Métadonnées Bitcoin : le vrai risque vient de votre portefeuille, pas de la blockchain

Par la rédaction Bitcoinsurf · 22 octobre 2026

Tout le monde répète que la blockchain est publique et que ce n'est pas nouveau. Vrai. Mais une étude du groupe de recherche DistriNet de la KU Leuven (2026) pointe ailleurs : le logiciel qui affiche votre solde, celui que vous ouvrez chaque matin dans votre navigateur, peut en révéler sur vous bien plus qu'on ne le pense, au-delà de ce qu'expose déjà le registre lui-même.

Les chercheurs résument le malentendu en une phrase : les utilisateurs supposent rester anonymes parce qu'une adresse ressemble à une chaîne de caractères aléatoire — c'est précisément le problème. Une adresse qui paraît illisible n'est pas une adresse qui protège. Elle peut être liée à d'autres adresses, à une session de navigation, parfois à une identité réelle, sans que rien dans l'interface du portefeuille ne le signale.

Points clés à retenir

Une équipe de la KU Leuven a analysé 85 portefeuilles crypto distribués sous forme d'extensions Chrome, utilisés par environ 35 millions de personnes.
17 de ces 85 portefeuilles présentaient des signaux permettant de lier des adresses entre elles, ce qui concernerait environ 23 millions d'utilisateurs.
Une adresse divulguée peut révéler une activité financière et exposer davantage au phishing ciblé, aux arnaques, à l'extorsion ou à des menaces physiques.
Certains éditeurs ont corrigé le problème après l'alerte des chercheurs, d'autres ont répondu via un programme de bug bounty.
Des gestes simples côté utilisateur réduisent déjà une partie du risque, sans attendre un correctif logiciel.

Pourquoi une adresse Bitcoin n'est-elle pas anonyme ?

Il faut d'abord rappeler une évidence trop souvent oubliée : une blockchain est un registre ouvert. Solde, montant d'une transaction, adresse de l'expéditeur et du destinataire restent visibles par n'importe qui, en permanence — c'est la définition même d'un registre public et distribué, telle que la décrit le rapport sectoriel de 21Shares sur les jetons de confidentialité (2026). Rien de caché, rien de nouveau : c'est le principe fondateur du système.

Ce que le secteur appelle la confidentialité des métadonnées et du réseau consiste à casser les liens entre une transaction, un portefeuille et une identité réelle, y compris au niveau de l'adresse IP utilisée pour diffuser l'opération, toujours selon le même rapport 21Shares. C'est un terrain distinct de la transparence du grand livre : on ne cache pas la transaction, on empêche qu'elle soit reliée à une personne précise.

Un terrain déjà documenté ailleurs, mais peu exploré pour les portefeuilles crypto

C'est ce second terrain que l'étude de la KU Leuven vient documenter de façon systématique pour l'écosystème des portefeuilles crypto — non pas au niveau du protocole Bitcoin, mais au niveau du logiciel intermédiaire que des millions de personnes utilisent sans y penser à deux fois : l'extension de portefeuille installée dans le navigateur. La fuite de données par des extensions de navigateur et le risque de réidentification à partir d'identifiants pseudonymes avaient déjà été documentés auparavant, notamment dans la publicité en ligne et la sécurité des extensions ; l'apport de cette étude est d'appliquer une analyse systématique à ce terrain spécifique des portefeuilles crypto.

Ce que l'étude de la KU Leuven a découvert dans votre portefeuille

L'équipe DistriNet de la KU Leuven a passé au crible 85 portefeuilles crypto distribués comme extensions Chrome, un ensemble qui totalise environ 35 millions d'utilisateurs cumulés. L'objectif n'était pas de tester la blockchain, mais le comportement du logiciel lui-même : que fait-il, en silence, pendant que l'utilisateur navigue ou effectue une transaction ?

