En décembre 2025, un utilisateur a envoyé 49 999 950 USDT, soit près de 50 millions de dollars, à un voleur. Un petit virement d’essai vers la bonne adresse était d’abord bien arrivé. Quelques minutes plus tard, le virement principal est parti vers une adresse copiée dans l’historique du portefeuille, où un pirate avait glissé une adresse jumelle. Selon le compte rendu de Cointelegraph du 20 décembre 2025, Cos, fondateur de la société de sécurité SlowMist, a résumé le piège en une phrase (traduite ici de l’anglais) : « On voit que les 3 premiers caractères et les 4 derniers sont les mêmes. »
Alors, une adresse crypto, c’est quoi ? La chaîne de lettres et de chiffres qui indique à une blockchain où envoyer des jetons. Imaginez un numéro de compte qu’aucune banque n’a délivré et qu’aucune banque ne peut annuler : un paiement fait vers cette adresse est définitif, qu’elle soit la bonne ou non. Chaque réseau écrit ses adresses à sa manière. Une adresse bitcoin et une adresse Ethereum n’ont rien en commun à l’œil, et sur certains réseaux une plateforme demande en plus un mémo ou un tag à côté de l’adresse.
Cette leçon prolonge notre guide sur le fonctionnement d’une transaction crypto, du portefeuille au bloc, où l’adresse n’était que la case « destinataire » d’un paiement. Cette case mérite qu’on s’y arrête : beaucoup d’erreurs s’y jouent sans que personne ne touche à vos clés. Les faits sont à jour d’octobre 2026.
Adresse crypto : une étiquette publique calculée à partir d’une clé secrète
Un portefeuille crypto ne contient pas de jetons. Les jetons sont des lignes d’un registre public ; le portefeuille garde les clés qui permettent de les déplacer. Tout part d’une clé privée, un très grand nombre secret. À partir d’elle, le portefeuille calcule une clé publique grâce aux mathématiques des courbes elliptiques (sur Bitcoin comme sur Ethereum, une courbe nommée secp256k1). De la clé publique, ou d’un script qui décrit les conditions de dépense, smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il tire ensuite une adresse.
Chaque étape ne se parcourt que dans un sens. N’importe qui peut vérifier qu’une adresse correspond à une clé publique, et qu’une clé publique correspond à une signature, mais personne ne sait remonter de l’adresse à la clé privée. C’est pour cela qu’on peut afficher une adresse sur un site ou l’imprimer sur une facture sans danger pour les fonds, et c’est aussi pour cela que perdre la clé privée revient à perdre l’accès pour toujours.
Autre confusion fréquente : l’adresse n’est pas la clé publique. Sur Bitcoin, l’adresse est le plus souvent un hachage de la clé publique, une empreinte plus courte. Le guide des développeurs Bitcoin note que, dans bien des cas, on distribue ces hachages plutôt que les clés elles-mêmes, et que la clé publique n’apparaît qu’au moment où les bitcoins qu’elle contrôle sont dépensés. L’adresse ajoute deux choses que la clé brute n’a pas : une somme de contrôle qui rattrape les fautes de frappe, et un préfixe qui dit au logiciel de quel type d’adresse il s’agit.
On confond souvent « portefeuille » et « adresse ». Un seul portefeuille peut contrôler des milliers d’adresses, toutes dérivées de la même sauvegarde. Un portefeuille bitcoin en affiche normalement une nouvelle chaque fois que vous touchez « Recevoir », alors que les utilisateurs d’Ethereum gardent souvent la même adresse pendant des années.
De la clé privée à l’adresse bitcoin en sept étapes
Le plus ancien format bitcoin, toujours valide aujourd’hui, se construit ainsi, d’après la page technique du Bitcoin Wiki sur les adresses de version 1 :
- On part de la clé publique, longue de 33 octets dans sa forme compressée habituelle.
- On la hache avec SHA-256.
- On hache ce résultat avec RIPEMD-160, ce qui donne 20 octets.
- On place un octet de version devant : 0x00 pour le réseau principal de Bitcoin.
- On hache ces 21 octets deux fois avec SHA-256 et on garde les 4 premiers octets du résultat : c’est la somme de contrôle.
- On ajoute ces 4 octets à la fin, soit 25 octets au total.
- On encode les 25 octets en Base58Check, un alphabet de chiffres et de lettres qui écarte les caractères faciles à confondre, comme 0 et O.
