🔐 "Hardware Wallet" du Pauvre : fabriquer son portefeuille Bitcoin air-gap avec une simple clé USB

• 🧰 1. Le matériel nécessaire
• 💻 2. Les logiciels
• 🔧 3. Étape 1 : préparer la machine et la clé USB
  • A - Préparer la clé USB
  • B - Télécharger Linux Mint
  • C - Installer Linux sur la machine de préparation
  • D - Installer les outils nécessaires
• 🛠️ 4. Étape 2 : créer notre ISO personnalisée
  • A - Désactiver les interfaces réseau et le montage automatique des disques
  • B - Ajouter nos logiciels
  • C - Générer l’ISO
• 🚀 5. Étape 3 : flasher et effectuer le premier démarrage
  • A - Remplacer l’ISO
  • B - Vérifier notre environnement
• 🎲 6. Étape 4 : créer notre wallet
  • A - Générer notre propre entropie
  • B - Combien de lancers ?
  • C - Générer et sauvegarder notre seed
  • D - Vérifier notre portefeuille
• 📱 7. Étape 5 : configurer le portefeuille watch-only
• 🔄 8. Utilisation quotidienne : comment démarrer son wallet ?
  • A - Sur une machine dédiée
  • B - Sur un ordinateur familial ou une machine de secours
• 🔒 9. Quelques précautions de sécurité
• ⚖️ 10. Les avantages et les inconvénients
  • 👍 Les avantages
  • 👎 Les inconvénients
  • 🧩 Et le multisig ?
• 🧡 11. Pour conclure

À l’heure où les hardware wallets du commerce font régulièrement parler d’eux pour des problèmes de sécurité, des vulnérabilités ou des fuites de données clients, on peut légitimement se demander : quelle confiance peut-on réellement accorder à ces appareils ?

Sur le papier, le concept est séduisant. On débourse un petit (mais pas si petit) billet, on reçoit un appareil hors ligne qui génère une seed pour nous ou enregistre la nôtre, et nous voilà équipés pour signer des transactions de façon sécurisée.

Seulement voilà, les événements récents nous rappellent que l’achat d’un tel appareil n’est pas forcément une garantie de sécurité.

Que ce soit un problème d’entropie dans la génération des seeds, des appareils modifiés par des revendeurs mal intentionnés ou encore des fuites de données concernant les clients, l’achat d’un tel appareil implique nécessairement de faire confiance à un tiers.

Et malgré ma découverte relativement récente de l’univers Bitcoin et crypto en général, j’ai tout de suite adhéré à ces fameux adages qui en font l’essence :

« Not your keys, not your coins ! »

Et surtout :

« Don’t Trust, Verify ! »

J’aimerais d’ailleurs proposer une petite variante à ce dernier proverbe :

« Don’t Trust, Do It Yourself ! »

À la base, lorsque j’ai décidé de fabriquer mon propre hardware wallet maison, je n’étais pas particulièrement motivé par les actualités concernant les fonds dérobés ou les adresses personnelles qui fuitent.

Ma motivation était beaucoup plus terre à terre : elle était purement financière.

Je n’avais pas 50 € ou plus à mettre dans un appareil pour protéger 20 € de Bitcoin, mais je voulais quand même les protéger.

Ma condition de départ était donc simple : pouvoir générer une seed et signer des transactions en air-gap, sur un appareil qui ne toucherait jamais au réseau, sans avoir à acheter de matériel supplémentaire ou coûteux.

Et la solution que j’ai trouvée était plutôt simple sur le papier :

Une simple clé USB permettant de démarrer n’importe quel ordinateur sur une ISO Linux personnalisée, contenant tous les outils nécessaires.

À côté, un appareil connecté au réseau se charge du portefeuille watch-only.

Les deux communiquent exclusivement par QR codes, grâce à leurs caméras.

C’est donc cette expérience que je vais vous raconter aujourd’hui : comment j’ai fabriqué mon Hardware Wallet du Pauvre !

