N'importe quel retrait sur un compte Binance est souvent supérieur au chiffre d'affaires quotidien d'un petit commerce, ne pas activer la 2FA avant d'interagir avec la blockchain revient à laisser la clé du coffre-fort sur la porte. Mais il ne suffit pas de l'activer et d'en rester là ; Binance propose quatre méthodes dont les niveaux de sécurité varient d'un ordre de grandeur. Il est recommandé de se rendre d'abord sur le Site officiel Binance, d'entrer dans le "Centre de sécurité" pour activer Google Authenticator, puis de télécharger l'App officielle Binance pour lier l'authentificateur à l'application. Les utilisateurs d'iPhone qui n'ont pas l'application officielle doivent suivre le Guide d'installation iOS pour changer de région et l'installer. Cet article détaille les quatre types de 2FA et la combinaison la plus pertinente.
I. Les quatre méthodes 2FA prises en charge par Binance
| Type | Niveau de sécurité | Risque principal | Usage recommandé |
|---|---|---|---|
| SMS | Faible | Attaque par SIM Swap | Secours uniquement |
| Moyen | Compromis si l'e-mail est piraté | En parallèle avec d'autres 2FA | |
| Google Authenticator | Élevé | Perte de l'appareil nécessitant une sauvegarde de la graine | Base quotidienne |
| Clé matérielle YubiKey | Le plus élevé | Perte physique | Confirmation des retraits importants |
La 2FA par SMS semble être la plus pratique, mais face à une attaque, c'est presque comme être sans protection.
II. Pourquoi vous ne devriez pas utiliser uniquement la 2FA par SMS
L'attaque par SIM Swap est la méthode de vol de compte la plus courante dans le domaine des cryptomonnaies ces dernières années :
- L'attaquant recueille des informations d'ingénierie sociale telles que votre nom, numéro de carte d'identité, numéro de téléphone, adresse personnelle (achetées sur le dark web ou rassemblées via OSINT).
- L'attaquant appelle le service client de l'opérateur et prétend que "le téléphone est perdu et qu'il faut remplacer la carte SIM".
- Si le service client de l'opérateur cède, l'attaquant obtient une nouvelle carte SIM avec votre numéro de téléphone.
- Votre ancienne carte SIM est désactivée et tous les SMS sont envoyés sur le téléphone de l'attaquant.
- L'attaquant utilise la fonction "Mot de passe oublié + code SMS" pour réinitialiser l'e-mail, réinitialiser le mot de passe de connexion à l'échange et contourner la 2FA.
Une fois qu'un SIM Swap se produit, tout mécanisme de sécurité reposant sur le numéro de téléphone devient instantanément inefficace — c'est pourquoi la 2FA par SMS ne peut pas servir de ligne de défense unique.
III. Google Authenticator est la meilleure base
Google Authenticator est une 2FA hors ligne basée sur TOTP (Mot de passe à usage unique basé sur le temps) :
- Il n'est pas lié à votre numéro de téléphone et n'est pas affecté par le SIM Swap.
- Sa graine secrète est stockée localement sur votre téléphone et n'est téléchargée sur aucun serveur.
- Il génère un code de vérification à 6 chiffres toutes les 30 secondes.
Le processus de liaison se trouve dans "Sécurité → Activer Google Authenticator" sur Binance :
- Installez Google Authenticator via l'App Store / Play Store.
- Utilisez l'Authenticator pour scanner le code QR généré par Binance.
- Copiez manuellement la clé de 16 caractères affichée à l'écran sur une feuille de papier ou un gestionnaire de mots de passe hors ligne (ne sautez surtout pas cette étape).
- Entrez le code de vérification à 6 chiffres affiché par l'Authenticator pour finaliser la liaison.
Cette feuille contenant la clé copiée doit être conservée en au moins deux exemplaires, stockés dans des endroits différents (à la maison + au bureau, ou glissée dans deux livres différents). Lors du changement de téléphone, cette clé peut être utilisée pour restaurer le même code à 6 chiffres sur l'Authenticator du nouveau téléphone.
IV. Quand faut-il utiliser une clé matérielle (YubiKey) ?
Le niveau de sécurité des clés matérielles de type YubiKey (U2F/FIDO2) est encore un cran au-dessus de Google Authenticator :
- Il s'agit d'un appareil physique indépendant ; pour vous connecter, insérez-le en USB ou touchez le NFC pour vérifier.
- Sa clé privée ne quitte jamais l'appareil lui-même, et vous ne pouvez même pas la lire vous-même.
- Même si un site de phishing obtient votre mot de passe, il ne peut pas la contourner — car le protocole U2F vérifie le nom de domaine.
Binance prend en charge YubiKey comme moyen d'authentification secondaire pour la 2FA et la "Confirmation de retrait". Il est fortement recommandé aux utilisateurs ayant plus de 50 000 dollars d'équivalent de l'activer. Configuration courante :
- Clé principale : une YubiKey 5C / 5 NFC, portée sur soi ou gardée dans un coffre-fort.
- Clé de secours : une deuxième YubiKey, gardée dans un endroit fixe à la maison, activée si la clé principale est perdue.
Avec un coût d'environ deux cents yuans par unité (quelques dizaines d'euros), c'est presque gratuit comparé aux fonds sur le compte.
V. Combinaisons 2FA recommandées (selon les montants de fonds)
< 10 000 $ en équivalent
- 2FA de connexion : Google Authenticator
- 2FA par e-mail : Activée
- SMS : En tant que secours de récupération si le compte est bloqué, non utilisé pour la vérification quotidienne
10 000 – 100 000 $ en équivalent
- Tout ce qui précède
- Liste blanche de retrait : Activée, avec un délai de 24 heures configuré pour l'ajout d'une nouvelle adresse
- Envisagez d'acheter une YubiKey comme 2FA de connexion principale
> 100 000 $ en équivalent
- Double YubiKey (principale + secours) comme 2FA de connexion et de retrait
- Google Authenticator uniquement comme secours d'urgence
- Détenir majoritairement sur un cold wallet, ne laisser sur l'échange que le montant nécessaire au trading
VI. Les trois idées fausses les plus courantes
- "J'ai déjà activé Google Authenticator, je peux donc désactiver les SMS" — Ne les désactivez pas. Laissez les SMS comme option de récupération lorsque le compte est verrouillé, mais ne laissez pas cela devenir la seule méthode de confirmation pour les retraits.
- "Il suffit de sauvegarder la graine secrète dans un album cloud" — Une fois iCloud / Google Photos compromis, c'est comme si aucune 2FA n'était configurée. Seule une feuille de papier copiée à la main ou un KeePass hors ligne est sûr.
- "Les clés matérielles sont trop chères, ça ne vaut pas le coup" — La perte d'un seul vol représente généralement plus de 1 000 fois le coût d'une clé matérielle.
Résumé
- Les SMS servent uniquement de secours et ne doivent jamais être utilisés comme 2FA principale.
- Google Authenticator est la base, tout le monde devrait l'activer.
- Les comptes avec d'importants montants nécessitent des YubiKey, une principale et une de secours, les confirmations de retrait se faisant par matériel.
- Toute 2FA configurée doit avoir sa graine ou son matériel immédiatement sauvegardé, sinon changer d'appareil reviendra à "se verrouiller dehors".
En choisissant la bonne 2FA et en effectuant des sauvegardes appropriées, un compte Binance bloque 90 % des attaques à distance.