Le résultat est une chaîne qui commence par 1. Le Bitcoin Wiki donne aux adresses du réseau principal une longueur de 25 à 34 caractères. Quand vous collez l’une d’elles dans un portefeuille, le logiciel défait l’étape 7, recalcule la somme de contrôle et la compare aux 4 derniers octets. Si vous avez mal tapé un caractère, les deux valeurs divergent presque à coup sûr et le portefeuille refuse l’adresse. Le XRP Ledger utilise lui aussi une somme de contrôle de 4 octets, et sa documentation estime à environ 1 sur 232, soit un peu moins d’une chance sur quatre milliards, la probabilité qu’une chaîne au hasard passe le test.
Un avertissement s’impose ici, car les tables de préfixes recensent aussi des chaînes qui ne sont pas des adresses. Sur Bitcoin, une chaîne qui commence par 5, K ou L peut être une clé privée au format WIF. Une chaîne qui commence par xprv est une clé privée étendue, et une liste de 12 ou 24 mots est une phrase de récupération. Ce sont des secrets. Quiconque les voit peut vider les fonds : ils n’ont leur place ni dans un message « pour recevoir », ni dans un échange avec un support, ni sur une capture d’écran. Notre guide pour protéger sa phrase de récupération traite le volet sauvegarde.
Adresse bitcoin : quatre familles qu’on distingue aux premiers caractères
Bitcoin a changé plusieurs fois de format d’adresse depuis 2009 sans jamais retirer les anciens : un portefeuille moderne doit donc tous les lire. Les premiers caractères indiquent la famille. Pour le contexte sur la monnaie elle-même, voyez notre guide Bitcoin, ce que c’est et comment ça marche ou la fiche Bitcoin.
Les adresses qui commencent par 1 suivent le format d’origine, le paiement vers un hachage de clé publique (P2PKH) décrit plus haut. Celles qui commencent par 3 viennent du BIP13, la norme du paiement vers un hachage de script (P2SH) : au lieu du hachage d’une clé, elles encodent celui d’un script qui fixe les conditions de dépense, ce qui a donné aux portefeuilles multisignatures des adresses courtes à partager. Les deux utilisent Base58Check et distinguent majuscules et minuscules.
Viennent ensuite les adresses SegWit natives en bc1q, définies par le BIP173, une norme attribuée en mars 2017. Elles reposent sur un autre encodage, le bech32, en trois parties : un préfixe lisible (« bc » sur le réseau principal), le séparateur « 1 » et une partie de données dont les six derniers caractères forment la somme de contrôle. Une adresse bc1q à clé unique compte 42 caractères ; celle qui paie vers un script en compte 62. Le BIP173 garantit que toute erreur touchant jusqu’à quatre caractères est détectée, et situe sous une chance sur un milliard le risque de laisser passer une erreur plus large. Il demande aussi aux portefeuilles de ne pas corriger les erreurs eux-mêmes, tout au plus d’indiquer où la faute pourrait se trouver : une adresse « corrigée » peut passer le contrôle et appartenir pourtant à quelqu’un d’autre.
La famille la plus récente, bc1p, porte les sorties Taproot. Spécifié dans le BIP341, Taproot s’est activé au bloc 709 632 et définit des sorties SegWit de version 1 avec un programme de 32 octets. Pour les encoder, le BIP350 a introduit le bech32m, une variante qui corrige une faiblesse du bech32 : quand une adresse se terminait par « p », insérer ou supprimer des « q » juste avant pouvait laisser la somme de contrôle valide. Une adresse bc1p compte 62 caractères. Bitcoin Optech, une lettre d’information destinée aux développeurs, relève que les logiciels capables de payer des adresses bc1q devaient être mis à jour pour payer des adresses bc1p ; elle a signalé la prise en charge du bech32m par Bitcoin Core en mars 2021 et par Electrum 4.1.0 en mai 2021. Un vieux portefeuille ou un service en retard qui refuse une adresse bc1p bute en général sur cet écart, pas sur une faute de frappe.
Les réseaux de test emploient d’autres préfixes, pour qu’on ne confonde pas les jetons d’essai avec les vrais : m ou n pour les adresses de test classiques, 2 pour les adresses de script et tb1 pour SegWit. Les réseaux qui ont copié la conception de Bitcoin, comme Litecoin, ont eux aussi leurs préfixes propres, pour la même raison.
Adresse Ethereum : une chaîne en 0x pour plusieurs réseaux
Ethereum fonctionne avec des comptes, et non avec des pièces posées à une adresse. La documentation d’ethereum.org sur les comptes en décrit deux sortes. Le compte externe est contrôlé par une clé privée, et en créer un ne coûte rien. Le compte de contrat est contrôlé par du code, un contrat intelligent, et reçoit son adresse au moment du déploiement. Les deux se présentent de la même façon : 0x suivi de 40 caractères hexadécimaux (de 0 à 9 et de a à f), soit 42 caractères en tout.