Le résultat : 17 de ces 85 portefeuilles présentaient des signaux permettant de lier des adresses entre elles — une faille qui concernerait, par extrapolation, une population estimée à 23 millions d'utilisateurs. Concrètement, les chercheurs ont montré que certains portefeuilles peuvent relier des adresses entre elles, rendre un utilisateur reconnaissable même après qu'il s'est déconnecté, et faire le pont entre sa navigation ordinaire sur le web et ses actifs crypto. Ce n'est pas la blockchain qui établit ce lien : c'est le logiciel qui s'exécute localement, dans l'onglet du navigateur.

Ce que cela change pour l'utilisateur

La gestion de ses propres clés privées — l'argument classique en faveur des portefeuilles non custodiaux — ne protège pas automatiquement contre ce type de fuite. Comme le résume Weihong Wang, chercheuse au sein du groupe DistriNet de la KU Leuven : « gérer ses propres clés donne le contrôle, mais pas automatiquement la confidentialité. »

De l'adresse divulguée à la menace réelle : la chaîne de risque

Une adresse qui fuite n'est pas qu'un problème abstrait. Selon les chercheurs de la KU Leuven, une adresse divulguée peut révéler une activité financière entière et accroître l'exposition au phishing ciblé, aux arnaques, à l'extorsion ou, dans les cas les plus graves, à des menaces physiques contre le détenteur d'actifs. Les chercheurs ne quantifient pas la fréquence de ces incidents : il s'agit d'une exposition accrue au risque, documentée qualitativement, pas d'un décompte de cas avérés.

Ce schéma n'est pas propre à la crypto. Une enquête de The Verge (2024) sur l'outil de surveillance Locate X, utilisé aux États-Unis sur le marché publicitaire, a montré qu'un identifiant mobile publicitaire en apparence anonyme pouvait suffire à suivre un téléphone à la trace puis à déduire l'identité réelle de son propriétaire. Le cas est américain et concerne un marché distinct — il n'a pas de valeur de précédent légal ici — mais le mécanisme générique est le même : un identifiant qui semble anonyme devient un point d'ancrage vers une identité réelle dès qu'il est croisé avec d'autres données de comportement.

Une adresse de portefeuille crypto liée à une session de navigation suit exactement cette logique : seule, elle ne dit rien ; recoupée, elle peut tout dire.

Quels portefeuilles ont corrigé le problème ?

Les chercheurs de la KU Leuven ont retesté les portefeuilles concernés en février 2026, après avoir signalé les failles à leurs éditeurs. L'état des lieux à cette date :

Coinbase Wallet et Coin98 avaient déjà corrigé le problème au moment du retest.
Hana Wallet a corrigé le problème, mais plus tard que les deux précédents.
MetaMask, OKX, Trust Wallet, Rabby Wallet, Binance Wallet et Bybit Wallet ont répondu aux chercheurs via leur programme de bug bounty respectif.

Cette liste ne dit pas que les portefeuilles non mentionnés sont sûrs : elle reflète seulement ceux pour lesquels un échange documenté a eu lieu au moment de l'étude. Un correctif annoncé via un bug bounty ne garantit pas non plus un déploiement immédiat auprès de tous les utilisateurs.

Comment réduire concrètement l'exposition de votre portefeuille

En attendant qu'un correctif logiciel se généralise, plusieurs gestes réduisent déjà l'exposition, sans exiger de compétence technique particulière.

Auditer les autorisations actives. Dans les paramètres de l'extension, la section souvent appelée « Connected Sites » ou « Permissions » liste tous les sites autorisés à interagir avec le portefeuille. Les chercheurs de la KU Leuven recommandent de supprimer les autorisations anciennes ou inutilisées : chaque connexion oubliée est un point de liaison potentiel.
Cloisonner les usages. Ne pas combiner différentes activités — par exemple un portefeuille utilisé pour des échanges réguliers et un autre pour des opérations ponctuelles — sur le même profil de navigateur. Un profil dédié par usage limite la capacité d'un logiciel à recouper plusieurs facettes d'une même personne.
Tester son exposition. La KU Leuven a mis en ligne une démonstration interactive qui s'exécute entièrement dans le navigateur et ne stocke aucune donnée ; elle permet de vérifier concrètement certains des mécanismes documentés par l'étude.
Suivre les correctifs, sans s'y fier aveuglément. Un portefeuille corrigé aujourd'hui peut introduire une nouvelle fonctionnalité demain. La vigilance reste permanente, pas ponctuelle.

