chiffre à 116 millions de dollars le préjudice de la vague d’attaques visant les appareils Coldcard. Aucun de ces deux cas n’est une prise de contrôle de compte sur une plateforme, mais tous deux produisent le même effet sur le comportement des lecteurs : nombreux sont ceux qui déplacent ces jours-ci des avoirs entre plateformes et portefeuilles personnels, et chacun de ces mouvements emprunte précisément le chemin de retrait dont il est question ici.

Liste blanche de retrait : ce que la fonction verrouille et ce qu’elle laisse ouvert

Définition en une phrase : une liste blanche de retrait est un carnet d’adresses dans le compte de la plateforme, qui n’autorise les retraits que vers des adresses de destinataire préalablement approuvées.

La protection agit contre deux attaques très différentes. La première est la prise de contrôle du compte : celui qui parvient à se connecter peut, sans liste blanche, inscrire immédiatement une adresse à lui et retirer. La seconde est l’adresse substituée, par exemple par un logiciel malveillant qui remplace le contenu du presse-papiers, ou par une adresse préparée tirée de l’historique des transactions. Comment fonctionne cette seconde manœuvre et à quoi reconnaître une adresse glissée à votre insu, notre article sur la vérification des adresses de destinataire le détaille.

La liste blanche laisse ouvert tout ce qui se passe à l’intérieur des adresses approuvées. Celui qui vous amène à inscrire et à approuver son adresse vous-même contourne entièrement la protection. C’est le déroulement habituel de la fraude au support par téléphone, et c’est la raison pour laquelle une liste blanche est un verrou contre les tiers et non contre la tromperie.

Pourquoi l’authentification à deux facteurs ne sécurise pas le retrait

L’authentification à deux facteurs et la liste blanche de retrait résolvent des problèmes différents. Le deuxième facteur décide qui entre. La liste blanche décide vers où quelque chose sort. Si le deuxième facteur tombe, par exemple parce qu’il passe par SMS et que le numéro a été détourné, le chemin de retrait est immédiatement ouvert en l’absence de liste blanche. Pourquoi le SMS en est la variante la plus faible, nous l’avons décortiqué dans notre panorama des procédés à deux facteurs sur les plateformes crypto.

L’Office fédéral allemand de la sécurité des systèmes d’information recommande l’authentification à deux facteurs comme protection de base pour les comptes liés à de l’argent. Cette recommandation reste juste. Mais elle ne décrit que la porte d’entrée. Pour un compte de plateforme, il vous faut en outre une règle pour la sortie, et c’est précisément ce qui manque dans la plupart des réglages par défaut : chez les prestataires qui la proposent, une liste blanche est en pratique toujours facultative et désactivée d’origine.

Un second point est souvent négligé. La liste blanche vous protège aussi de vous-même. Une adresse vérifiée et enregistrée une fois n’a pas à être recopiée depuis une application à chaque retrait, ce qui supprime l’occasion même où une adresse erronée entre dans le formulaire. Qui retire régulièrement vers le même portefeuille matériel réduit le nombre de moments risqués à un seul, le premier. Quels appareils entrent en ligne de compte et en quoi ils diffèrent, notre comparatif des portefeuilles matériels le précise.

Le verrou temporel dans le compte : pourquoi le délai est la vraie protection

Une liste blanche seule présente une faiblesse que tout attaquant connaît : elle peut être modifiée. Celui qui est dans le compte inscrit une nouvelle adresse et attend la confirmation. C’est pourquoi les prestataires sérieux couplent la liste d’adresses à un délai. Les entrées nouvelles ou modifiées ne prennent effet qu’après une durée fixe, et cette durée court indépendamment du fait que l’attaquant se trouve encore ou non dans le compte.

L’effet est simple à décrire. Un attaquant qui veut retirer sur-le-champ échoue devant l’horloge. Un attaquant qui patiente risque que la notification de la modification vous parvienne avant l’expiration du délai. Cela suppose toutefois que vous receviez effectivement cette notification, donc que l’adresse enregistrée soit à jour et que l’accès à la messagerie soit lui-même bien protégé.