Avant d’aller plus loin, mettons les choses au clair sur ce que ce montage est, et surtout sur ce qu’il n’est pas.

Ce n’est pas un hardware wallet au sens strict. Il n’y a pas d’élément sécurisé : c’est un environnement de signature hors ligne, lancé depuis une clé USB sur un ordinateur ordinaire. Il réduit certains risques, mais il n’offre pas les garanties d’un appareil conçu et audité pour cet usage.

De même, « Don’t Trust, Verify » a ses limites ici : je fais confiance à Linux Mint, à Cubic, à Ventoy, à Sparrow, à l’outil BIP39 d’Ian Coleman et au matériel de l’ordinateur sur lequel je démarre. Je vérifie ce que je peux vérifier (signatures, isolation réseau), mais pas tout.

Ce n’est pas non plus la seule voie économique. Des projets DIY comme SeedSigner ou Krux existent, même s’ils demandent un peu de matériel dédié. Tails est une autre option, conçue pour fonctionner sans conserver les données d’une session à l’autre. Il propose toutefois un stockage persistant facultatif, notamment pour retrouver des logiciels supplémentaires à chaque démarrage. Je ne l’ai pas retenu : je voulais intégrer directement mes outils dans une ISO personnalisée, sans avoir besoin d’un stockage persistant sur la clé. Avec Linux Mint et Cubic, je pouvais construire cet environnement exactement comme je le souhaitais.

Petite précision avant de commencer : je n’avais jamais utilisé Linux avant cette expérience. J’avais certes quelques connaissances en informatique et en développement, mais rien qui me préparait réellement à ce que j’avais décidé d’entreprendre.

Chaque outil était une découverte.

Ce projet reste donc accessible à une personne motivée, curieuse et prête à apprendre, mais il suppose déjà une certaine aisance avec l’informatique. Ce n’est pas un tutoriel d’initiation à Linux ou au Bitcoin.

Cet article est un retour d’expérience, pas un pas-à-pas à suivre aveuglément. Pour chaque outil, référez-vous à sa documentation (les liens sont dans la section 2), et comprenez ce que vous faites avant de toucher à des fonds.

Alors, c’est parti !

§🧰 1. Le matériel nécessaire

Pour commencer, il vous faudra :

• Un ordinateur pour construire l’ISO Linux : un PC déjà sous Linux, un PC sous Windows avec une machine virtuelle Linux, ou un PC que vous acceptez de passer sous Linux.
• Un ordinateur avec une webcam fonctionnelle, qui servira de machine hôte pour notre wallet (la webcam permet de scanner les QR codes). Ce peut être le même ordinateur que celui utilisé pour construire l’ISO.
• Une clé USB rapide. Pas besoin de beaucoup de stockage : 8 Go suffisent largement. L’important est surtout la vitesse pour garantir un démarrage rapide.
• Un dé, qui servira lors de la création de l’entropie.
• Un appareil connecté au réseau pour héberger le portefeuille watch-only.

L’ordinateur peut être une vieille machine dédiée à cet usage, mais ce n’est absolument pas une obligation !

C’est justement l’un des avantages de cette solution : votre clé USB peut également servir à démarrer occasionnellement sur votre ordinateur familial ou sur une autre machine compatible, à condition de vérifier soigneusement son isolation réseau avant chaque utilisation.

⚠️ Attention à Secure Boot et BitLocker !

Si vous décidez de démarrer votre wallet sur une machine Windows, ces deux mécanismes peuvent compliquer les choses.

Secure Boot peut notamment empêcher le démarrage de certains supports personnalisés. Et une modification de la configuration Secure Boot peut déclencher une demande de récupération BitLocker.

Pensez donc à sauvegarder votre clé de récupération BitLocker avant de modifier quoi que ce soit. Vous éviterez de mauvaises surprises !

§💻 2. Les logiciels

Voici les logiciels que j’ai personnellement utilisés. Rien ne vous empêche d’en choisir d’autres, à condition de respecter les exigences de sécurité de votre installation.

