Beaucoup de gens s'inscrivent sur Binance pour "acheter des cryptos", presque personne ne le fait pour la "sécurité". Mais ce qui coûte vraiment cher aux anciens utilisateurs n'est jamais le marché, c'est leur compte. Mettre en place les bases de la sécurité d'un compte ne prend en réalité que trente minutes : commencez par vous inscrire via le site officiel Binance, puis téléchargez l'app officielle Binance, et enfin suivez l'ordre de cet article pour configurer le code anti-phishing, la 2FA et la liste blanche. Si vous êtes sur iPhone et n'avez pas encore l'application, consultez d'abord le Guide d'installation iOS pour voir comment changer d'Apple ID, et ne téléchargez pas sur des plateformes tierces.
I. Comprenez d'abord "où vous avez le plus de chances de vous faire voler"
Dans les affaires de vols sur les plateformes d'échange, voici l'ordre des cinq vecteurs d'attaque les plus courants :
- Cliquer sur un lien d'e-mail de phishing — L'objet et l'expéditeur de l'e-mail sont extrêmement réalistes, et le clic mène à une fausse page de connexion Binance.
- Application de phishing — Une version non officielle est installée, le mot de passe de connexion est intercepté, et le code de vérification 2FA est transféré par un intermédiaire.
- Perte d'appareil / Ancien appareil non déconnecté — Changer de téléphone sans se déconnecter du compte, l'ancien appareil tombant entre les mains de la famille, d'amis ou d'un acheteur sur le marché de l'occasion.
- SIM Swap — L'attaquant utilise l'ingénierie sociale pour que l'opérateur transfère votre numéro de téléphone sur sa propre carte SIM, rendant la 2FA par SMS inutile.
- Interception sur Wi-Fi public — Se connecter au réseau Wi-Fi public d'un café ou d'un hôtel en utilisant un faux point d'accès, permettant à un intermédiaire de déchiffrer le trafic.
Le point commun de ces cinq failles est que : elles peuvent toutes être largement éliminées par une configuration unique. Les cinq actions décrites dans la suite de cet article correspondent à ces cinq failles.
II. Première étape : protégez votre e-mail comme votre compte principal
Le véritable "compte principal" de votre compte Binance est votre adresse e-mail d'inscription. Dès qu'un attaquant prend le contrôle de votre e-mail, il peut réinitialiser le mot de passe de votre compte Binance via "Mot de passe oublié" ; même si vous avez activé la 2FA, il peut la contourner en demandant une "Récupération de compte". Le niveau de sécurité de votre e-mail doit donc au moins être équivalent à celui de votre compte Binance, il est recommandé de :
- Créer une adresse e-mail indépendante exclusivement pour votre inscription sur Binance, et ne pas la mélanger avec des e-mails sociaux/d'achat/de travail.
- Activer la 2FA sur cet e-mail lui-même (Google Authenticator recommandé pour Gmail, Microsoft Authenticator pour Outlook).
- Avoir un mot de passe e-mail d'au moins 16 caractères aléatoires, généré par un gestionnaire de mots de passe.
- Ne pas utiliser de combinaisons faciles à deviner comme "Nom + Date de naissance" ou "Numéro de téléphone + Lettres".
III. Deuxième étape : configurer le code anti-phishing
Le code anti-phishing (Anti-Phishing Code) est une fonctionnalité introduite par Binance en 2019 : vous définissez une chaîne de caractères personnalisée de 6 à 8 caractères, et Binance l'inclura dans l'objet de tous les e-mails officiels qu'il vous enverra par la suite. Par exemple, si vous définissez SBYT-42, l'objet d'un e-mail normal sera [SBYT-42] Notification de confirmation de retrait, tandis que cette chaîne n'apparaîtra jamais dans un e-mail de phishing.
Où le configurer : connectez-vous au site officiel Binance → Compte → Sécurité → Code Anti-Phishing. Une fois configuré, envoyez-vous immédiatement une demande de retrait ou une notification de dépôt, pour confirmer que l'e-mail contient bien ce code. L'efficacité du code anti-phishing dépend entièrement de votre habitude de "vérifier le code avant de lire l'e-mail", ce n'est pas une solution magique qu'on oublie après l'avoir configurée.
IV. Troisième étape : remplacer la 2FA par Google Authenticator
Par défaut, Binance active la 2FA par SMS, ce qui est la méthode la plus faible. Les attaques par SIM Swap ont déjà fait de nombreuses victimes : l'attaquant fait de l'ingénierie sociale auprès du service client de l'opérateur, prétendant avoir perdu son téléphone et demandant une nouvelle carte SIM. Une fois réussi, tous les SMS sont reçus sur sa nouvelle carte. Il s'écoule souvent moins d'une demi-heure entre le remplacement de la carte et le vidage complet de votre compte.
La solution : passer à Google Authenticator (TOTP). Il ne dépend pas du numéro de téléphone, n'a pas besoin de réseau, et le code de vérification est actualisé toutes les 30 secondes. Même si l'attaquant a votre numéro de téléphone, il ne peut pas l'utiliser. Les étapes de liaison :
- Téléchargez "Google Authenticator" sur l'App Store / Play Store, en vérifiant que le développeur est
Google LLC. - Connectez-vous à Binance → Centre de sécurité → Google Authenticator → Activer.
