Sécuriser une installation de minage : le rig, le pool et l'adresse de paiement

Les listes de conseils de cybersécurité écrites pour les détenteurs de cryptomonnaies racontent toutes la même histoire : portefeuille matériel, double authentification, phrase de récupération sur papier dans un tiroir. Ces conseils sont justes. Ils protègent un stock. Celui qui mine n'a pas qu'un stock à défendre. Il a une machine allumée jour et nuit, une interface d'administration joignable sur son réseau, un fichier de lancement en texte clair qui désigne qui touche l'argent, et un revenu qui tombe tout seul sans que personne le déclenche.

La différence se voit au moment du vol. Un portefeuille vidé se remarque en trente secondes. Une adresse de paiement remplacée dans un fichier de lancement ne se remarque pas du tout : la carte tourne à son débit habituel, le mineur affiche des parts acceptées, les températures sont bonnes, et le versement arrive chez quelqu'un d'autre. On s'en aperçoit trois semaines plus tard, en attendant un paiement qui ne vient pas.

Le reste de cette page traite ce que les guides destinés aux détenteurs ne traitent jamais, parce qu'ils s'adressent à des gens qui achètent leurs jetons au lieu de les produire.

• Ce qu'un mineur expose de plus qu'un simple détenteur

• L'adresse de paiement, la ligne de texte que personne ne relit

• Le compte du pool : le verrou d'adresse avant le mot de passe

• Pourquoi une clé privée n'a rien à faire sur une machine qui mine

• L'accès distant, la porte réellement ouverte

• Le logiciel de minage et l'exclusion antivirus qui coûte cher

• Un ASIC d'occasion arrive avec le firmware d'un autre

• Le hameçonnage vise votre boîte aux lettres, pas votre machine

• La routine, en dix minutes par mois

Ce qu'un mineur expose de plus qu'un simple détenteur

La surface à défendre n'a pas la même forme selon qu'on achète ou qu'on produit.

Ce qui est exposé	Détenteur	Mineur
Portefeuille de conservation	Oui	Oui
Compte sur une plateforme d'échange	Souvent	Souvent
Machine allumée en permanence, sans écran	Non	Oui
Interface d'administration sur le réseau local	Non	Oui
Adresse de versement écrite en clair dans un fichier	Non	Oui
Solde en attente chez un tiers, le pool	Non	Oui
Exclusion antivirus posée à la main	Non	Presque toujours

Les cinq dernières lignes sont le sujet de cette page. Elles ont un point commun qui explique pourquoi on les néglige : aucune ne protège des jetons déjà gagnés. Elles protègent un flux. Et un flux détourné ne fait pas de bruit, là où un solde vidé en fait beaucoup.

Deuxième particularité : le mineur travaille contre lui-même. Il a désactivé une protection pour que son logiciel démarre, ouvert un port pour surveiller sa machine depuis le travail, laissé un mot de passe d'usine sur un appareil qui n'a pas d'écran. Chacune de ces décisions se prend pour une bonne raison, et chacune ouvre exactement la porte qu'un attaquant cherche.

L'adresse de paiement, la ligne de texte que personne ne relit

Sur un rig Windows, le mineur se lance par un fichier de commandes de trois lignes, dont celle-ci : -o stratum+tcp://pool:port -u ADRESSE.worker1. Sur Hive OS, la même information vit dans une feuille de vol. Sur un ASIC, elle est saisie dans la page de configuration du pool. Dans les trois cas, cette adresse n'est protégée par rien. Aucun mot de passe, aucune signature, aucune confirmation. Celui qui peut écrire dans ce fichier décide qui est payé.

Le remplacement d'adresse est même devenu un métier. Les logiciels dits presse-papiers surveillent ce que vous copiez, reconnaissent la forme d'une adresse de cryptomonnaie et la remplacent par une autre avant que vous la colliez, à une cadence d'inspection de l'ordre de deux fois par seconde. Microsoft a détaillé une campagne active depuis février 2026 qui combine ce mécanisme avec une propagation par clés USB, via des raccourcis Windows, des captures d'écran périodiques et une recherche de phrases de récupération sur le disque.