• Linux Mint : une distribution Linux officielle. Documentation : https://linuxmint-installation-guide.readthedocs.io/en/latest/
• Cubic : pour fabriquer notre ISO Linux personnalisée. Documentation : https://github.com/PJ-Singh-001/Cubic
• Sparrow Wallet : pour gérer notre portefeuille Bitcoin et signer les transactions. Documentation : https://sparrowwallet.com/docs/
• Ian Coleman BIP39 : pour créer notre entropie manuellement, notamment à partir de jets de dés. Documentation : https://github.com/iancoleman/bip39
• Ventoy : pour préparer notre clé USB et démarrer sur notre ISO. Documentation : https://www.ventoy.net/en/doc_start.html

Pour Bitcoin, j’utilise Sparrow Wallet. Mais rien ne vous empêche d’intégrer d’autres logiciels de portefeuille et de signature pour gérer d’autres cryptomonnaies, à condition qu’ils permettent un fonctionnement réellement hors ligne et une communication air-gap adaptée.

⚠️ RAPPEL DE SÉCURITÉ : ON VÉRIFIE LES SIGNATURES ET L’AUTHENTICITÉ DE CHAQUE LOGICIEL !

Vérifiez systématiquement les signatures ou les sommes de contrôle cryptographiques des logiciels et images téléchargés (Linux Mint, Ventoy, Cubic, Sparrow Wallet, Ian Coleman BIP39), selon les mécanismes de vérification proposés par leurs développeurs.

Cela permet notamment de vérifier que les fichiers récupérés correspondent bien aux versions officielles et n’ont pas été altérés.

Pour savoir comment faire, voici un tutoriel parmi d’autres : https://www.stephane-robert.info/docs/admin-serveurs/linux/exploiter/integrite-fichier/

Je n’ai aucun lien avec son auteur ni avec le site : j’ai simplement cherché un bon tutoriel sur le net, et celui-ci m’a semblé assez complet.

§🔧 3. Étape 1 : préparer la machine et la clé USB

§A - Préparer la clé USB

Même si votre clé USB est neuve, commencez par la formater et installer Ventoy dessus.

Une fois Ventoy installé, il suffit de glisser les fichiers ISO directement sur la clé.

L’avantage est évident : inutile de reformater et de flasher la clé à chaque modification ou nouveau test de votre ISO.

§B - Télécharger Linux Mint

Téléchargez votre ISO Linux Mint depuis les canaux officiels et vérifiez son authenticité avant de continuer.

§C - Installer Linux sur la machine de préparation

Si vous possédez déjà un ordinateur Linux propre, vous pouvez passer directement à l’étape suivante.

Sinon, copiez l’ISO Linux Mint sur votre clé Ventoy, démarrez l’ordinateur de préparation depuis cette clé et procédez à l’installation de Linux.

À partir de là, nous disposons d’une machine Linux prête à construire notre wallet USB.

Si vous construisez votre ISO depuis Windows, passez par une machine virtuelle Linux.

§D - Installer les outils nécessaires

Installez Cubic.

Téléchargez également le binaire de Sparrow Wallet et la version hors ligne d’Ian Coleman BIP39.

§🛠️ 4. Étape 2 : créer notre ISO personnalisée

Maintenant que tout le matériel est prêt, nous allons placer notre ISO Linux officielle dans Cubic pour commencer à la transformer.

§A - Désactiver les interfaces réseau et le montage automatique des disques

La première chose à faire est de désactiver les pilotes Wi-Fi, Ethernet et Bluetooth afin que notre environnement soit conçu pour fonctionner hors ligne.

Nous allons également désactiver le montage automatique des disques pour éviter que Linux ne lise ou n’écrive accidentellement sur les disques internes.

L’objectif est simple : notre environnement de signature ne doit avoir aucun besoin d’accéder au réseau ni aux disques de la machine hôte.

Je ne détaille pas ici les commandes exactes : elles varient selon les versions, et l’important est de comprendre ce que l’on désactive et pourquoi. Les documentations de Cubic et de Linux Mint vous guideront.