Le Global Settings Lock de Kraken : ce que la page d’aide promet concrètement

Parmi les prestataires examinés, le plus abondamment documenté est Kraken. La fonction y porte le nom de Global Settings Lock, en abrégé GSL. Selon la description figurant sur la page d’aide consacrée à la prévention des retraits indésirables, mise à jour le 23 mars 2026, le verrou empêche les modifications du compte et masque les informations sensibles.

Le délai, c’est vous qui le fixez

Lors de l’activation, vous déterminez combien de temps prend le déverrouillage sans clé de secours. Kraken décrit ce délai dans son guide comme une indication obligatoire au moment de la configuration. La phrase décisive de la documentation est que le support ne peut pas aider à retirer le verrou lorsque le délai de déverrouillage se situe entre un et trente jours. La formulation est d’une netteté inhabituelle et constitue le cœur même de la fonction : le verrou agit aussi contre le prestataire lui-même, c’est-à-dire contre la voie qu’empruntent les attaquants dans la fraude au support.

Avec le verrou actif, aucune nouvelle adresse ne peut être inscrite

Le guide d’ajout d’une nouvelle adresse de retrait précise qu’aucune adresse de retrait ne peut être ajoutée tant que le Global Settings Lock est actif. La chaîne est ainsi bouclée : les retraits partent vers des adresses inscrites, et rien ne peut être inscrit tant que le verrou tient. Toute adresse nouvellement ajoutée doit de toute façon être confirmée par un lien reçu par courriel.

Même sans verrou, un court délai de rétention s’applique

Indépendamment du Global Settings Lock, Kraken décrit un délai après un changement de mot de passe : pour qui modifie son mot de passe sans avoir configuré ni authentification à deux facteurs ni clé de secours, les retraits vers de nouvelles adresses sont retenus pendant 24 heures. Les adresses déjà inscrites ne sont pas concernées. C’est exactement le schéma qui rend une liste blanche si précieuse : la gêne frappe les nouvelles destinations, tandis que le trajet habituel vers votre propre portefeuille continue de fonctionner.

Master Key : la clé de secours qui lève à nouveau le délai

Au verrou répond un pendant que la documentation nomme ouvertement. La Master Key peut désactiver le Global Settings Lock à tout moment. Kraken écrit expressément que cette possibilité commode s’accompagne d’un risque de sécurité accru si la clé de secours venait à être compromise. Et il existe un ordre que l’on ne se trompe qu’une fois : une fois le verrou actif, aucune Master Key ne peut plus être créée.

Il en découle une décision que personne ne prendra à votre place. Avec une clé de secours, vous restez en mesure d’agir si vous changez d’avis, et votre protection ne vaut que ce que vaut la conservation de cette clé. Sans elle, le verrou est plus dur, et vous devrez patienter jusqu’au terme que vous avez vous-même fixé le cas échéant, quand bien même vous êtes le titulaire légitime du compte. Un long délai n’est donc pas un gain pur : c’est un échange, plus de protection contre les tiers, moins de latitude pour vous.

En pratique : choisissez le délai en fonction du montant que vous laissez sur la plateforme, et non au ressenti. Qui n’y conserve qu’un solde de négociation et retire régulièrement vers le même portefeuille s’accommode d’un délai court. Qui laisse des avoirs plus importants sur le compte devrait d’abord se demander si ces avoirs ont lieu d’y être.

L’enquête : 13 prestataires, 23 pages, trois indications explicites

Cette évaluation a été réalisée par cryptoticker.io le 8 septembre 2026. La méthode en une phrase : pour treize prestataires disposant d’une présence en langue allemande, les pages sécurité et aide accessibles au public ont été consultées avec un identifiant de navigateur ordinaire, le code de statut HTTP a été relevé et le texte visible, dépouillé de son ossature HTML, a été passé au crible pour repérer la mention d’une liste blanche, d’une allowlist ou d’un carnet d’adresses pour les retraits.

