Qu'est-ce qu'un wallet physique?

Un wallet physique conserve la clé privée dans l'appareil et y signe les transactions. Le principe vient des cartes bancaires: le secret reste dans la puce, seul le résultat atteint le terminal. Trezor décrit le parcours: les détails arrivent à l'appareil, "which then securely signs the transaction inside the device using your private key". La transaction signée revient à l'ordinateur ou téléphone, qui l'envoie au réseau (Trezor).

La signature suit quatre étapes, présentées dans l'ordre: le logiciel construit la transaction; l'appareil affiche montant et adresse sur son écran; le propriétaire confirme par bouton ou toucher; l'appareil signe. Son écran importe car un logiciel malveillant peut modifier l'affichage de l'ordinateur. Ledger appelle cela "what you see is what you sign" (Ledger).

Un élément sécurisé est "a tamper-resistant chip designed to securely store secrets and enforce access controls", selon Trezor, et "the same type of chip used in credit cards and passports" (Trezor). Il vérifie le code PIN au niveau matériel, puis après un nombre défini d'erreurs, 16 sur certains appareils, efface son secret et réinitialise l'appareil; le propriétaire restaure alors le portefeuille depuis sa sauvegarde.

Ledger liste les attaques auxquelles la puce résiste: canaux auxiliaires lisant consommation ou rayonnement, fautes provoquées par laser ou variations de tension, tentatives de charger d'autres logiciels. Un laboratoire tiers certifie la puce selon Common Criteria.

Un wallet physique diffère d'un portefeuille logiciel par l'emplacement de la clé, et d'une plateforme par son détenteur.

Wallet physique et portefeuille froid diffèrent par leur périmètre. Trezor définit un portefeuille froid comme celui "where private keys are generated and stored offline"; un wallet physique est un appareil remplissant cette fonction, et le stockage froid consiste à garder les clés hors ligne. Un wallet physique permet l'autoconservation et n'a donc pas de dépositaire, le propriétaire détenant la clé. La page Qu'est-ce qu'un portefeuille crypto? décrit les autres types.

Un wallet physique protège la clé des logiciels malveillants de l'ordinateur connecté et complique les attaques physiques sur un appareil volé. Trezor rappelle qu'aux débuts des cryptomonnaies, les clés résidaient dans des fichiers chiffrés et les logiciels malveillants vidaient des portefeuilles entiers. Aujourd'hui, Trezor affirme que "even if your computer or smartphone is compromised, the private keys stored in your hardware wallet remain safe".

Il ne protège pas la sauvegarde, le même fabricant précisant que son détenteur "can access your wallet without needing your Trezor", et que le principal risque vient souvent de l'hameçonnage ciblant celle-ci. Il n'empêche pas non plus la signature aveugle, définie par Ledger comme "the act of approving a digital transaction without being able to verify its full details in a human-readable format" (Ledger). L'affichage "Data Present" ne permet aucune vérification au propriétaire. Le fabricant ne peut pas non plus restaurer une sauvegarde perdue.

Un particulier achetant un wallet physique n'a besoin d'aucun agrément, ni le vendeur tant qu'il n'accède pas aux clés (BaFin, 3 janvier 2025). Une banque ou un gestionnaire les utilisant pour conserver les clés de clients assure la conservation selon MiCA, directement applicable en Allemagne et Autriche. Un établissement de crédit notifie la BaFin ou la FMA selon l'article 60(1) au moins 40 jours ouvrés avant de commencer. Le contrat client doit décrire "the security systems used" selon l'article 75(1)(e).

DORA ajoute des obligations pour les clés et leurs appareils de stockage. L'article 7 du règlement délégué (UE) 2024/1774 exige de protéger les clés "against loss, unauthorised access, disclosure, and modification" et de tenir un registre des certificats et "certificate-storing devices" pour les actifs soutenant des fonctions critiques ou importantes. La BaFin assure la supervision selon le KMAG.

Les conservateurs institutionnels utilisent le stockage froid à plus grande échelle. BitGo Europe GmbH, à Francfort, a reçu un agrément MiCA de la BaFin le 12 mai 2025 et propose la conservation froide réglementée aux entreprises européennes (BitGo, 12 mai 2025).

La Suisse est hors de l'UE, donc MiCA et DORA ne s'y appliquent pas. La communication FINMA 08/2023 indique qu'une banque ne peut garder les cryptoactifs hors bilan comme actifs conservés que s'ils sont "held in readiness for the customer at all times"; sinon, les jetons de paiement sont des dépôts soumis à fonds propres. Ces informations ne remplacent pas un conseil juridique.