Pour renforcer encore l’isolation, il est préférable de désactiver aussi les interfaces réseau dans le BIOS/UEFI de la machine hôte, ou de retirer physiquement ses modules Wi-Fi et Bluetooth lorsque c’est possible. Cela ne peut pas se faire dans l’ISO : c’est une opération sur la machine elle-même. Et bien sûr, on s’assure qu’aucun câble Ethernet n’est branché : retirer les modules Wi-Fi et Bluetooth ne sert à rien si la machine reste connectée par câble.

§B - Ajouter nos logiciels

Nous pouvons maintenant placer les binaires de Sparrow Wallet et d’Ian Coleman dans notre ISO.

Créons également des raccourcis sur le bureau pour pouvoir accéder facilement à nos outils.

Si vous souhaitez ajouter d’autres logiciels de portefeuille hors ligne, c’est le moment !

Gardez cependant à l’esprit que chaque logiciel supplémentaire augmente la surface de confiance de votre installation.

§C - Générer l’ISO

Une fois notre environnement configuré, nous validons les modifications dans Cubic.

Il ne reste plus qu’à le laisser travailler jusqu’à ce qu’il ait terminé de construire notre nouvelle ISO.

Et voilà, notre système personnalisé est prêt !

§🚀 5. Étape 3 : flasher et effectuer le premier démarrage

§A - Remplacer l’ISO

Nous allons maintenant copier notre toute nouvelle ISO personnalisée sur la clé Ventoy, à la place de l’ISO Linux officielle.

Le moment du premier test est arrivé !

§B - Vérifier notre environnement

Démarrons notre ordinateur depuis la clé USB.

Attention : nous ne devons surtout pas installer Linux sur la machine !

Nous voulons simplement démarrer notre environnement temporaire depuis la clé USB. Dans le menu de démarrage, choisissez donc l’option qui lance la session live (« Start Linux Mint » sur une ISO Mint standard, les intitulés pouvant varier sur une ISO personnalisée), et ne lancez jamais l’icône « Install Linux Mint » si elle apparaît sur le bureau.

Une fois Linux démarré, la première chose à faire est de vérifier que les disques internes ne sont pas montés.

Vérifiez également qu’aucun espace de swap n’est actif sur un support persistant. Une session live peut activer automatiquement une partition de swap présente sur un disque interne, même sans monter ce disque : le contenu de la mémoire, donc potentiellement votre seed, pourrait alors y être écrit. Si un swap est actif, désactivez-le avant d’ouvrir Sparrow ou l’outil d’Ian Coleman.

Ensuite, vérifions la connectivité réseau.

Normalement, notre environnement doit rester hors ligne grâce à la configuration réalisée précédemment.

Si nécessaire, vérifiez également que les interfaces sans fil sont bien désactivées.

Une fois ces vérifications effectuées, nous pouvons passer aux choses sérieuses !

§🎲 6. Étape 4 : créer notre wallet

Plutôt que de faire aveuglément confiance à Sparrow ou à Ian Coleman pour générer l’entropie, nous allons appliquer mon petit adage personnel.

Vous savez, le fameux :

« Don’t Trust, Do It Yourself! »

§A - Générer notre propre entropie

Ouvrons Ian Coleman BIP39.

Nous allons cocher la case « Show entropy details », qui permet notamment de fournir nous-mêmes l’entropie utilisée pour générer notre phrase mnémonique.

Et pour cela, plusieurs possibilités :

• Une pièce de monnaie.
• Un dé à 6 faces.
• Un dé à 10 faces, si vous êtes un fada de jeux de rôle. C’est l’occasion de sortir votre plus beau dé ! 😜

Selon le matériel utilisé, sélectionnez le mode correspondant :

• Pièce : Binary.
• Dé à 6 faces : Dice.
• Dé à 10 faces : Base 10.

Avant de commencer, échauffez-vous les mains, car il va falloir lancer beaucoup de fois !