Le conseil qu'on lit partout, vérifier les quatre premiers et les quatre derniers caractères de l'adresse, est le pire de tous. Il est connu des attaquants, qui fabriquent des adresses personnalisées commençant et finissant comme la vôtre : la vérification passe, l'argent part. Une adresse se compare en entier, ou pas du tout.

Trois habitudes valent mieux que cette vérification à moitié.

• Ne jamais recopier l'adresse depuis la machine qui mine. Elle se lit sur le tableau de bord du pool, depuis un autre appareil, et c'est cette valeur qui fait foi.

• Nommer chaque worker et regarder la liste des workers du compte, pas le compteur du logiciel. Un rig détourné disparaît de votre liste tout en continuant d'afficher un hashrate parfait chez vous.

• Comparer le revenu du mois au calcul théorique. La méthode et les postes du calcul sont dans la page sur le calcul de rentabilité du minage. Un écart de quelques pour cent vient de la variance ou d'un frais de développeur. Un écart de cent pour cent vient d'ailleurs.

Le compte du pool : le verrou d'adresse avant le mot de passe

Il existe deux façons de miner en pool, et le choix engage la sécurité pour toute la durée de vie de l'installation.

La première consiste à miner directement vers une adresse, sans compte ni inscription. C'est commode, c'est anonyme, et ça n'offre aucune prise : il n'y a pas de compte à protéger, donc pas d'adresse à verrouiller non plus. Une modification du fichier de lancement suffit à rediriger tout le revenu, et le pool n'a aucun moyen de savoir que le changement ne vient pas de vous.

La seconde passe par un compte nominatif, comme chez F2Pool, Antpool ou ViaBTC. Le compte se protège, et surtout l'adresse de versement se verrouille. C'est la seule raison sérieuse de préférer ce modèle.

Chez F2Pool, ajouter ou modifier une adresse de versement réclame une clé d'accès ou un code d'authentification, puis un lien d'activation reçu par courriel, et les paiements sont suspendus pendant trois jours après toute modification. Chez Antpool, la modification se confirme par courriel et l'adresse peut être verrouillée : la déverrouiller demande une requête écrite au support.

Le délai de trois jours vaut plus que tout le reste, et c'est un point de vue qu'on lit rarement. La double authentification arrête un attaquant qui n'a que votre mot de passe ; elle ne fait rien contre celui qui a pris votre session ou votre boîte mail. Le délai, lui, ne protège de rien mais donne trois jours pour s'apercevoir de quelque chose, ce qui est précisément le temps qui manque à un mineur qui ne regarde son tableau de bord qu'au versement. Activez le verrou d'abord, changez le mot de passe ensuite.

Deux réglages complètent le tableau. Le code d'authentification se prend dans une application, jamais par SMS : le détournement de carte SIM est la méthode d'entrée la plus utilisée sur les comptes protégés par un numéro de téléphone. Et les clés d'interface de programmation créées pour un outil de supervision se limitent à la lecture, sans droit de paiement ni de modification.

Reste le solde qui dort chez le pool en attendant d'atteindre le seuil de versement. Ce solde n'est pas à vous au sens technique : il est chez quelqu'un d'autre. En décembre 2017, NiceHash a perdu 4 736 bitcoins pris dans son propre portefeuille, soit environ 65 millions de dollars au cours du moment, après la compromission d'un poste de l'entreprise. Un seuil de versement bas coûte quelques frais de transaction supplémentaires et supprime ce risque. Le choix entre pool, hébergeur et contrat est détaillé dans la page sur le choix d'une plateforme de minage.

Pourquoi une clé privée n'a rien à faire sur une machine qui mine

Un logiciel de minage n'a besoin que d'une adresse de réception. Jamais d'une clé privée, jamais d'une phrase de récupération, jamais d'un fichier de portefeuille. Cette règle paraît évidente écrite comme ça, et elle est enfreinte tous les jours par des gens qui installent leur portefeuille de bureau sur le rig « pour voir arriver les paiements ».