Pour un compte contrôlé par une clé, l’adresse correspond aux 20 derniers octets du hachage Keccak-256 de la clé publique. Keccak-256 est la fonction de hachage qu’Ethereum emploie partout. L’adresse n’a pas d’octet de version et, dans sa forme de base, pas de somme de contrôle, d’où la nécessité d’une seconde norme. Notre guide Ethereum, ce que c’est décrit le reste du système, et la fiche Ethereum l’ether lui-même.
La différence entre les deux types de comptes compte au moment d’envoyer. Un contrat est un programme. Les contrats de jetons et les applications de finance décentralisée sont conçus pour recevoir des transactions, mais un contrat dépourvu de fonction pour rendre les fonds peut garder tout ce qu’il reçoit, et personne, ses auteurs compris, ne sera peut-être en mesure de les en sortir.
Une adresse crypto est-elle sensible à la casse ?
Cela dépend du réseau, et Bitcoin à lui seul donne deux réponses différentes.
Sur Ethereum, les lettres d’une adresse peuvent s’écrire en majuscules ou en minuscules, et le mélange porte une somme de contrôle. L’EIP-55, créé en janvier 2016 par Vitalik Buterin et Alex Van de Sande, procède ainsi : on hache l’adresse en minuscules avec Keccak-256, puis on écrit en capitale chaque lettre de a à f dont le chiffre correspondant du hachage vaut 8 ou plus. L’exemple de la proposition est 0xfB6916095ca1df60bB79Ce92cE3Ea74c37c5d359. Cela ajoute en moyenne environ 15 bits de contrôle par adresse, et l’EIP chiffre à 0,0247 %, soit environ 1 sur 4 000, la probabilité qu’une adresse mal recopiée passe quand même. Une adresse tout en minuscules ou tout en majuscules reste valide ; elle ne porte simplement aucun contrôle.
Sur Bitcoin, les adresses classiques qui commencent par 1 ou 3 distinguent la casse : changer une seule lettre de majuscule en minuscule donne une autre chaîne et, presque toujours, une chaîne invalide. Les adresses bech32 (bc1q, bc1p) font l’inverse. Le BIP173 demande aux portefeuilles de les écrire en minuscules et de rejeter toute adresse qui mêle les deux casses ; les capitales ne sont admises que sur l’ensemble de l’adresse, par exemple dans un code QR. Sur le XRP Ledger, les adresses distinguent aussi la casse, comme les adresses classiques de Bitcoin.
Quel que soit le réseau, une somme de contrôle ne rattrape que les fautes de frappe. Une adresse jumelle fabriquée par un pirate est parfaitement valide : elle passe tous les contrôles de votre portefeuille.
La même adresse sur Ethereum, les réseaux de couche 2 et BNB Chain
Comme l’adresse se calcule à partir de la clé de la même façon sur toutes les chaînes qui exécutent la machine virtuelle d’Ethereum, une même clé privée donne la même adresse en 0x sur Ethereum, sur les réseaux de couche 2 et sur d’autres chaînes compatibles, comme BNB Chain, où vit le BNB. La page d’ethereum.org sur les réseaux le dit du point de vue de l’utilisateur : votre compte fonctionne d’un réseau à l’autre, mais le solde et l’historique de l’un ne se reportent pas sur l’autre. En regardant une adresse en 0x, on ne peut pas savoir par quel réseau passera un paiement ; seul le sélecteur de réseau de votre portefeuille ou de votre plateforme en décide.
TRON est un cousin. La documentation pour développeurs de TRON explique qu’une adresse TRON est une valeur de 21 octets : l’octet de préfixe 0x41 suivi de 20 octets calculés exactement comme sur Ethereum. Encodée en Base58Check, elle devient une chaîne de 34 caractères qui commence par T. Même clé, mêmes 20 octets, un autre réseau et un autre encodage. Plus de détails sur TRON dans sa fiche.
Les noms ENS : alice.eth à la place du 0x
L’Ethereum Name Service permet d’enregistrer un nom comme alice.eth qui renvoie vers une adresse. Un portefeuille compatible ENS cherche le nom sur Ethereum et remplit la chaîne 0x à votre place. La documentation d’ENS précise qu’un nom peut aussi stocker des adresses d’autres chaînes, dont Bitcoin et Solana, et que la résolution part toujours du réseau principal d’Ethereum. Deux précautions : un nom ne vaut que ce que vaut la personne qui vous l’a donné, et la documentation prévient que les noms ENS ne se limitent pas à la terminaison .eth. Vérifiez que l’adresse affichée par votre portefeuille après la recherche est bien celle que vous attendez.
