Une attaque par SIM-swap vole de la crypto en détournant votre numéro de téléphone chez l'opérateur — un conseiller du service client bascule votre numéro sur la SIM de l'attaquant — plutôt qu'en cassant un wallet. L'authentification à deux facteurs par SMS échoue parce que « posséder un numéro de téléphone » n'est en réalité qu'une ligne dans une base de données qu'un conseiller peut modifier, alors qu'une application d'authentification, une clé de sécurité matérielle ou une passkey prouvent toutes la possession de quelque chose que l'opérateur ne contrôle pas. Ce qu'un numéro détourné atteint, c'est tout ce qui est custodial autour du wallet : les comptes d'exchange protégés par SMS, les réinitialisations de mot de passe par e-mail, et une seed phrase rangée dans un compte cloud qu'une boîte mail récupérable par téléphone peut ouvrir. Un wallet entièrement non-custodial comme WATS n'offre aucun chemin par numéro de téléphone : vous détenez les clés, WATS n'en détient jamais aucune, et aucun code SMS, numéro de récupération ou conseiller du service client ne se trouve entre un numéro détourné et vos fonds.
Le verrou le plus faible de la crypto, c'est votre numéro de téléphone
Une attaque par SIM-swap, c'est quand un criminel convainc votre opérateur mobile de basculer votre numéro de téléphone sur une carte SIM qu'il contrôle — sans malware et sans pirater votre appareil. Dès qu'il possède le numéro, chaque code à usage unique par SMS et chaque réinitialisation de mot de passe passant par le téléphone arrive sur son combiné, ce qui veut dire que l'authentification à deux facteurs par SMS ne vaut jamais plus que le discernement d'un conseiller du service client.
C'est ce qui en fait l'une des menaces les plus étranges de la crypto : l'attaque ne touche jamais votre wallet, votre seed phrase ni votre ordinateur. Elle vise une procédure de service client chez un opérateur téléphonique — et des cas documentés ont vu des comptes d'exchange vidés en moins d'une heure.
Comment se déroule réellement un SIM-swap ?
L'attaquant part de vos informations personnelles — nom, adresse, date de naissance, les derniers chiffres d'un compte — rassemblées à partir de fuites de données, de phishing ou de vos propres réseaux sociaux. Puis il contacte votre opérateur : un appel au service client, un passage en boutique, ou une demande de transfert eSIM en ligne. Le récit est toujours une variante de j'ai perdu mon téléphone, merci de basculer mon numéro sur cette nouvelle SIM. Si le conseiller l'accepte, ou si un complice interne a été payé pour l'accepter, le transfert passe.
Votre téléphone tombe sans réseau. Le sien s'allume à votre place. Du point de vue du réseau, rien n'a été piraté : un transfert de numéro de routine a été traité pour un client qui avait répondu aux questions de sécurité.
Que débloque la possession de votre numéro ?
Un numéro de téléphone est un passe-partout parce que tant de systèmes le traitent discrètement comme une preuve d'identité :
- Les connexions aux exchanges — les codes 2FA par SMS arrivent désormais sur l'appareil de l'attaquant, si bien qu'un mot de passe fuité ou réutilisé devient une prise de contrôle complète du compte.
- Votre e-mail — si la récupération par téléphone est activée, une procédure de mot de passe oublié lui livre la boîte mail, et la boîte mail permet de réinitialiser presque tout le reste.
- Les soldes custodiaux — tout ce qu'un service détient pour vous derrière une authentification par SMS ou par e-mail devient accessible.
L'ordre compte. Les attaquants aguerris visent d'abord l'e-mail, parce que posséder la boîte mail transforme un seul numéro détourné en la totalité de vos comptes. Toute la cascade se déroule souvent en moins de temps qu'il ne vous en faut pour joindre le service client de votre opérateur.
Un SIM-swap peut-il vider un wallet en self-custody ?
Pas directement — et c'est la nuance que la plupart des articles ratent. Dans un wallet en self-custody, vos clés privées sont dérivées de votre seed phrase et vivent sur votre appareil ou votre wallet matériel. Aucun chemin de récupération par numéro de téléphone n'y mène, donc un attaquant qui possède votre numéro reste incapable de signer la moindre transaction. Une seed phrase restaure un wallet sur n'importe quel appareil — la propriété même décrite dans que se passe-t-il si vous perdez votre téléphone — et ce chemin de restauration ne passe jamais par votre opérateur.