Regardez ce qu'est un rig, du point de vue d'un attaquant. Une machine qui tourne sans surveillance, qui télécharge des binaires depuis des dépôts publics, qui les exécute avec une exclusion antivirus, qui expose une interface d'administration, et sur laquelle personne ne se connecte pendant des semaines. Le pire endroit imaginable pour une clé, et le meilleur pour y chercher un fichier de portefeuille.

Les gains se conservent ailleurs : sur un portefeuille matériel, ou sur une machine qui ne mine pas et ne sert pas à naviguer. L'ampleur du problème de conservation se lit dans les chiffres de 2025, où 3,4 milliards de dollars ont été volés en cryptomonnaies, avec trois affaires qui pèsent à elles seules 69 % du total. La plus grosse, le vol de 1,5 milliard chez Bybit en février 2025, n'est pas partie d'une faille du portefeuille lui-même mais d'un poste de développeur compromis chez un prestataire.

L'accès distant, la porte réellement ouverte

Un rig n'a ni écran ni clavier. Il faut donc l'atteindre à distance, et c'est là que la plupart des installations domestiques se perdent. Le réflexe est d'ouvrir un port sur la box pour joindre l'interface web depuis l'extérieur. À partir de cet instant, la machine est visible de la terre entière : les moteurs de recherche d'objets connectés indexent les interfaces d'ASIC par le titre de leur page d'authentification, et il suffit d'une requête pour en obtenir des listes.

Ce qui arrive ensuite est mécanique. Un Antminer sort d'usine avec le couple root / root sur son interface web, et beaucoup d'exemplaires en service ne l'ont jamais changé. Une fois entré, l'attaquant n'a rien à casser : il ouvre la page de configuration du pool, remplace l'adresse, referme. Le matériel continue de fonctionner pour son propriétaire, en apparence.

La propagation locale suit. En janvier 2019, le rançongiciel hAnt s'est répandu dans des fermes chinoises équipées d'Antminer S9, T9 et L3, en passant d'une machine à l'autre sur le réseau interne, avec une menace de couper les ventilateurs et la protection thermique à défaut de paiement. Une seule machine compromise sur un segment les emporte toutes.

La configuration correcte tient en quatre points.

• Aucun port ouvert sur la box vers un rig. La supervision à distance passe par un tunnel privé, WireGuard par exemple, qui donne accès au réseau de la maison et à rien d'autre.

• L'ouverture automatique de ports, l'UPnP, se désactive sur la box. Elle ouvre des accès sans rien demander à personne.

• Les machines de minage vivent sur un réseau séparé, un VLAN ou un second réseau sans fil, qui ne voit ni l'ordinateur familial ni le portefeuille.

• Le mot de passe d'usine se change à la première mise sous tension, avant le raccordement au réseau. Sur un ASIC, il y a souvent deux comptes distincts, celui de l'interface web et celui de la connexion en ligne de commande.

Ces règles valent d'autant plus quand les machines s'accumulent. Le seuil à partir duquel une installation domestique devient une petite ferme, et ce que ça change, est traité dans la page sur la ferme de minage maison.

Le logiciel de minage et l'exclusion antivirus qui coûte cher

Microsoft Defender classe les logiciels de minage parmi les applications potentiellement indésirables et les met en quarantaine. Ce n'est pas une erreur de détection : le minage caché sur la machine d'autrui utilise exactement les mêmes binaires, et l'antivirus ne peut pas deviner qui les a lancés. Le sujet est traité en détail dans la page sur le cryptojacking et la façon de le couper.

Conséquence pratique : tous les tutoriels de minage passent par la même étape, ajouter une exclusion. Et beaucoup vont trop loin. Couper la protection contre les applications indésirables sur toute la machine, exclure le disque entier, désactiver la protection en temps réel : à ce stade, le rig est une maison sans porte, et il reste dans cet état pendant des années.

