ZachXBT affirme qu’un vieil iPhone surpasse n’importe quel hardware wallet pour le stockage de crypto. Le développeur de Tornado Cash, Roman Storm, abonde dans son sens, mais indique qu’il manque une fonctionnalité essentielle qui ruine tout le projet de wallet sur iPhone.
Cette fonctionnalité, c’est la passphrase BIP39. Il s’agit d’un mot secret supplémentaire qui dissimule votre véritable wallet derrière un wallet vide.
La fonction qui fait défaut au plan de wallet sur iPhone
La frustration de cet enquêteur on-chain repose sur des faits avérés. Bybit a perdu 1,5 milliard de dollars en février 2025 après que des attaquants ont piégé ses signataires pour qu’ils approuvent une mauvaise transaction. Les clés sont restées en sécurité. L’argent, lui, n’a pas été récupéré.
« Tous les hardware wallets sont complètement nuls et je déconseille de les utiliser pour des tâches importantes, comme la signature de transactions ou le stockage de fonds. Il est bien mieux d’avoir un iPhone distinct, dédié à une seule chose : servir de hardware wallet », a noté ZachXBT .
Suivez-nous sur X pour recevoir toute l’actualité en temps réel
Storm a apprécié l’idée. Toutefois, il y appose une mise en garde.
« Je suis d’accord – s’il existait réellement une application mobile avec la prise en charge de la passphrase BIP39. »
Voici pourquoi c’est important. Votre phrase de récupération est composée de 12 ou 24 mots, généralement notés sur papier. En ajoutant une passphrase, ces mêmes mots ouvrent un tout autre wallet.
Un voleur qui tombe sur le papier ne verrait donc qu’un compte vide. Un particulier britannique a perdu environ 172 millions de dollars après que sa phrase de récupération Trezor est apparue sur une caméra de surveillance à domicile. Une passphrase aurait rendu cet enregistrement inutile.
La menace progresse également. Chainalysis a recensé 158 000 compromissions de wallets personnels en 2025, soit près du triple du nombre de 2022. Ces attaques ont frappé 80 000 victimes pour un montant de 713 millions de dollars. De plus, une seule faille sur les phrases de récupération a permis de siphonner 3,1 millions de dollars ce mois-ci.
Ce qui manque aux wallets mobiles
Storm a dressé la liste. Trezor, Ledger, Coldcard, Keystone et BitBox prennent tous en charge les passphrases. En parallèle, MetaMask ignore les demandes depuis 2021. Trust Wallet ne la propose pas non plus. Rabby la propose uniquement sur ordinateur, laissant AirGap Vault comme seule option mobile.
Sa solution est simple : les wallets mobiles devraient prendre en charge les passphrases et la signature air-gapped, afin que le téléphone ne soit jamais connecté à internet. Une étude de Trail of Bits va dans le même sens, en recommandant de limiter les pertes si jamais les clés fuitent.
Il y a toutefois une contrepartie. Jameson Lopp, cofondateur de Casa, a mis en garde, lors d’une interview, contre la tendance qu’ont les utilisateurs à perdre leur passphrase et à se retrouver bloqués à jamais.
La menace ne vient pas uniquement des voleurs. Hong Kong peut déjà exiger des voyageurs qu’ils déverrouillent leur téléphone et leur wallet à la frontière.
Trezor s’oppose au plan du téléphone transformé en coffre-fort
Trezor ne semble pas prêt de changer d’avis. À l’instar de Storm, Danny Sanders, directeur commercial de la société, a salué le travail d’enquête de ZachXBT mais s’oppose au changement proposé.
Sanders avance que les téléphones sont des appareils polyvalents qui comportent trop de portes d’entrée. Les hacks « zero-click » sont une réalité bien documentée, précise-t-il.
Un hardware wallet sert aussi d’écran secondaire indépendant. Si un téléphone est compromis, il n’existe plus de séparation entre la vérification et la signature de vos transactions.
Il ajoute que générer les mots de récupération sur un téléphone expose à des sauvegardes iCloud et des fuites via le presse-papier. Même la batterie nuit à cette approche : un iPhone stocké des années s’usera, et le réactiver nécessitera les serveurs d’activation Apple et un identifiant Apple.
Storm, qui attend un nouveau procès dans l’affaire Tornado Cash, renvoie la balle aux éditeurs de wallets. Si MetaMask ou Trust Wallet introduit ce champ, des millions de vieux téléphones pourraient devenir de véritables coffres-forts pour crypto.