Formats d’adresse crypto selon le réseau
Le tableau résume les formats qu’un débutant rencontre le plus souvent. Les longueurs viennent de la documentation de chaque réseau, sauf celle de Solana, qui est notre propre calcul (expliqué sous le tableau), et celles de Stellar, qui découlent de sa norme d’encodage SEP-23.
| Réseau | Débute par | Longueur | Encodage et somme de contrôle | Champ supplémentaire à surveiller |
|---|---|---|---|---|
| Bitcoin, classique (P2PKH) | 1 | 25 à 34 | Base58Check, somme de contrôle de 4 octets | Aucun |
| Bitcoin, script (P2SH) | 3 | 25 à 34 | Base58Check, somme de contrôle de 4 octets | Aucun |
| Bitcoin, SegWit natif | bc1q | 42 ou 62 | bech32, somme de contrôle de 6 caractères, minuscules | Aucun |
| Bitcoin, Taproot | bc1p | 62 | bech32m, somme de contrôle de 6 caractères, minuscules | Les vieux expéditeurs peuvent ne pas le gérer |
| Ethereum et chaînes compatibles | 0x | 42 | Hexadécimal, majuscules et minuscules EIP-55 facultatives | Le réseau que vous choisissez |
| TRON | T | 34 | Base58Check | Le réseau que vous choisissez |
| Solana | Tout caractère base58 | En général 32 à 44 | Base58 d’une clé de 32 octets, sans somme de contrôle | Comptes de jetons |
| XRP Ledger | r (X pour les adresses X) | 25 à 35 | Base58 avec l’alphabet XRP, somme de contrôle de 4 octets | Tag de destination |
| Stellar | G (comptes), C (contrats) | 56 (G), 69 pour les adresses multiplexées M | Strkey en base32 avec somme de contrôle | Mémo |
| TON | EQ ou UQ (réseau principal) | 48 | Base64 avec somme de contrôle CRC16 | Indicateur de rebond |
| Cardano | addr1 (paiement), stake1 (staking) | Variable selon le type d’adresse | Bech32 (Base58 pour les anciennes adresses Byron) | Adresse de paiement ou de staking |
La documentation de Solana indique que chaque compte est identifié par une adresse de 32 octets, soit une clé publique Ed25519, soit une adresse dérivée d’un programme. Écrits en base58, 32 octets donnent jusqu’à 44 caractères, et moins pour les petites valeurs, d’où des adresses Solana qui font en général de 32 à 44 caractères. Il n’y a pas de somme de contrôle : un portefeuille ne peut pas rattraper une faute de frappe comme le fait un portefeuille bitcoin. Les jetons sur Solana ne se trouvent pas non plus à l’adresse du portefeuille : chaque jeton détenu vit dans un compte de jeton distinct, et celui par défaut, le compte de jeton associé, est dérivé de l’adresse du portefeuille et de l’adresse de création (mint) du jeton. À la première réception d’un nouveau jeton, ce compte doit être créé et approvisionné d’un petit solde remboursable. Notre guide sur les pièces et les jetons explique pourquoi les jetons se gèrent autrement que la monnaie native d’une chaîne.
Sur le XRP Ledger, une adresse en r ne devient un compte qu’une fois qu’elle a reçu assez de XRP pour couvrir la réserve. En octobre 2026, la page des réserves de xrpl.org indique une réserve de base de 1 XRP, plus 0,2 XRP pour chaque objet que le compte possède ; les validateurs votent ces montants, qui peuvent donc changer. Les adresses X, qui commencent par X sur le réseau principal, regroupent l’adresse et un tag de destination dans une seule chaîne, mais le registre ne comprend que la forme classique en r. La fiche XRP présente le réseau.
Les adresses Stellar en G sont des comptes, celles en C des contrats. Un compte doit détenir un solde minimal en XLM, que la documentation de Stellar compte en réserves de base de 0,5 XLM chacune au moment de la rédaction. TON est atypique : un même compte a une forme « rebondissante » (bounceable) en EQ et une forme « non rebondissante » en UQ, qui ne diffèrent que par un indicateur. La documentation de TON recommande la forme non rebondissante pour les portefeuilles, et prévient que de vrais fonds envoyés vers une adresse réservée au réseau de test seront perdus.
Sur Cardano, la norme CIP-19 décrit des adresses de paiement en addr1 et des adresses de staking distinctes en stake1, utilisées pour la délégation. Un portefeuille peut vous montrer les deux. C’est vers celle en addr1 qu’on envoie des fonds.