Ont été examinées 23 pages de 13 prestataires : Kraken, Binance, Coinbase, Bitpanda, Bitvavo, BISON, OKX, Bybit, Bitget, Crypto.com, KuCoin, Bitstamp et Nexo. Au sens de la méthode, quatre pages de prestataires étaient exploitables. Trois d’entre elles nomment la fonction explicitement, une ne la nomme pas. Neuf prestataires n’étaient pas vérifiables par ce procédé.

Crypto.com et Nexo : ce que disent les pages sécurité lisibles

La page sécurité de Crypto.com contient la phrase selon laquelle l’approbation d’adresses externes par une confirmation par courriel est obligatoire. C’est la seule occurrence de l’enquête qui décrive une liste blanche non comme une option, mais comme une exigence. La même page cite par ailleurs les passkeys, les modules de sécurité matériels et FIDO2 comme procédés de connexion.

Nexo fait figurer sur sa page sécurité une liste blanche d’adresses comme point à part entière et la décrit comme la gestion de ses propres adresses crypto en vue de virements sans erreur. L’accent y porte manifestement sur la faute de frappe et non sur l’attaquant. La page mentionne en complément un code anti-hameçonnage pour l’authenticité des messages ainsi qu’une vérification automatique de chaque retrait.

La page sécurité de Bitpanda était également accessible, mais son texte visible ne comporte aucune indication sur une liste blanche de retrait. C’est un constat sur la page et non une affirmation sur la fonction : de l’absence d’une phrase sur une page de marketing, il ne découle pas que le réglage n’existe pas dans le compte.

Pour Binance, la page d’aide pertinente sur la liste blanche des adresses de retrait est bien accessible au public, mais elle n’a pas pu être consultée de façon automatisée lors du test : la réponse est revenue sans contenu. La recherche sur le web confirme le contenu, à savoir qu’une fois la fonction activée, aucun retrait n’est possible vers des adresses ne figurant pas sur la liste. Nous le mentionnons donc comme une indication confirmée et non comme une mesure propre.

Neuf pages de prestataires n’étaient pas vérifiables : ce que cette évaluation ne montre pas

L’honnêteté sur les lacunes fait partie de l’enquête. Chez Coinbase et Bitvavo, les pages d’aide ont répondu par une défense contre les consultations automatisées, visible sous la forme du code de statut 403. Chez OKX, les adresses vérifiées n’ont mené nulle part. Bybit, KuCoin, Bitget et Bitstamp ont certes renvoyé un code de statut positif, mais leur contenu n’est chargé qu’ensuite dans le navigateur, si bien que le document récupéré ne contient aucun texte exploitable. L’adresse sécurité vérifiée de BISON n’existait pas.

Il en résulte une limite nette de l’affirmation. Ce qui a été mesuré, c’est ce qu’un prestataire documente publiquement et de façon lisible par une machine, non les réglages effectivement présents dans un compte connecté. Plusieurs des prestataires non vérifiables proposent très probablement une approbation d’adresses. Qui veut en avoir le cœur net trouvera la réponse en un endroit qu’aucune enquête menée de l’extérieur n’atteint : dans les réglages de sécurité de son propre compte.

La répartition n’en reste pas moins frappante. Sur treize grands prestataires, quatre permettent de lire quoi que ce soit sur la manière dont le chemin de retrait est sécurisé, et un seul décrit le verrou avec assez de détail pour que l’on sache, avant de l’activer, à quoi l’on s’engage. Pour une fonction qui décide le cas échéant du solde entier du compte, c’est maigre.

Activer la liste blanche : l’ordre qui ne vous enferme pas dehors

Selon les prestataires, les réglages s’appellent carnet d’adresses, Address Whitelist, Allowlist ou adresses de retrait, et ils se trouvent presque toujours dans la zone sécurité du compte, non dans le formulaire de retrait. L’ordre importe davantage que l’appellation, car deux des étapes se rattrapent difficilement ensuite.