Ou faites participer toute la famille. Ça fera varier les façons de lancer et évitera de vous retrouver seul à compter vos résultats pendant des heures.

Même les animaux peuvent participer s’ils savent faire tomber un objet posé sur leur tête.

Bref, tous les moyens sont bons pour garantir que chaque lancer soit aléatoire !

Attention tout de même : on évite le dé pipé du set de magicien du gamin, sinon l’entropie risque de se retrouver magiquement foireuse ! 🤣🤣🤣

§B - Combien de lancers ?

Vous allez lancer jusqu’à ce que la ligne « Raw Entropy Words » atteigne 24.

Voici une idée approximative du nombre de lancers, d’après mes propres tests dans l’outil d’Ian Coleman. Ce n’est pas un chiffre absolu : c’est le nombre de lancers dont j’ai eu besoin, pour chaque méthode, pour atteindre 24 Raw Entropy Words :

• 100 lancers pour le dé à 10 faces.
• 150 lancers pour le dé à 6 faces.
• 256 lancers pour la pièce.

(Je vous avais dit de vous échauffer avant !)

L’objectif est de disposer de suffisamment de résultats aléatoires pour générer les 256 bits d’entropie nécessaires à une seed BIP39 de 24 mots.

Les Raw Entropy Words correspondent à la représentation intermédiaire de l’entropie. La phrase mnémonique BIP39 finale intègre également son mécanisme de checksum.

§C - Générer et sauvegarder notre seed

Une fois notre entropie générée, nous obtenons notre phrase mnémonique BIP39 de 24 mots.

Si vous le souhaitez, vous pouvez également ajouter une passphrase BIP39.

Attention toutefois : celle-ci permet de dériver un portefeuille différent à partir de la même phrase mnémonique. Une passphrase oubliée ou mal orthographiée peut rendre le portefeuille attendu inaccessible.

Prenez donc soin de sauvegarder correctement vos 24 mots et votre éventuelle passphrase.

Privilégiez une sauvegarde physique durable, idéalement sur métal, et conservez les informations nécessaires à la restauration de votre portefeuille.

§D - Vérifier notre portefeuille

Maintenant, ouvrons Sparrow Wallet.

Nous allons vérifier que notre seed fonctionne correctement et que nous sommes capables de retrouver le portefeuille attendu.

Attention à bien sélectionner le bon type de portefeuille et le bon chemin de dérivation.

Une même seed peut générer des adresses différentes selon le format choisi (BIP44, BIP49, BIP84, BIP86, etc.).

Pensez donc à conserver ces paramètres avec votre sauvegarde.

Avant d’y déposer des fonds importants, je recommande également de réaliser un test complet de restauration et de signature.

§📱 7. Étape 5 : configurer le portefeuille watch-only

Maintenant que notre portefeuille est opérationnel, nous pouvons utiliser sa clé publique étendue pour connecter un appareil en ligne en mode watch-only.

Cet appareil nous permettra de :

• Consulter le solde du portefeuille.
• Générer des adresses de réception.
• Construire des transactions non signées.
• Transmettre les transactions à notre wallet USB pour signature.
• Récupérer les transactions signées afin de les diffuser sur le réseau Bitcoin.

Tout cela sans jamais exposer notre clé privée à l’appareil connecté !

Pour cette utilisation, je me sers personnellement de BlueWallet (https://bluewallet.io/docs), mais vous pouvez parfaitement choisir une autre solution compatible.

Au scan du QR code, BlueWallet reconnaît directement le format du portefeuille : il n’y a rien à sélectionner. Vérifiez simplement que la première adresse de réception affichée est la même dans Sparrow et dans votre application watch-only.

La communication entre les deux appareils se fait par QR codes, sans connexion réseau entre eux.

§🔄 8. Utilisation quotidienne : comment démarrer son wallet ?

Maintenant que notre clé USB est prête, comment l’utiliser concrètement ?

La procédure dépend essentiellement du type de machine sur laquelle vous démarrez.