Mémo et tag de destination : la seconde moitié d’une adresse de plateforme
Une plateforme d’échange centralisée reçoit souvent les dépôts de milliers de clients sur une seule adresse, sur des réseaux comme XRP ou Stellar. L’adresse dit au registre où vont les fonds ; un second champ dit à la plateforme quel compte créditer.
Sur le XRP Ledger, ce champ est le tag de destination, un nombre entier stocké sur 32 bits. La documentation de xrpl.org explique que le registre ne lui attache aucun sens : il transporte le nombre, qu’une plateforme peut utiliser pour identifier le client. Un compte peut activer un indicateur appelé RequireDest pour rejeter les paiements qui arrivent sans tag ; s’il ne l’a pas fait, un paiement sans tag passe et atterrit sur le compte commun de la plateforme, sans rien qui dise à qui il revient. La page de xrpl.org avertit que le démêler peut exiger une intervention manuelle, ce qui revient, en pratique, à écrire au support avec le hash de la transaction et à attendre.
Stellar emploie des mémos. Un mémo peut être un court texte d’au plus 28 octets, un nombre de 64 bits ou un hachage de 32 octets, et l’un des types est réservé aux remboursements. La documentation de Stellar indique que les mémos servaient à distinguer les utilisateurs d’un compte commun, un rôle que remplissent désormais les comptes multiplexés : des adresses en M qui combinent une adresse G et un identifiant de 64 bits dans une seule chaîne. Le guide de Stellar ajoute que tous les portefeuilles et plateformes ne les prennent pas encore en charge. Beaucoup de pages de dépôt affichent toujours une adresse G avec un mémo : lisez la page de dépôt vers laquelle vous envoyez réellement.
La règle pour un débutant tient en peu de mots : quand une plateforme montre une adresse et un mémo ou un tag, traitez-les comme un seul bloc. Copiez les deux, collez les deux, et si votre portefeuille n’a pas de champ pour le tag, n’envoyez pas depuis ce portefeuille.
Mauvais réseau : quand une adresse valide mène au mauvais endroit
L’USDT de Tether et l’USDC existent sur plusieurs blockchains à la fois, sous forme de jetons distincts qui portent le même nom. Une adresse TRON commence par T et compte 34 caractères ; une adresse Ethereum commence par 0x et en compte 42. Si vous collez une adresse en T dans un champ qui attend une adresse Ethereum, la plupart des portefeuilles la refusent, le format étant faux. Ce cas est pénible, mais sans danger.
Le cas dangereux est celui d’une adresse en 0x envoyée sur le mauvais réseau en 0x. Une adresse Ethereum, une adresse BNB Chain et une adresse Arbitrum peuvent être la même chaîne de caractères. Si vous choisissez le mauvais réseau au retrait, la transaction est valide, se confirme et arrive à la même chaîne 0x sur une blockchain que le destinataire ne surveillait pas. La suite dépend de qui contrôle l’adresse. S’il s’agit de votre propre portefeuille en auto-conservation, du type ordinaire fondé sur une clé, la même clé contrôle cette adresse sur toutes les chaînes compatibles : on peut en général ajouter le réseau à son portefeuille et voir les fonds. S’il s’agit d’une adresse de dépôt d’une plateforme qui ne la surveille que sur un réseau, les jetons peuvent rester bloqués, et seule la plateforme décide de les récupérer ou non.
Certaines plateformes récupèrent ces dépôts, parfois contre des frais ; d’autres n’y arrivent pas. Rien n’est garanti : contactez d’abord le support de la plateforme destinataire, et méfiez-vous de quiconque propose de récupérer vos fonds contre un paiement d’avance. Faire passer des jetons d’une chaîne à une autre volontairement est une autre opération, qui passe par un pont et comporte ses propres risques. Pour comprendre le fonctionnement des jetons en dollars, lisez notre guide des stablecoins.
Empoisonnement d’adresse et presse-papiers piégé : les erreurs que les pirates provoquent
L’empoisonnement d’adresse (address poisoning) ne touche pas à vos clés. Le pirate surveille la chaîne, voit que vous payez régulièrement une adresse donnée et en génère une nouvelle dont les premiers et derniers caractères sont identiques. Il vous envoie ensuite, depuis cette adresse jumelle, un transfert minuscule, voire nul, qui apparaît dans l’historique de votre portefeuille juste à côté de la vraie. Beaucoup de portefeuilles raccourcissent les adresses à l’écran, et les deux semblent alors identiques. La prochaine fois que vous copiez « l’adresse habituelle » dans votre historique, vous copiez la sienne.