L'exclusion se pose sur le dossier exact du mineur, rien de plus. La protection en temps réel reste active partout ailleurs. Un dossier exclu ne devient pas dangereux en soi ; c'est le disque entier exclu qui garantit qu'aucune alerte ne sonnera jamais.

Reste la question de la provenance du binaire, qui pèse plus lourd que l'exclusion elle-même. Un mineur se télécharge sur la page de publication officielle du projet, et sur elle seule. La signature de contrôle publiée à côté du fichier se vérifie avant l'exécution. Les campagnes qui exploitent la confiance dans les dépôts publics sont documentées : Kaspersky a décrit en 2025 sous le nom de GitVenom un ensemble de faux dépôts imitant des outils réels, dont la charge embarquait un détourneur de presse-papiers. La même année, des logiciels prétendument débridés diffusés depuis une plateforme d'hébergement de projets installaient un mineur et un remplaceur d'adresse d'un seul geste.

Un mineur récupéré sur un lien de forum, un canal Telegram ou une version « optimisée » arrive avec la substitution déjà faite. Notez que les logiciels légitimes prélèvent eux aussi une part du temps de calcul, un frais de développeur de l'ordre de 1 à 2 %, et qu'ils l'annoncent. Le catalogue des logiciels encore maintenus, avec leurs frais et leur origine, est dans la page sur les logiciels de minage par algorithme et par matériel.

Un ASIC d'occasion arrive avec le firmware d'un autre

Le marché du firmware tiers pour ASIC est légal et actif. Des éditeurs comme VNISH ou Awesome Miner proposent des versions qui affinent la tension et la fréquence, gagnent en efficacité, et prélèvent une commission annoncée de 1,8 à 2,8 % du hashrate. Le prélèvement est le prix du produit, il est écrit sur la boîte, et il se calcule.

Le problème n'est pas ce marché, c'est la machine d'occasion dont vous n'avez pas installé le firmware. Elle peut porter une commission non déclarée, une adresse de secours qui reprend la main quand la vôtre échoue, une clé d'accès distante laissée par le vendeur, ou une couche qui ment sur ce qu'elle affiche localement.

Le protocole de réception d'un ASIC d'occasion tient en quatre gestes : reflasher avec le firmware du fabricant récupéré sur son propre site, réinitialiser aux réglages d'usine, changer les deux mots de passe, puis seulement raccorder au réseau et saisir le pool. Ensuite, la mesure qui décide n'est pas celle de la machine mais celle du pool : c'est le hashrate remonté par le pool sur vingt-quatre heures qui dit ce que l'appareil produit réellement pour vous. Un écart durable entre les deux affichages se paie tous les jours. Les points de contrôle à l'achat sont repris dans la page sur le choix d'un ASIC de minage.

Le hameçonnage vise votre boîte aux lettres, pas votre machine

« Méfiez-vous du hameçonnage » ne sert à rien tant qu'on n'a pas dit d'où vient le courrier. Il vient d'une fuite, et la plus lourde du secteur porte sur des acheteurs de portefeuilles matériels. En juillet 2020, la base de commerce en ligne de Ledger a été compromise : environ un million d'adresses de courriel, et 272 000 fiches complètes avec nom, prénom, adresse postale et numéro de téléphone. Les données ont été mises en ligne publiquement en décembre 2020.

Depuis, les tentatives ne ressemblent plus à du hameçonnage. Elles vous nomment, citent votre ville, arrivent parfois sur papier. La bonne défense n'est pas la vigilance, qui s'use, mais une règle sans exception : un fabricant de portefeuille ne demande jamais la phrase de récupération, sous aucun prétexte, par aucun canal. Toute demande de ce type est une fraude, sans avoir besoin d'examiner le message.