§A - Sur une machine dédiée

Si vous avez réservé un ordinateur exclusivement à cet usage et que vous avez déjà désactivé les interfaces réseau dans le BIOS/UEFI et/ou débranché physiquement les modules Wi-Fi et Bluetooth de la machine, la procédure est relativement simple.

Dans ce cas :

1. Brancher la clé USB.
2. Démarrer l’ordinateur sur Ventoy.
3. Sélectionner notre ISO personnalisée.
4. Attendre le démarrage de Linux.
5. Vérifier que les disques internes ne sont pas montés et qu’aucun swap n’est actif sur un support persistant.
6. Ouvrir Sparrow et utiliser notre portefeuille.

L’isolation réseau ayant été configurée de façon permanente, les vérifications sont beaucoup plus légères à chaque démarrage.

§B - Sur un ordinateur familial ou une machine de secours

C’est aussi l’un des gros avantages de cette solution : rien ne vous oblige à posséder un ordinateur dédié !

En cas d’urgence, ou simplement lorsque vous n’avez pas accès à votre machine habituelle, vous pouvez démarrer votre wallet sur un autre ordinateur compatible.

En revanche, puisque vous ne maîtrisez pas nécessairement sa configuration matérielle ou logicielle, il faudra être beaucoup plus vigilant.

Avant chaque utilisation, il est impératif de vérifier :

• Que le Wi-Fi est désactivé.
• Que le Bluetooth est désactivé.
• Qu’aucun câble Ethernet n’est branché.
• Qu’aucune connexion réseau n’est active.
• Que les disques internes ne sont pas montés.
• Qu’aucun espace de swap n’est actif.

Ce n’est qu’une fois ces vérifications effectuées que vous pourrez ouvrir Sparrow et manipuler votre seed.

Ne faites aucune exception à cette règle, même si vous pensez que votre ISO est déjà configurée pour fonctionner hors ligne.

L’objectif est de pouvoir utiliser notre wallet sur une machine que l’on ne maîtrise pas entièrement, sans prendre le risque d’exposer notre seed à un réseau.

La règle est simple : pas de vérification, pas de wallet !

§🔒 9. Quelques précautions de sécurité

Une fois notre watch-only correctement configuré et testé, nous pouvons simplement éteindre le wallet, débrancher la clé USB et la ranger dans un coin.

La clé ne contient normalement aucune information secrète : elle sert uniquement à démarrer notre environnement Linux personnalisé.

Il faut simplement veiller à ne pas la formater accidentellement pour l’utiliser à autre chose.

Dans le doute, conservez une copie de votre ISO personnalisée. Cela vous évitera de devoir tout reconstruire si votre clé est perdue, volée ou finit malencontreusement dans le tambour de la machine à laver.

(Oui, c’est du vécu, ce n’est pas pour rien que je vous le dis ! 😅)

⚠️ LE POINT DE VIGILANCE LE PLUS IMPORTANT !

Ne laissez jamais votre appareil démarré avec votre portefeuille ouvert si vous n’êtes pas présent.

C’est le seul moment où votre seed et les clés privées dérivées sont accessibles en mémoire sur cette machine.

Si quelqu’un utilise ou vole votre ordinateur pendant cette session, il pourrait potentiellement accéder à vos fonds.

Pensez également à éteindre complètement la machine après utilisation.

Une session Live n’est pas une garantie absolue : pendant l’utilisation, des données sensibles peuvent transiter par la mémoire vive, voire être écrites temporairement (swap, fichiers temporaires ou autres mécanismes). En éteignant complètement la machine, sans monter les disques, sans espace de swap actif et sans brancher de support à partition persistante, il n’y a normalement aucune raison de les retrouver ensuite.

Enfin, gardez à l’esprit que cette solution ne protège pas contre tous les risques : firmware compromis, matériel malveillant, périphériques piégés ou compromission de la machine peuvent toujours remettre en cause la sécurité de l’ensemble.