Les pirates opèrent à l’échelle industrielle. Une étude de Taro Tsuchiya, Jin-Dong Dong, Kyle Soska et Nicolas Christin, présentée au symposium USENIX Security en 2025 (article sur arXiv), a compté 270 millions de tentatives d’empoisonnement visant 17 millions de victimes potentielles en deux ans, sur Ethereum et BNB Smart Chain. Elle a relevé 6 633 incidents réussis, pour au moins 83,8 millions de dollars de pertes, et un grand groupe d’attaquants qui semble utiliser des cartes graphiques pour produire très vite des adresses jumelles.
La plupart des tentatives échouent. Etherscan, l’explorateur de blocs d’Ethereum, a cité des estimations de chercheurs dans un article de sa base de connaissances daté du 9 mars 2026 : sur Ethereum, chaque transfert d’empoisonnement ne réussit qu’environ 0,01 % du temps, soit à peu près 1 fois sur 10 000. À ce rythme, l’affaire ne rapporte que si les transferts partent par millions. Le même article indique qu’après la mise en service de la mise à jour Fusaka d’Ethereum, le 3 décembre 2025, qui a réduit les coûts, les micro-transferts d’USDT ont augmenté d’environ 612 %, ceux d’USDC d’environ 473 % et ceux de DAI d’environ 470 %, tout en précisant que toute poussière n’est pas malveillante. Son conseil est sans détour (traduit de l’anglais) : « Vérifiez toujours l’adresse de destination avant d’envoyer des fonds. »
Quand un empoisonnement réussit, la victime déplace souvent une grosse somme. Début mai 2024, une victime a envoyé 1 155 bitcoins enveloppés (WBTC), d’une valeur d’environ 68 millions de dollars à l’époque, vers une adresse empoisonnée. Selon Cointelegraph, l’attaquant a ensuite rendu environ 22 960 ETH, soit près de 65,7 millions de dollars, après des négociations ouvertes le 10 mai 2024. Le récit de Cointelegraph sur l’affaire de décembre 2025 va dans l’autre sens : les USDT ont été échangés contre de l’ETH, répartis entre plusieurs portefeuilles et en partie envoyés vers le service de mixage Tornado Cash.
Un virement d’essai n’aurait pas non plus sauvé cette victime. Un essai prouve que l’adresse utilisée pour l’essai est la bonne. Il ne prouve rien de l’adresse que vous collez ensuite, si vous la prenez ailleurs. L’essai de la victime est allé à la bonne adresse ; le paiement principal, non.
Le logiciel malveillant de presse-papiers, souvent appelé clipper, est le cousin hors chaîne de l’empoisonnement. Un programme installé sur un ordinateur ou un téléphone infecté surveille le presse-papiers et, quand vous copiez quelque chose qui ressemble à une adresse crypto, le remplace par celle du pirate. Vous copiez la bonne adresse et collez la mauvaise. En septembre 2024, Binance a mis en garde contre une hausse de ces logiciels, avec un pic le 27 août, diffusés surtout par des applications Android non officielles et des extensions, a rapporté The Record. La parade consiste à comparer l’adresse collée avec l’original après le collage et, avec un portefeuille matériel (un portefeuille froid), à lire l’adresse sur l’écran de l’appareil avant de valider. Notre guide pour éviter les arnaques crypto couvre la famille plus large de ces pièges.
Comment envoyer une crypto à une adresse en sécurité, pas à pas
L’ordre ci-dessous suit un retrait ordinaire, du choix du réseau jusqu’au suivi des confirmations, avec les contrôles d’adresse placés là où chacune des pertes évoquées plus haut s’est produite.
- Repérez le réseau qu’attend le destinataire, sur sa page de dépôt ou dans un message que vous pouvez vérifier. Si le réseau n’est pas précisé, arrêtez-vous et demandez.
- Choisissez ce même réseau dans votre portefeuille ou sur la page de retrait de votre plateforme. Le format de l’adresse ne vous alertera pas si deux réseaux utilisent tous deux le 0x.
- Prenez l’adresse à sa source d’origine, ou dans un carnet d’adresses où vous l’avez enregistrée après l’avoir vérifiée une fois. Ne la copiez jamais depuis l’historique de vos transactions, là où apparaissent les adresses jumelles empoisonnées.
- Collez-la, ne la retapez pas. Comparez-la ensuite avec la source : les premiers caractères, les derniers et plusieurs groupes au milieu. Se contenter des extrémités, c’est ce qui a échoué en décembre 2025.
- Si la plateforme vous a donné un mémo ou un tag de destination, renseignez-le maintenant. Pas de champ pour cela dans votre portefeuille : n’envoyez pas depuis ce portefeuille.