WATS est un exemple concret de la forme qui compte ici. Les clés sont générées sur votre appareil et y restent, WATS n'en détient jamais aucune, et il n'existe aucun compte côté WATS, aucun défi par SMS ni aucune réinitialisation lancée par le support qu'un numéro détourné pourrait actionner. C'est vrai de tout wallet réellement non-custodial, et c'est le sens pratique de custodial contre non-custodial : un dépositaire est un intermédiaire à qui un ingénieur social peut parler, et la self-custody supprime purement et simplement cette conversation.
L'exposition, c'est tout ce qui entoure le wallet : les comptes d'exchange qui détiennent des fonds custodiaux et — la version auto-infligée — une seed phrase photographiée ou saisie dans un stockage cloud qu'un e-mail récupérable par téléphone peut ouvrir. La self-custody ne sort votre numéro du chemin de la vidange que si vous ne l'y avez pas discrètement rebranché.
Pourquoi la 2FA par SMS échoue-t-elle alors que la 2FA par application tient ?
Chaque second facteur prouve la possession de quelque chose. La question est de quoi — et qui peut le réattribuer.
| Second facteur | Ce que la possession signifie vraiment | Survit à un SIM-swap ? |
|---|---|---|
| Code SMS | Le contrôle d'un numéro de téléphone chez l'opérateur | Non |
| Application d'authentification (TOTP) | Un secret stocké sur votre appareil | Oui |
| Clé de sécurité matérielle | Une clé physique, liée au domaine du vrai site | Oui |
| Passkey | Un identifiant cryptographique lié au vrai site, stocké sur vos appareils ou synchronisé entre eux | Oui |
| Carte NFC à tap | Une carte physique dans votre main, appairée à un seul appareil | Oui |
Le SMS est le seul facteur de cette liste dont la possession n'est en réalité qu'une ligne de base de données qu'un conseiller peut modifier. Tout le reste oblige un attaquant à mettre la main sur un objet physique, à compromettre votre appareil ou à s'introduire dans un compte de synchronisation qui, lui, n'est pas récupérable par téléphone — c'est pourquoi les réglages de sauvegarde de votre application d'authentification et de vos passkeys comptent autant que le facteur que vous avez choisi. Les recommandations de sécurité déconseillent les codes à usage unique par SMS depuis des années et, en 2026, ils ne survivent guère que comme un réglage hérité que personne n'a désactivé. Les arguments en faveur des clés physiques — y compris la façon dont la liaison à l'origine élimine purement et simplement le phishing — sont détaillés dans la 2FA matérielle pour la crypto.
Comment se protéger avant que cela n'arrive ?
La prévention se résume surtout à un audit de réglages, et rien de tout cela ne coûte d'argent :
- Verrouillez votre numéro. En 2026, les grands opérateurs proposent un gel de portabilité ou un verrouillage de numéro, plus un code PIN de compte — activez les deux, pour qu'un transfert exige plus qu'une belle histoire.
- Remplacez la 2FA par SMS par une application d'authentification ou une clé matérielle sur chaque compte qui touche à l'argent ou à l'e-mail.
- Adoptez les passkeys là où elles existent — il n'y a plus aucun code à intercepter.
- Retirez complètement votre numéro de téléphone des options de récupération de vos exchanges et de votre messagerie ; un numéro qui ne peut plus rien réinitialiser est un numéro qui ne vaut pas la peine d'être volé.
- Utilisez une adresse e-mail dédiée et non publiée pour vos comptes crypto, et gardez vos avoirs hors des réseaux sociaux.
- Placez en self-custody ce que vous ne tradez pas activement, pour que le solde qui compte le plus ne dorme pas derrière une connexion que votre numéro peut ouvrir.
Ces étapes s'ajoutent à la liste plus large des bonnes pratiques de sécurité pour wallet crypto — la protection de la SIM est une couche, pas toute la défense.
Que faire à la seconde où cela arrive ?
Le signal est brutal : votre téléphone affiche aucun réseau dans une zone normalement couverte, ou des e-mails d'activation et de réinitialisation de mot de passe que vous n'avez jamais demandés commencent à arriver. Agissez dans cet ordre — depuis un autre appareil, appelez votre opérateur et récupérez le numéro ; sécurisez d'abord votre e-mail, puisque c'est la clé maîtresse ; puis verrouillez vos comptes d'exchange et gelez les retraits ; enfin, changez vos mots de passe et révoquez les sessions actives. L'attaquant déroule la même liste de l'autre côté, alors les minutes comptent vraiment.