Un environnement air-gap réduit certaines surfaces d’attaque, mais ne transforme pas automatiquement un ordinateur ordinaire en appareil inviolable.

§⚖️ 10. Les avantages et les inconvénients

Évidemment, chaque méthode possède ses avantages et ses inconvénients.

§👍 Les avantages

• Potentiellement gratuit, si vous possédez déjà une clé USB et un ordinateur adapté.
• Vous ne figurez dans aucun fichier client d’un fabricant de hardware wallet.
• Vous pouvez intégrer les logiciels de portefeuille hors ligne et air-gap de votre choix, y compris pour d’autres cryptomonnaies.
• Normalement, votre seed n’est enregistrée ni sur la clé USB, ni sur le disque interne : elle est utilisée pendant la session uniquement.
• Vous pouvez utiliser votre wallet sur différentes machines compatibles, sans devoir posséder un ordinateur dédié.
• Même si vos appareils sont volés après extinction du wallet, tant que votre sauvegarde physique de la seed et votre éventuelle passphrase restent protégées, vos fonds ne sont pas directement compromis.

§👎 Les inconvénients

• La création de l’ISO Linux personnalisée prend du temps.
• Il faut entrer sa seed sur l’appareil à chaque nouvelle session.
• La procédure de signature est moins rapide et moins pratique qu’avec un hardware wallet classique.
• La sécurité dépend aussi de la machine utilisée, de son firmware, des logiciels intégrés et de la rigueur de configuration.
• Sur une machine non dédiée, il faut impérativement vérifier l’isolation réseau et disques à chaque démarrage.
• Il faut être suffisamment à l’aise avec l’informatique pour maintenir et vérifier son environnement.

§🧩 Et le multisig ?

Ce tutoriel décrit un portefeuille à signature unique : une seed, une clé. Je n’ai pas abordé le multisig, et ce montage n’en est pas un à lui seul.

Sur le papier, c’est pourtant faisable : Sparrow gère les portefeuilles multisig (par exemple 2 sur 3). Pas besoin de plusieurs clés USB, puisque la seed n’y est pas enregistrée : la même clé peut servir pour chaque signataire. On utilise alors une seed différente par session, et chaque session ajoute sa signature à la transaction avant sa diffusion.

Attention toutefois : si toutes les seeds passent par le même ordinateur et les mêmes logiciels, une compromission de cette machine ou de ces logiciels les expose toutes. Le multisig est surtout utile quand les signataires sont indépendants : appareils, logiciels et lieux de stockage différents. Il faudra aussi sauvegarder les informations du portefeuille multisig (notamment les clés publiques de tous les signataires) en plus des seeds, et vérifier que l’application watch-only choisie gère le multisig.

Je ne détaille pas cette mise en place ici : c’est un sujet à part entière.

§🧡 11. Pour conclure

Voilà donc comment j’ai fabriqué mon propre hardware wallet du pauvre !

Est-ce que cette solution est parfaite ? Certainement pas.

Est-ce qu’elle offre exactement les mêmes garanties qu’un hardware wallet conçu et audité spécifiquement pour cet usage ? Non plus.

Mais elle répond à mon cahier des charges initial : pouvoir générer et conserver mes clés hors ligne, signer mes transactions sans exposer ma seed à un appareil connecté et tout cela sans dépenser une fortune.

Et surtout, cette expérience m’a permis d’apprendre énormément de choses sur Linux, Bitcoin, les seeds, les signatures et la sécurité informatique.

Finalement, c’est peut-être ça aussi l’esprit DIY : comprendre ce que l’on utilise plutôt que de simplement faire confiance à un appareil parce qu’il est vendu comme sécurisé.

Don’t Trust, Verify !

Don’t Trust, Do It Yourself ! 🤘

Si vous repérez une erreur ou une imprécision dans ce tutoriel, n’hésitez pas à me le signaler dans les commentaires, je corrigerai ! Et si cet article vous a intéressé ou vous a été utile, un petit commentaire, un zap ou même un simple like fait toujours très plaisir. 🧡