Les chercheurs insistent sur un point : la responsabilité ne doit pas reposer uniquement sur l'utilisateur. Développeurs et plateformes Web3, écrivent-ils, doivent intégrer la confidentialité par conception plutôt que de la laisser à la charge de chacun.

Au-delà du portefeuille : ce que l'industrie construit pour corriger le problème à la racine

Les correctifs côté portefeuille traitent un symptôme. Une partie de l'industrie travaille aussi sur des réponses au niveau du protocole lui-même — des approches qui existent à l'international, sans être pour l'instant une pratique courante en Belgique ni une solution recommandée ici.

Les preuves à divulgation nulle de connaissance, ou preuves ZK, permettent par exemple de confirmer qu'une transaction est valide sans exposer ni l'expéditeur, ni le destinataire, ni le montant, selon le rapport sectoriel 21Shares (2026). C'est une logique inverse de celle du registre Bitcoin classique : la validité est prouvée mathématiquement, sans que le contenu soit rendu public.

Autre exemple cité par ce même rapport : les « view keys » du réseau Zcash, qui permettent une divulgation sélective de l'historique de transactions à un tiers de confiance — un auditeur, par exemple — sans exposition publique du reste de l'activité. Ces architectures restent des cas d'usage internationaux distincts de Bitcoin ; elles éclairent surtout une direction possible, pas une solution disponible aujourd'hui pour le détenteur belge de bitcoin.

Questions fréquentes sur les métadonnées de portefeuille crypto

Une adresse Bitcoin est-elle vraiment anonyme ? Non : une adresse est pseudonyme, pas anonyme. Mais le risque concret ne vient pas seulement de cette visibilité sur le registre : c'est surtout la manière dont le logiciel de portefeuille traite cette adresse en coulisses — capable de la relier à d'autres adresses ou à une session de navigation — qui détermine le niveau réel d'exposition.

Quelles informations un portefeuille peut-il exposer sans que je le sache ? Au-delà de l'adresse elle-même, un logiciel de portefeuille peut, selon sa conception, exposer des éléments techniques qui permettent de relier plusieurs de vos adresses entre elles ou de vous reconnaître d'une session de navigation à l'autre.

Faut-il changer de portefeuille si le mien n'a pas été testé par l'étude ? L'étude ne couvre que 85 extensions Chrome précises ; l'absence de mention ne signifie ni sécurité ni risque avéré. Mieux vaut appliquer les mêmes réflexes d'hygiène — audit des autorisations, cloisonnement des usages — quel que soit le logiciel utilisé.

Les portefeuilles mobiles ou matériels sont-ils concernés par ces mêmes risques ? L'étude de la KU Leuven porte spécifiquement sur des extensions de navigateur Chrome ; elle ne permet pas de conclure sur les portefeuilles mobiles natifs ou les portefeuilles matériels, qui reposent sur une architecture différente.

Conclusion : la confidentialité se joue avant la transaction, pas après

L'étude de la KU Leuven, signée Wang, Dimova, Vansteenkiste, Van Goethem et Van Cutsem au sein du groupe DistriNet, a été acceptée pour la conférence PETS 2026, qui s'est tenue à Calgary du 20 au 25 juillet 2026. Depuis, la question qui reste ouverte n'est pas celle de la blockchain — son fonctionnement public est connu et stable — mais celle du rythme auquel les éditeurs de portefeuilles encore non corrigés traiteront les failles déjà signalées. Pour l'utilisateur, le choix du logiciel et la vigilance sur ses permissions pèsent, à ce stade, au moins autant que la discipline appliquée au moment de chaque transaction.