Comment évaluer vous-même la sécurité d'une plateforme d'échange

Commencez par l'historique des incidents

Le signal de sécurité le plus fiable est l'historique. Recherchez le nom de la plateforme avec le mot piratage et lisez au-delà des communiqués de presse. Qu'est-ce qui a été dérobé, depuis des hot wallets ou des cold wallets, et les clients ont-ils été remboursés intégralement et en combien de temps ? Une plateforme comme Kraken, en activité depuis 2011 sans avoir perdu les fonds de ses clients, a passé un test en conditions réelles de quatorze ans qu'aucun budget marketing ne peut acheter.

Un incident passé n'est pas automatiquement disqualifiant. KuCoin a été piratée en 2020, a récupéré la majeure partie des $280 millions et a indemnisé ses clients. La réponse de BitMart en 2021 a été plus lente et plus limitée, et son score en porte encore le poids dans notre modèle. La réponse en dit autant que la faille elle-même.

Vérifiez la preuve de réserves et la conservation des actifs

Recherchez une page de preuve de réserves avec une date récente, un cabinet d'attestation nommé et un outil permettant de vérifier votre propre solde dans l'arbre de Merkle. Binance, Kraken, Bybit, OKX, Bitget, KuCoin et Gate.io publient toutes une preuve de réserves. Un rapport datant de plus de quelques trimestres, ou sans cabinet externe associé, est un signal d'alarme déguisé en signal rassurant.

Déterminez ensuite qui détient légalement les actifs. Une charte de fiducie de la NYDFS comme celle de Gemini, ou une conservation via des entités américaines réglementées comme chez Coinbase, signifie que des examens et des règles de capital s'appliquent au dépositaire lui-même. Une filiale anonyme dans une juridiction complaisante signifie que votre recours repose sur la bonne volonté.

Testez les outils de sécurité du compte

La plupart des pertes subies par les clients proviennent de prises de contrôle de comptes, et non de piratages de plateformes. Vérifiez donc ce que la plateforme vous permet de verrouiller. L'ensemble minimum acceptable selon nous : 2FA par application TOTP, prise en charge des clés de sécurité physiques ou des passkeys, liste blanche d'adresses de retrait avec délai de verrouillage, et code anti-hameçonnage dans les e-mails officiels.

Vous pouvez vérifier tout cela avec un petit dépôt en dix minutes. Si la seule option de 2FA est le SMS, ou si la liste blanche peut être désactivée instantanément sans délai d'attente, la plateforme a laissé ses utilisateurs exposés aux attaques les plus courantes en crypto, et c'est un choix.

Lisez les petites lignes de l'assurance

Coinbase, Gemini, Crypto.com, Bitstamp et eToro maintiennent toutes des programmes d'assurance, et cela leur vaut des points dans notre modèle. Mais lisez ce qui est couvert. Les polices d'entreprise assurent les hot wallets de la plateforme contre le vol. Elles ne couvrent pas le hameçonnage de votre compte, et aucune police au monde ne couvre l'insolvabilité.

Considérez l'assurance comme une couche, pas comme une garantie. Une plateforme qui affiche un montant de couverture accrocheur sans publier ce à quoi il s'applique vend du confort, pas de la protection.

Pesez l'ancienneté et la juridiction

Les années d'activité constituent un filtre grossier mais honnête. Les plateformes échouent jeunes : la plupart des effondrements et des rug pulls surviennent dans les premières années. Une plateforme qui a survécu à plusieurs marchés baissiers a démontré sa compétence opérationnelle sous pression. Elle dispose aussi d'un historique public plus long que vous pouvez vérifier.

La juridiction détermine ce qui se passe quand les choses tournent mal. Les plateformes réglementées aux États-Unis et dans l'UE sont soumises à des exigences de capital et à une responsabilité juridique. Les structures offshore peuvent offrir de meilleurs produits, mais votre recours en cas de litige peut se résumer à une adresse e-mail.

Comment nous combinons ces signaux

Notre classement de base pondère la Sécurité à 20% et la Régulation à 18%. La page des plateformes les plus sûres fait passer ces pondérations à environ 30% et 28% et ajoute des bonus pour la preuve de réserves, un historique sans piratage et l'assurance. Les mêmes signaux que nous venons de parcourir, pondérés et notés.

Nos limites sont vos limites : nous notons à partir de l'historique public des incidents et des attestations publiées, et nous ne pouvons pas voir la gestion interne des clés. Vous non plus. C'est exactement pourquoi l'historique public mérite une telle pondération.

FAQ