Sécurité, en détail

Comprenez vos clés

Clé publique, clé privée et phrase de récupération — ce qu'elles sont et comment les protéger

CLÉ PUBLIQUE (votre adresse) Pensez-y comme à l'adresse de votre maison — ou à votre boîte aux lettres. Tout le monde peut la connaître : c'est ce que vous partagez pour recevoir des fonds. Voir votre adresse ne permet à personne de toucher votre argent, tout comme connaître votre adresse ne permet pas d'ouvrir votre porte d'entrée. Même si elle ne donne pas accès à votre maison, la blockchain Arbitrum One et la plateforme Hyperliquid permettent à quiconque connaît votre adresse publique de regarder par la fenêtre et de voir la quantité d'USDC dans le portefeuille et l'historique sur la plateforme. Il vaut donc mieux également ne révéler cette adresse qu'à un minimum de personnes ; idéalement, seuls vous et le service que vous utilisez pour déposer et retirer des USDC du portefeuille doivent avoir accès à cette adresse.

CLÉ PRIVÉE (la clé de la porte) C'est la clé qui ouvre la porte et prouve que les fonds sont à vous. Celui qui détient la clé privée contrôle l'argent — sans « mot de passe oublié » ni banque à appeler. L'application chiffre votre clé privée sur votre téléphone (Android Keystore) et ne l'envoie jamais sur internet.

PHRASE DE RÉCUPÉRATION (12 mots) C'est le moule maître qui recrée votre clé privée sur n'importe quel appareil. Avec elle, vous pouvez importer votre portefeuille si vous devez réinstaller l'application sur un autre téléphone, ou prendre le contrôle direct de vos actifs via un portefeuille de cryptomonnaies.

BONNES PRATIQUES 1. Notez les 12 mots sur PAPIER — jamais en photos, captures d'écran, notes, email, WhatsApp ou cloud. Tout ce qui est numérique peut être piraté ou divulgué. 2. Gardez le papier dans un endroit sûr et privé — idéalement deux copies à deux endroits différents, à l'abri du feu et de l'eau. 3. Ne partagez JAMAIS la phrase. Aucun support, site web ou personne légitime ne vous la demandera jamais. Celui qui la demande essaie de vous voler. 4. L'ordre compte : les mots ne fonctionnent que dans la séquence exacte affichée. 5. Vérifiez chaque mot juste après l'avoir noté — une seule lettre erronée rend la sauvegarde inutilisable. 6. Si possible, testez la récupération sur un second appareil avant de déposer de grosses sommes. 7. Phrase perdue et téléphone perdu = fonds perdus à jamais. Quelqu'un trouve votre phrase = vos fonds peuvent être pris de façon irréversible. Il n'existe aucun moyen d'annuler des transactions sur la blockchain.

SI L'APPLICATION TOMBE EN PANNE : vos fonds ne sont jamais bloqués dans l'application. Ils sont sur la blockchain (Arbitrum One/Hyperliquid), pas sur votre téléphone. Si une fonctionnalité cesse de marcher, importez votre phrase de récupération dans un autre portefeuille (ex. : MetaMask) pour voir et déplacer vos fonds directement. Pour retirer d'Hyperliquid, vous pouvez aussi accéder à app.hyperliquid.xyz avec le même portefeuille. La phrase de récupération est votre clé maîtresse — l'application n'est qu'une télécommande.

Vous êtes l'unique dépositaire

Vos phrases de sécurité sont générées sur l'appareil, chiffrées avec AES-256/GCM et stockées dans l'Android Keystore. Elles ne sont jamais envoyées vers un serveur.

Comment vos clés sont protégées

Dérivation	BIP-44 (m/44'/60'/0'/0/0)
Chiffrement	AES-256 / GCM
Stockage	Android Keystore
Quitte l'appareil ?	Jamais

Protection Android Keystore

Le Keystore Android est un système de sécurité intégré à Android lui-même — pas à l'application. Il stocke la clé qui chiffre votre phrase de récupération. La clé ne quitte jamais le matériel : sur les appareils avec TEE ou StrongBox, même le root ne peut pas la copier. Cela protège la clé au repos, pas son utilisation. Comme le robot doit signer 24 heures sur 24, la clé fonctionne sans demander votre empreinte — et, sur un appareil rooté, n'importe quelle application avec la permission root peut utiliser cette clé au nom de 0x2ALL et lire votre phrase de récupération. N'utilisez pas 0x2ALL sur un appareil rooté ou avec un bootloader déverrouillé.

Protection matérielle	Lorsque disponible
Extraction de clé	Non exportable avec TEE
Disponibilité	Android 7.0 ou supérieur

Protection contre les captures d'écran et l'apprentissage du clavier

Les captures et enregistrements d'écran sont bloqués sur tous les écrans de l'application : une photo de l'écran sortirait toute noire. Et les champs où vous saisissez votre phrase de récupération sont traités comme des mots de passe — le clavier ne mémorise pas ces mots et ne les suggérera jamais ensuite.

Intégrité de l'appareil

L'application vérifie sur l'appareil lui-même les signes de root ou de bootloader déverrouillé. S'ils sont présents, elle avertit à l'ouverture et bloque la création de portefeuille, l'import, le on-ramp et le dépôt — car, avec le root, n'importe quelle application disposant de la permission root peut lire votre phrase de récupération. Retirer, envoyer et révéler la phrase restent disponibles : l'application avertit et bloque l'entrée, jamais la sortie.

La vérification est locale (rien n'est envoyé et aucun identifiant de l'appareil n'est lu) et elle est indicative : ce n'est pas une preuve que l'appareil est propre.

Avertissement de risque

Les produits dérivés à effet de levier peuvent anéantir une position. La plupart des traders particuliers perdent de l'argent. N'utilisez que ce que vous pouvez perdre sans affecter votre vie.

Authenticité de l'application

Chaque APK est signé par une clé cryptographique propre au développeur. De cette clé découle une valeur publique — l'empreinte du certificat (SHA-256) — qui identifie l'auteur de la signature du fichier. La valeur ci-dessous est celle de la version officielle actuelle :

…

Ouvrez Sécurité → Authenticité de l'application sur le téléphone et comparez les deux valeurs. Si elles diffèrent, le fichier reçu n'est pas l'officiel : n'importez pas votre phrase de récupération, désinstallez et téléchargez à nouveau depuis ce site.

L'empreinte est publique par conception : elle ne révèle pas la clé privée et ne donne aucun accès aux fonds. Elle sert uniquement à vérifier l'origine du fichier — le même contrôle qu'Android effectue à chaque mise à jour.

Aller à la page de téléchargement

Mises à jour : seulement celles que vous choisissez

Cette application ne se met jamais à jour toute seule. Elle ne contacte aucun serveur pour chercher de nouvelles versions, ne télécharge aucun APK en arrière-plan et n'installe rien sans vous.

La version installée ne change que si vous téléchargez l'APK sur la page de téléchargement de ce site et l'installez manuellement par-dessus. Android refuse l'installation si la signature n'est pas la même — c'est pourquoi l'empreinte du certificat est publiée ci-dessus.

Pas de garde des fonds, pas d'inscription

Nous n'avons pas de serveur de comptes : l'application ne demande pas d'e-mail, n'a pas de connexion et ne voit jamais vos clés. Fonds et décisions restent sous votre contrôle exclusif.