- Pour un premier paiement vers une nouvelle adresse, envoyez une petite somme, attendez qu’elle arrive et vérifiez avec le destinataire. Collez ensuite de nouveau l’adresse depuis la même source de confiance pour le montant principal.
- Avec un portefeuille matériel, lisez l’adresse complète sur l’écran de l’appareil avant de valider la transaction.
- Après l’envoi, copiez le hash de la transaction et suivez-le sur un explorateur de blocs jusqu’à ce qu’il atteigne le nombre de confirmations dont le destinataire a besoin. Le paiement des frais de réseau dans la monnaie de la chaîne est expliqué dans notre page sur les frais de gaz.
Beaucoup de plateformes permettent aussi de tenir une liste d’adresses de retrait approuvées, de sorte que l’argent ne puisse sortir que vers des adresses ajoutées auparavant, souvent après un délai d’attente. Vérifiez si la vôtre le propose ; notre guide pour choisir une plateforme d’échange énumère les fonctions de sécurité à rechercher.
Comment trouver son adresse crypto et recevoir sans mauvaise surprise
- Dans votre portefeuille ou sur votre plateforme, choisissez d’abord l’actif et le réseau, puis appuyez sur Recevoir ou Déposer. L’adresse affichée appartient à ce réseau.
- Copiez l’adresse avec le bouton de copie de l’application ou partagez le code QR. Avec un portefeuille matériel, demandez-lui d’afficher l’adresse et vérifiez que l’ordinateur montre la même chaîne.
- Donnez à l’expéditeur le nom du réseau avec l’adresse, et le mémo ou le tag s’il y en a un. « USDT sur TRON » est une consigne complète ; « USDT » n’en est pas une.
- Sur Bitcoin, laissez le portefeuille vous donner une nouvelle adresse pour chaque paiement. Sur Ethereum et la plupart des chaînes à comptes, vous gardez la même adresse.
- N’envoyez jamais rien qui commence par 5, K ou L, une clé xprv ou vos mots de récupération. Un expéditeur n’en a jamais besoin.
Vérifier une adresse sur un explorateur de blocs
Un explorateur de blocs est ce qui se rapproche le plus d’un vérificateur d’adresse crypto. Sur mempool.space pour Bitcoin ou sur Etherscan pour Ethereum, collez l’adresse dans la barre de recherche. Vous verrez le solde, la liste des transactions passées et, sur Etherscan, si l’adresse est un compte ordinaire ou un contrat. Etherscan affiche aussi des étiquettes publiques pour des adresses connues, comme les portefeuilles de plateformes. Chaque explorateur ne lit qu’un réseau : Etherscan lit Ethereum, et les autres chaînes compatibles ont leurs propres explorateurs, donc assurez-vous de regarder le bon.
Un explorateur ne peut pas vous dire à qui appartient une adresse sans étiquette publique. Un long historique prouve que l’adresse sert, pas qu’elle appartient à la personne que vous imaginez.
Réutilisation d’adresse et vie privée : pourquoi un portefeuille bitcoin change d’adresse
Tout ce qui figure sur une blockchain publique comme Bitcoin ou Ethereum peut être lu par n’importe qui, pour toujours. Les adresses ne portent aucun nom, mais chaque paiement qui y entre ou en sort est visible : une adresse très utilisée finit par constituer un dossier public. La section 10 du livre blanc de Bitcoin, publié en 2008, recommandait déjà une nouvelle paire de clés pour chaque transaction afin que les paiements ne soient pas reliés à un même propriétaire, tout en admettant que les transactions à entrées multiples révèlent encore certains liens. Bitcoin.org conseille toujours de prendre une nouvelle adresse pour chaque paiement reçu.
Traçable, une adresse bitcoin ? Oui, en ce sens que son historique est public. Le lien avec une personne réelle vient en général de l’extérieur de la chaîne : une plateforme qui a vérifié votre identité selon les règles de connaissance du client (KYC) sait sur quelles adresses elle vous a payé, et des sociétés d’analyse regroupent les adresses qui apparaissent ensemble dans des transactions.
Des adresses neuves seraient une corvée si chacune exigeait sa propre sauvegarde. Les portefeuilles hiérarchiques déterministes (HD) ont réglé le problème : une seule graine, sauvegardée une fois sous forme de phrase, produit autant de clés et d’adresses que nécessaire. Le BIP44 fixe le chemin que suit un portefeuille, avec une chaîne d’adresses que vous distribuez et une autre pour la monnaie qui vous revient. Il prévoit aussi une « limite d’écart » de 20 : quand un portefeuille qui restaure une graine croise 20 adresses inutilisées d’affilée, il cesse de chercher. Si vous avez un jour généré beaucoup d’adresses sans les utiliser, des fonds reçus plus loin peuvent ne pas apparaître après une restauration tant que vous n’avez pas demandé au portefeuille d’analyser plus loin.