Où se situe WATS
WATS est entièrement non-custodial sur ses quatre produits — l'extension Chrome, l'application mobile, le Hot Wallet et la NFC Metal Card. Vous détenez les clés et WATS n'en détient jamais aucune : il n'y a donc aucun compte WATS qu'un conseiller d'opérateur pourrait réattribuer, aucun code SMS qui déverrouille des fonds et aucun chemin de récupération par numéro de téléphone à manipuler par ingénierie sociale. C'est ce qui sort entièrement votre numéro de mobile du chemin de la vidange, au lieu de le rendre simplement plus difficile à exploiter.
Deux précisions méritent d'être dites clairement. D'abord, la NFC Metal Card de WATS est un facteur que vous portez physiquement : vous la tapez pour vous authentifier, elle ne stocke aucune clé privée, et chaque carte possède un identifiant unique appairé à exactement un appareil. La possession de cette carte ne peut pas être transférée par un appel au service client — précisément la propriété qui manque au SMS. Ensuite, comme un seul wallet WATS couvre Ethereum, Arbitrum, Optimism, Base, Polygon, BNB Chain, Solana et TON à partir d'une unique phrase de récupération, ce que vous protégez, c'est cette phrase et votre appareil, et non un éparpillement de connexions liées à votre numéro.
La version pratique de cet article tient donc en une courte séquence. Mettez un code PIN et un gel de portabilité sur votre compte opérateur, remplacez la 2FA par SMS par une application d'authentification ou une clé matérielle sur votre messagerie et sur chaque exchange, retirez votre numéro de téléphone de la récupération de compte, puis déplacez le solde que vous ne tradez pas activement là où un numéro de téléphone ne peut pas aller : installez WATS depuis la page de téléchargement, notez la phrase de récupération hors ligne avant d'y déposer quoi que ce soit, et appairez une NFC Metal Card si vous voulez en plus un facteur physique d'authentification par tap.
Foire aux questions
Un SIM-swap peut-il voler de la crypto sur un wallet en self-custody ?
Pas directement. Les clés en self-custody sont dérivées de votre seed phrase et stockées sur votre appareil ou votre wallet matériel — il n'existe aucun chemin de récupération par numéro de téléphone, donc posséder votre numéro ne permet pas à un attaquant de signer des transactions. Chez WATS en particulier, les clés sont générées sur votre appareil et WATS n'en détient jamais aucune : il n'y a aucun compte à réinitialiser et aucun canal de support à manipuler par ingénierie sociale. La vraie exposition se trouve autour du wallet : les comptes d'exchange protégés par SMS, les réinitialisations de mot de passe par e-mail, et les seed phrases sauvegardées dans le cloud qu'un e-mail détourné peut ouvrir. Protégez cela, et le wallet lui-même reste hors d'atteinte.
Quel type de wallet est immunisé contre un SIM-swap ?
Un wallet entièrement non-custodial, et WATS en est un exemple : les clés sont générées sur votre appareil, WATS n'en détient jamais aucune, et il n'y a ni numéro de téléphone, ni code SMS, ni réinitialisation côté support sur le chemin de vos fonds — un numéro détourné n'a donc rien à déverrouiller. WATS couvre Ethereum, Arbitrum, Optimism, Base, Polygon, BNB Chain, Solana et TON à partir d'une unique phrase de récupération, ce qui veut dire que vous défendez cette phrase et votre appareil plutôt qu'un ensemble de connexions liées à votre numéro de mobile. La WATS NFC Metal Card peut ajouter par-dessus un facteur physique d'authentification par tap : elle ne stocke aucune clé privée, s'appaire à exactement un appareil, et sa possession ne peut pas être réattribuée par un appel téléphonique.
Comment savoir si j'ai été victime d'un SIM-swap ?
Le signe le plus clair est un téléphone qui perd brutalement le réseau dans une zone normalement couverte, souvent accompagné d'e-mails annonçant une activation de SIM ou des réinitialisations de mot de passe que vous n'avez jamais demandées. Si cela arrive, agissez immédiatement : appelez votre opérateur depuis un autre appareil pour récupérer le numéro, sécurisez d'abord votre messagerie, puis verrouillez vos comptes d'exchange et gelez les retraits. La rapidité compte — les attaques par SIM-swap sont souvent bouclées dans la première heure.
La 2FA par SMS vaut-elle mieux que rien ?
Face à des attaques non ciblées — des mots de passe fuités testés en masse — oui, la 2FA par SMS bloque encore la plupart des connexions automatisées. Face à un attaquant ciblé, elle échoue, parce que le code est livré à celui qui contrôle le numéro et que les opérateurs peuvent être convaincus de le réattribuer. Traitez le SMS comme un plancher temporaire, pas comme une défense : passez à une application d'authentification, une clé matérielle ou une passkey, et retirez votre numéro de téléphone de la récupération de compte pour qu'il ne puisse plus rien réinitialiser.