Le second enseignement est moins connu et plus dérangeant. Un portefeuille matériel protège la clé, pas la transaction que vous approuvez. Le 14 décembre 2023, le paquet Ledger Connect Kit a été remplacé par une version piégée après le hameçonnage du compte d'un ancien salarié. Les versions malveillantes ont été servies par les interfaces de SushiSwap, Kyber, Revoke.cash et Zapper. Au moins 600 000 dollars sont partis, chez des gens qui avaient leur appareil en main et qui ont validé ce que l'écran du site leur montrait.

D'où la règle qui suit : on lit ce qu'affiche l'écran de l'appareil, jamais ce qu'affiche le site. Un montant ou une adresse qui diffèrent entre les deux tranchent la question.

Les offres qui promettent de miner à votre place relèvent d'une autre famille de fraude, avec ses propres signaux : elles sont démontées dans la page sur l'arnaque au minage crypto.

La routine, en dix minutes par mois

Une installation qui mine se contrôle par gestes courts et réguliers, pas par un grand audit annuel qu'on ne fait jamais.

À quelle fréquence	Le geste	Ce qu'il attrape
Chaque semaine	Lire la liste des workers sur le tableau de bord du pool	Un rig qui a changé de propriétaire
Chaque mois	Comparer le revenu versé au calcul théorique	Un détournement partiel, un frais non annoncé
Chaque mois	Vérifier l'adresse de versement depuis un autre appareil	Une substitution dans le fichier de lancement
Chaque trimestre	Mettre à jour le mineur depuis sa page officielle et revérifier la signature	Une version piégée installée entre-temps
Chaque trimestre	Relire les ports ouverts sur la box	Une redirection ajoutée par l'ouverture automatique
À chaque nouvelle machine	Reflasher, réinitialiser, changer les mots de passe avant le réseau	Un firmware hérité du vendeur

Le premier geste est celui qui rapporte le plus, et il prend trente secondes. Tout le reste de cette page décrit des portes ; celui-là dit si quelqu'un est déjà entré.

Questions fréquentes sur la sécurité d'une installation de minage

Comment savoir si mon rig mine pour quelqu'un d'autre ?

Pas en le regardant. Un rig détourné affiche un hashrate normal, des parts acceptées et des températures habituelles, parce que le calcul se fait vraiment, simplement pour un autre compte. La réponse est du côté du pool : si votre worker n'apparaît plus dans la liste de votre compte alors que la machine tourne, elle travaille ailleurs.

Faut-il un antivirus sur une machine qui mine ?

Oui, avec une exclusion posée sur le seul dossier du mineur. Couper la protection en entier est la réponse la plus répandue et la plus coûteuse : elle laisse la machine sans surveillance pendant toute sa vie utile, y compris quand un binaire remplacé s'y installe.

Vaut-il mieux miner vers une adresse ou depuis un compte de pool ?

Depuis un compte, pour une seule raison : l'adresse de versement peut y être verrouillée, et une modification déclenche une confirmation par courriel et une suspension des paiements de quelques jours. Le minage direct vers une adresse ne laisse aucune trace et aucun recours si le fichier de configuration est modifié.

Un portefeuille matériel suffit-il à protéger les gains ?

Il protège la clé privée, ce qui est déjà beaucoup. Il ne protège pas contre une transaction validée de bonne foi devant une interface piégée, comme l'a montré la compromission du kit de connexion de Ledger en décembre 2023. La lecture se fait sur l'écran de l'appareil, pas sur celui de l'ordinateur.

Peut-on brancher un ASIC d'occasion et miner directement ?

Sans reflasher, non. Le firmware installé par le vendeur peut porter une commission non déclarée ou un accès distant. On reflashe avec la version du fabricant, on réinitialise, on change les deux mots de passe, et on raccorde ensuite.

Le minage me rend-il plus exposé au vol que quelqu'un qui achète ses jetons ?

Différemment exposé. Le stock se défend de la même façon dans les deux cas. Le flux, lui, n'existe que chez le mineur, et il se détourne sans bruit : c'est la partie que les conseils écrits pour les détenteurs ne couvrent pas.