Sauvegarde de "seed phrase": pourquoi Ledger se retrouve au cœur d'une controverse

La licorne française a annoncé la sortie d'un service, Ledger Recover, permettant aux utilisateurs de sauvegarder leur phrase de récupération secrète. Un lancement prochain qui fait débat.

Si le scénario est moins fréquent aujourd'hui, certaines personnes ont déjà été confrontées à la perte de leur phrase de récupération secrète (aussi appelée seed phrase), donnant accès à leurs cryptomonnaies. Pour pallier ce problème, la licorne française Ledger a annoncé le lancement d’une offre payante, Ledger Recover, qui se retrouve au cœur d’une controverse.

Comment fonctionne une seed phrase?

Une seed phrase est une liste de 24 mots générée par un portefeuille crypto - à l'instar de Ledger - lorsque l'utilisateur installe son wallet. L'utilisateur doit noter sur un papier (ou autre support) ces 24 mots dans l’ordre et conserver cette liste en lieu sûr, à l’abri des regards (ne pas prendre de photos, ne pas se l’envoyer par email, ni même les écrire sur son ordinateur en raison des piratages). Cette liste sauvegarde la clé privée (les cryptomonnaies) de l'utilisateur: s'il la perd, il perd donc l'accès à ses cryptomonnaies.

Si du jour au lendemain un utilisateur n’est plus en possession de sa clé Ledger, il lui suffit d’acheter un nouveau Ledger (ou un autre portefeuille froid) et de rentrer cette seed phrase pour avoir de nouveau accès à ses cryptomonnaies. D'où l'importance de bien conserver cette liste de 24 mots.

Pour rappel, un portefeuille froid permet de conserver la clé privée d'un utilisateur hors du réseau (ordinateur, téléphone). Mais il permet aussi de réaliser des transactions pour les utilisateurs (échanges sur des plateformes décentralisées, envois de cryptomonnaies, achats de NFT) lorsqu'il est connecté à un réseau et utilisé avec l'intermédiaire de logiciels. Ce type d'outil s'oppose aux plateformes dites centralisées (CEX) qui stockent elles-mêmes les clés privées des utilisateurs.

Chiffrée, dupliquée et divisée en trois fragments

Disponible prochainement, le service Ledger Recover permet à utilisateur de sauvegarder au mieux sa phrase de récupération, moyennant un abonnement de 10 euros par mois. Il s'agit "un service de récupération de clés basé sur l’identification. Il fournit une sauvegarde pour votre phrase de récupération secrète", souligne Ledger sur son site. "Si vous perdez votre phrase de récupération secrète ou si vous n’y avez pas accès, le service vous permet de restaurer vos clés privées en toute sécurité à l’aide d’un appareil Ledger", indique la société.

Pour que le service fonctionne, la clé privée de l’utilisateur sera donc chiffrée, dupliquée et divisée en trois fragments, explique la société.

"Chaque fragment est ensuite sécurisé par une entreprise distincte: Coincover, Ledger et un troisième prestataire de services de sauvegarde indépendant. Lorsque vous souhaitez accéder à votre wallet, deux des trois entreprises renvoient les fragments sur votre appareil Ledger, qui les réassemble pour reconstituer votre clé privée", peut-on lire sur le site de Ledger.

"C'était un gage de sécurité"

Avec cette offre, Ledger semble viser un public plus large, avec des personnes moins familières de l'écosystème crypto, qui auraient peur de perdre leur phrase de récupération. Or, certains membres de la communauté y voient une contradiction avec le crédo "not your keys not your coins" où l'utilisateur, qui est le seul à connaître sa phrase de récupération est donc le seul à avoir accès à ses cryptos.

Ledger "avait toujours communiqué sur le fait qu'ils ne pouvaient pas extraire la seed phrase de l'appareil. C'était un gage de sécurité pour les plus maximalistes car ils pensaient leur seed en sécurité. Sauf que l'annonce montre clairement qu'il y a moyen de le faire et certains voient ça comme une possibilité d'extraire la seed à son insu", considère Sébastien Leguell, confondateur du média Au Coin du Bloc.

Autre problème posé, celui des données sensibles des utilisateurs. En effet, le service oblige à faire une vérification d'identité supplémentaire qui sera lié à son propre portefeuille.

"Vu que le risque zéro n'existe pas, on peut un jour avoir une faille et retrouver nos données dans la nature", craint ce dernier.

Pour rappel, en 2020, Ledger a fait face à un piratage impliquant une fuite de données de plus de 273.000 clients sur internet. D’autres risques peuvent aussi être pris en compte, comme celui d'une perte de la fraction de la seed par les entreprises partenaires ou l'éventuel piratage ou coalition des tiers/employés "même si c'est relativement mince", souligne-t-il.

Si Ledger a cherché à rassuré sa communauté au cours des derniers jours, la controverse est loin de s'essoufler. Dans une interview publiée ce mardi dans Cointelegraph, Pascal Gauthier, le patron de Ledger, a confirmé que les seed pourraient, en théorie, être remises aux gouvernements s'ils devaient être assignés à comparaître. Au final, tout semble être une question de confiance entre l'utilisateur et Ledger. De fait, la société laisse à l'utilisateur le choix d'utiliser ou non ce service.

Pauline Armandet