Le modèle de comptes d’Ethereum fonctionne à l’inverse : une adresse porte le solde et tout son historique, de sorte que la discrétion y vient de comptes séparés pour des usages séparés, plutôt que d’une rotation automatique.
Adresse crypto et réglementation : France, Union européenne, Royaume-Uni et États-Unis
Les régulateurs s’y intéressent aussi, car un retrait d’une plateforme vers une adresse privée sort du système régulé. Dans l’Union européenne, le règlement (UE) 2023/1113 sur les transferts de fonds et de certains crypto-actifs, signé le 31 mai 2023, s’applique depuis le 30 décembre 2024. Il étend la « règle de voyage » aux cryptos : les prestataires doivent transmettre avec chaque transfert les informations sur l’expéditeur et le bénéficiaire, comme les banques le font pour un virement.
Pour les adresses auto-hébergées, l’article 14, paragraphe 5, ajoute un seuil. Quand un transfert de plus de 1 000 € part vers une adresse auto-hébergée, le prestataire de l’expéditeur doit prendre des mesures adéquates pour vérifier que son client possède ou contrôle cette adresse ; l’article 16, paragraphe 2, applique la même logique aux transferts reçus d’une telle adresse. L’Autorité bancaire européenne a publié ses orientations de détail le 4 juillet 2024, applicables à partir du même 30 décembre 2024, et l’AMF a publié sa position sur ces orientations (en anglais). Selon la société de conformité Notabene, une signature cryptographique du portefeuille fait partie des méthodes admises, et les prestataires n’ont besoin d’en appliquer qu’une par défaut. En pratique, attendez-vous que votre plateforme vous demande une preuve, par exemple un message signé dans votre portefeuille, la première fois que vous retirez plus de 1 000 € vers cette adresse. Le cadre général est détaillé dans notre guide du règlement MiCA et dans l’entrée du glossaire sur MiCA.
En France, le contrôle porte aussi sur la plateforme elle-même. Selon le communiqué de l’AMF du 5 février 2026, la période transitoire qui permettait aux prestataires de services sur actifs numériques (PSAN) enregistrés de continuer à exercer a pris fin le 1er juillet 2026. Depuis cette date, seuls les prestataires de services sur crypto-actifs (PSCA) agréés peuvent fournir leurs services en France. L’AMF indique que les clients d’un prestataire qui cesse son activité doivent récupérer leurs actifs en les transférant vers un PSCA agréé ou en les vendant, et tient sur son site la liste blanche des PSCA. Concrètement, avant de déposer ou de retirer quoi que ce soit, regardez quelle entité juridique fournit réellement le service et si elle figure sur cette liste. Un transfert vers un nouveau prestataire commence par une adresse de dépôt neuve et par les contrôles décrits plus haut.
L’Italie est dans la même situation : un communiqué commun de la Consob et de la Banque d’Italie du 30 juin 2026 a rappelé la fin de la transition au 1er juillet. Les deux autorités italiennes invitent les utilisateurs à chercher leur prestataire dans le registre de l’ESMA et, s’il n’y figure pas, à transférer leurs cryptos vers un prestataire agréé ou vers un portefeuille en auto-conservation. Ce second recours est mentionné par les autorités italiennes, non par l’AMF.
Au Royaume-Uni, la Financial Conduct Authority a indiqué en août 2023 que les entreprises de crypto-actifs doivent collecter, vérifier et partager les informations sur les transferts à compter du 1er septembre 2023, en vertu de la partie 7A des Money Laundering Regulations 2017. En octobre 2026, les États-Unis ont fait marche arrière. Le FinCEN avait proposé le 23 décembre 2020 que les banques et les entreprises de transfert d’argent conservent des traces des transferts impliquant des portefeuilles non hébergés au-delà de 3 000 $ et déclarent ceux qui dépassent 10 000 $. Son avis de retrait, déposé le 5 octobre 2026 et publié au Federal Register le 6 octobre, clôt le dossier : « Le FinCEN ne donnera pas d’autre suite à ce projet de règle » (traduit de l’anglais).
Les formats d’adresse de cette leçon appartiennent à des réseaux publics, où chacun peut créer une adresse et lire le registre. Toutes les blockchains ne fonctionnent pas ainsi. La prochaine leçon compare les blockchains publiques, privées et de consortium, et dit qui peut créer une adresse sur chacune.