- Avant de scanner le QR code sur l'écran, recopiez d'abord manuellement la clé de 16 caractères sur un papier : c'est votre seule preuve de récupération en cas de changement d'appareil ou de réinstallation.
- Après avoir scanné le code, entrez le code dynamique à 6 chiffres affiché dans l'application pour terminer la liaison.
- Une fois lié, Binance vous demandera d'utiliser la 2FA pour la connexion, les retraits et la modification des paramètres de sécurité.
Rappel important : Par défaut, Google Authenticator ne se synchronise pas dans le cloud, ce qui signifie que si vous perdez votre téléphone ou réinstallez le système sans avoir copié la clé, vous en perdez définitivement l'accès. Vous ne devez pas négliger l'étape de copie de la clé.
V. Quatrième étape : activer la liste blanche des retraits
Le rôle de la liste blanche est de : n'autoriser les transferts de fonds que vers les adresses que vous avez préalablement enregistrées. Une fois activée, même si votre mot de passe et votre 2FA sont compromis, l'attaquant ne pourra pas transférer les fonds vers sa propre adresse.
Chemin de configuration : Compte → Sécurité → Liste blanche des retraits → Activer. Ensuite, ajoutez un par un vos adresses de portefeuilles froids et vos adresses de dépôt sur d'autres plateformes d'échange. Après l'ajout initial d'une nouvelle adresse, le système imposera un délai de refroidissement de 24 heures avant qu'elle puisse être utilisée ; ce mécanisme est en soi une mesure antivol.
De nombreux anciens utilisateurs voient le "délai de refroidissement de 24 heures", trouvent cela contraignant et n'activent pas la liste blanche. Pourtant, les données montrent que même si les comptes avec une liste blanche activée subissent des attaques par force brute ou par ingénierie sociale, la probabilité de perte de fonds chute de plus de 90 %. Un petit désagrément pour la tranquillité d'esprit, cela en vaut la peine.
VI. Cinquième étape : nettoyer l'historique des appareils connectés
Allez dans Compte → Sécurité → Gestion des appareils, et vous verrez une liste de vos connexions. La logique de nettoyage typique est :
- Supprimez immédiatement les téléphones que vous avez changés, les ordinateurs d'amis que vous avez utilisés, ou les connexions web testées.
- Conservez votre téléphone principal et l'ordinateur que vous utilisez régulièrement.
- Pour chaque enregistrement conservé, vérifiez que l'heure de connexion, l'IP (localisation) et l'empreinte de l'appareil sont tous cohérents.
- Activez "Alerte e-mail pour nouvelle connexion d'appareil", ainsi toute nouvelle connexion vous sera notifiée en temps réel.
Cette étape semble simple mais elle est cruciale : la plupart des analyses de vols révèlent que l'attaquant a utilisé un ancien appareil toujours présent dans les "sessions actives", que l'utilisateur avait oublié de nettoyer.
VII. Après avoir accompli ces cinq étapes
Une fois ces cinq étapes terminées, votre compte a atteint un niveau de sécurité qui découragera les attaquants ordinaires. Il est ensuite recommandé de maintenir une habitude d'"inspection de sécurité" de 10 minutes par mois :
- Vérifiez une fois si le code anti-phishing est toujours en place (Binance le réinitialise parfois pour des raisons de contrôle des risques).
- Vérifiez la gestion des appareils pour voir s'il y a des sessions inconnues.
- Mettez à jour les autorisations de vos clés API (si vous utilisez des API pour trader).
- Parcourez vos e-mails des 30 derniers jours pour confirmer que chaque e-mail Binance contient bien le code anti-phishing.
Questions fréquentes
Q : Si j'ai configuré un code anti-phishing, un e-mail reçu sans ce code est-il toujours une tentative de phishing ? R : Dans la grande majorité des cas, oui. Mais il y a une exception : l'e-mail de vérification envoyé lors de l'inscription, car vous n'avez pas encore de compte à ce moment-là, il ne contient donc pas le code. À part ce cas unique, tout e-mail se disant de Binance et sans code anti-phishing doit être traité comme du phishing.
Q : Google Authenticator ou Authy, lequel recommandez-vous le plus ? R : Les deux sont valables, la différence réside dans la synchronisation cloud. Authy prend en charge la synchronisation multi-appareils, ce qui convient aux utilisateurs qui changent souvent de téléphone, mais la synchronisation cloud elle-même est une nouvelle surface d'attaque ; Google Authenticator, avec son stockage local par défaut, est plus sûr mais changer d'appareil est plus contraignant. Pour les utilisateurs ayant besoin d'un niveau de sécurité plus élevé, Google Authenticator + sauvegarde hors ligne de la clé est recommandé.
Q : La liste blanche expire-t-elle pour les adresses déjà ajoutées ? R : Non. Les adresses déjà ajoutées sont valides en permanence, à moins que vous ne les supprimiez activement. Seules les nouvelles adresses sont soumises au délai de refroidissement de 24 heures.
Q : De quoi dois-je encore m'inquiéter après avoir fait ces cinq choses ? R : Le plus grand risque restant est de remettre vous-même votre mot de passe ou votre code de vérification : en cliquant sur des liens de phishing, en répondant à de faux appels du service client, ou en "vérifiant votre compte" sur des sites suspects. La protection technique est suffisante, il vous reste maintenant à développer votre conscience anti-phishing.