Une whitelist crypto est une liste d’adresses, de comptes ou de rôles autorisés à effectuer une action. Elle peut limiter les retraits à des portefeuilles de confiance, réserver l’accès à une fonction d’un smart contract ou sélectionner les participants d’une vente. Cette restriction peut améliorer la sécurité, mais le mot « whitelist » ne prouve ni la légitimité d’un projet ni la qualité d’un investissement.
Qu’est-ce qu’une whitelist crypto ?
Une whitelist, aussi appelée allowlist ou liste d’autorisation, contient les identifiants acceptés par un système. Les éléments peuvent être des adresses blockchain, des comptes vérifiés, des contrats ou des rôles. Le glossaire crypto de Bref Crypto aide à distinguer adresse, wallet, smart contract, KYC et token.
Le principe est simple : tout ce qui n’est pas explicitement autorisé est refusé. Le niveau de sécurité dépend toutefois de la manière dont la liste est créée, modifiée et protégée. Si un pirate prend le contrôle du compte administrateur ou de la clé qui gère la whitelist, il peut parfois ajouter sa propre adresse.
Les quatre principaux usages d’une whitelist
1. Sécuriser les adresses de retrait
Un exchange peut autoriser les retraits uniquement vers des adresses enregistrées à l’avance. L’ajout d’une nouvelle destination déclenche souvent une authentification forte et un délai d’attente. Si le mot de passe est volé, l’attaquant ne peut pas immédiatement envoyer les fonds vers son portefeuille tant qu’il n’a pas contourné cette protection.
La documentation de Coinbase Exchange présente par exemple une whitelist d’adresses de retrait assortie d’une authentification à deux facteurs et d’un délai pour les nouvelles adresses. Les conditions varient selon les plateformes : il faut vérifier disponibilité, délai, suppression et procédure de récupération.
2. Contrôler les fonctions d’un smart contract
Un contrat peut réserver certaines fonctions aux adresses qui détiennent un rôle : émettre des tokens, suspendre un service, modifier un paramètre ou dépenser une trésorerie. La whitelist devient alors un mécanisme de contrôle d’accès. Les contrats d’accès par rôles d’OpenZeppelin montrent comment attribuer et retirer des permissions distinctes.
Cette architecture peut limiter les actions sensibles, mais elle révèle aussi le degré de centralisation. Une seule clé administratrice capable d’ajouter des rôles, de frapper des tokens ou de geler les transferts représente un point critique. Une multisignature et un délai d’exécution peuvent réduire, sans éliminer, ce risque.
3. Sélectionner les participants d’une vente
Une prévente, un lancement de token ou une vente de NFT peut inscrire à l’avance les adresses autorisées. L’objectif peut être de limiter le nombre de participants, respecter des conditions géographiques, appliquer un contrôle d’identité ou réduire les achats automatisés. Être accepté donne seulement le droit de participer : cela ne garantit ni allocation, ni prix futur, ni possibilité de revendre.
4. Accéder à un test ou à une distribution
Un projet peut autoriser un groupe d’utilisateurs à tester une application, réclamer un airdrop ou interagir avec une fonction temporaire. Les critères peuvent reposer sur un snapshot, une activité passée ou une inscription. L’adresse doit être vérifiée depuis les canaux officiels, car les faux formulaires d’éligibilité sont une méthode courante de phishing.
Comment configurer une whitelist de retrait en sécurité ?
- Ouvrir la plateforme depuis un favori vérifié : éviter les liens reçus par message ou publicité.
- Activer une 2FA résistante au phishing : préférer une clé de sécurité lorsque la plateforme l’accepte.
- Ajouter l’adresse complète : ne jamais se fier uniquement aux premiers et derniers caractères.
- Choisir le bon réseau : une même plateforme peut proposer plusieurs chaînes pour le même symbole.
- Attribuer un nom explicite : indiquer le propriétaire, le réseau et l’usage du portefeuille.
- Vérifier le délai : comprendre quand la nouvelle adresse deviendra active.
- Effectuer un test : envoyer un petit montant avant un retrait important.
- Contrôler régulièrement la liste : supprimer les destinations obsolètes et documenter les changements.
Une whitelist ne corrige pas une adresse erronée déjà approuvée. Notre guide sur l’exchange crypto détaille les réseaux, les frais et la garde. Le guide sur les méthodes de sécurisation des cryptos complète la protection du compte et des appareils.
Que vérifier dans une whitelist on-chain ?
- Contrat officiel : adresse publiée par le projet et code vérifié sur l’explorateur.
- Rôle administrateur : adresse simple, multisignature, DAO ou contrat avec délai.
- Permissions : fonctions accessibles à chaque rôle et conséquences d’une compromission.
- Modification : qui peut ajouter ou retirer une adresse, et si l’action est immédiate.
- Événements : journal on-chain des ajouts, suppressions et transferts de rôle.
- Mise à jour : possibilité de remplacer le contrat et contrôle du proxy.
- Arrêt d’urgence : capacité de pause, conditions de reprise et risques d’abus.
Le contrôle d’accès est utile seulement si les clés qui l’administrent sont protégées. Les incidents étudiés dans le bilan des piratages crypto et DeFi montrent qu’une clé compromise peut contourner des protections pourtant correctement codées.
Les arnaques autour des “places whitelist”
- Fausse inscription : un site imite le projet et demande la phrase de récupération.
- Signature malveillante : le formulaire réclame une autorisation de dépense au lieu d’une simple preuve de contrôle.
- Place vendue en message privé : un faux modérateur demande un paiement pour une allocation inexistante.
- Faux token : l’adresse de contrat diffère de celle publiée officiellement.
- Urgence artificielle : compte à rebours, quantité prétendument limitée et promesse de rendement.
- KYC détourné : collecte de pièce d’identité sur un domaine non vérifié.
Une inscription légitime ne demande jamais la phrase de récupération. Une signature peut en revanche accorder des droits dangereux : l’exemple d’un trader victime d’une signature piégée montre pourquoi il faut lire l’action demandée et le contrat appelé avant de confirmer.
Whitelist d’un projet et liste blanche de l’AMF : ne pas confondre
La whitelist d’une vente est gérée par le projet. La « liste blanche » de l’AMF répertorie au contraire des professionnels autorisés à proposer certains services en France. L’AMF précise que figurer sur une liste blanche n’est pas une incitation à investir et que les placements concernés peuvent rester risqués.
Une place privilégiée dans une prévente ne remplace donc jamais la vérification du prestataire, du contrat, du risque de perte et des conditions de remboursement. Le vocabulaire de l’exclusivité est souvent utilisé pour court-circuiter la prudence.
À retenir
Une whitelist est un mécanisme d’autorisation, pas un label de confiance. Elle peut protéger les retraits, organiser des rôles ou limiter une vente, mais sa valeur dépend de la sécurité de l’administrateur et de la transparence des règles. Avant d’ajouter une adresse ou de signer pour obtenir une place, il faut vérifier le domaine, le contrat, le réseau, les permissions et l’identité de l’organisateur.
Ce contenu est fourni à titre pédagogique et ne constitue pas un conseil financier. Les crypto-actifs peuvent entraîner une perte partielle ou totale du capital.