1. Inscrire d’abord l’adresse de réception de votre propre portefeuille et la tester avec un montant minime, tant que rien n’est encore verrouillé.
2. Vérifier ensuite si le prestataire propose une clé de secours ou une fonction d’urgence comparable, et la configurer avant que le verrou ne devienne actif.
3. Armer seulement après cela la liste blanche et fixer, le cas échéant, le délai applicable aux modifications.
4. Contrôler pour finir l’adresse électronique enregistrée, car c’est par elle que passent la confirmation et l’alerte.
5. Si votre prestataire gère plusieurs réseaux pour la même cryptomonnaie, inscrire et étiqueter chaque adresse séparément.

Ce que vous voyez ensuite dans le formulaire de retrait

Une fois la fonction activée, le champ de saisie libre pour l’adresse disparaît chez la plupart des prestataires et cède la place à une liste de sélection. Cette différence visible est précisément votre contrôle : si vous pouvez encore taper une adresse étrangère et l’utiliser aussitôt, la liste blanche n’est pas active, quoi que disent les réglages.

Retirer cette semaine : le déroulement de la demande à la confirmation

Septembre donne à de nombreux lecteurs une raison concrète de déplacer des avoirs. Lorsqu’une plateforme cesse la négociation d’une cryptomonnaie, une fenêtre de retrait plus longue subsiste souvent, et l’expérience des dernières semaines montre que beaucoup de détenteurs ne réagissent qu’à l’approche de l’échéance. Les dates limites en cours figurent dans notre récapitulatif des échéances, vérifié en continu.

Pour le déroulement, cela signifie : mettez la liste blanche en place avant d’être sous la pression du temps. Une adresse nouvellement inscrite exige une confirmation par courriel, et là où un délai s’applique, il s’y ajoute. Qui inscrit une adresse pour la première fois le dernier jour d’une échéance travaille contre le délai même censé le protéger.

Et si quelque chose s’échappe malgré tout, la rapidité compte. Bloquez le compte, sauvegardez les justificatifs du journal d’activité et documentez l’adresse de destination avant de modifier quoi que ce soit. Comment procéder ensuite et ce qu’apporte concrètement une plainte auprès de la police, nous l’avons décrit dans un article distinct consacré à la marche à suivre après un vol de cryptomonnaies.

Mettre en place une liste blanche de retrait : ce qu’il faut en retenir

1. Ouvrez dès aujourd’hui les réglages de sécurité de votre compte et vérifiez s’il existe une approbation d’adresses. Ce n’est publiquement documenté que chez quatre des treize prestataires examinés ; dans le compte lui-même, vous le voyez en deux minutes. Si votre prestataire n’en propose aucune, c’est un argument pour votre prochain changement, et le choix figure dans notre comparatif des plateformes crypto.
2. Inscrivez l’adresse de votre propre portefeuille, testez-la, et verrouillez seulement ensuite. Un montant minime au préalable coûte quelques centimes de frais et écarte l’erreur la plus coûteuse. Quel appareil convient, le comparatif des portefeuilles matériels le dit.
3. Choisissez le délai en connaissance de cause et créez la clé de secours au préalable. Qui détient des avoirs importants sur une plateforme devrait en outre vérifier si le prestataire est seulement supervisé ; le point de départ est notre liste des plateformes crypto réglementées.

Une remarque pour finir, car elle se perd souvent dans le débat sur les fonctions de sécurité : chacun de ces verrous n’agit que sur les avoirs déposés chez un prestataire. Ce qui se trouve sur votre propre portefeuille n’est protégé par aucune liste blanche ; d’autres règles s’y appliquent. Protéger le chemin de retrait ne remplace donc pas la décision de savoir combien reste sur une plateforme.

(Au 8 septembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)