Le portefeuille Phantom est-il sûr ?
Phantom est un portefeuille en auto-conservation très utilisé, avec aperçus de transaction, alertes sur les sites malveillants, prise en charge de Ledger, audits tiers et bug bounty, et les informations publiques ne font état d'aucune intrusion dans ses propres systèmes ayant vidé des portefeuilles d'utilisateurs. La plupart des utilisateurs de Phantom qui perdent des fonds le font à cause de fausses applications et de faux sites Phantom, de faux support, de sites drainers, d'empoisonnement d'adresse et de phrases de récupération divulguées. Son niveau de sécurité dépend en grande partie de la façon dont vous l'utilisez.
La « sécurité » comporte deux volets : le logiciel du portefeuille protège-t-il vos clés, et pouvez-vous éviter les arnaques qui visent ses utilisateurs ? Phantom s'en sort plutôt bien sur le premier point. C'est sur le second que se produisent presque toutes les pertes. Cette page couvre les deux, faits datés à l'appui. Ghostlight Guide est indépendant et n'est pas payé par Phantom.
Comment Phantom protège vos fonds
Vos clés restent chez vous
Phantom est un portefeuille en auto-conservation. Votre phrase de récupération et vos clés privées sont créées sur votre appareil et protégées par votre mot de passe. Phantom ne détient pas vos fonds et ne peut pas les déplacer. Le revers de la médaille, c'est que personne ne peut annuler une transaction que vous signez ni restaurer une phrase que vous perdez.
Aperçus de transaction et alertes
Avant que vous signiez, Phantom simule la transaction et affiche les variations de solde attendues. Il vérifie aussi le site par rapport à une liste noire de domaines malveillants. La documentation pour développeurs de Phantom cite des avertissements comme This dApp could be malicious. Do not proceed unless you are certain it is safe. [Cette dApp pourrait être malveillante. Ne continuez pas sauf si vous êtes certain qu'elle est sûre.] et This domain is new or has not been reviewed yet. Proceed with caution. [Ce domaine est nouveau ou n'a pas encore été examiné. Procédez avec prudence.] Si vous voyez le premier, arrêtez-vous. Voir les avertissements de dapp malveillante de Phantom expliqués.
En novembre 2024, Phantom a racheté Blowfish, l'entreprise à l'origine de ses aperçus de transaction. Selon Phantom, Blowfish avait empêché 2,8 millions d'arnaques et analysé 1,3 milliard de transactions (blog de Phantom). Considérez-le comme un filet de sécurité, pas comme une garantie : de nouveaux sites drainers apparaissent chaque jour, et un aperçu ne peut pas vous protéger si vous remettez votre phrase de récupération.
Prise en charge des portefeuilles matériels
Vous pouvez connecter un Ledger à l'extension ou à l'application mobile Phantom. Les transactions exigent alors une confirmation physique sur l'appareil, de sorte qu'un logiciel malveillant sur votre ordinateur ne peut pas déplacer des fonds à lui seul. Voir Phantom avec Ledger.
Filtrage du spam
Phantom masque de nombreux tokens et NFT de spam et vous permet de signaler et brûler les NFT indésirables. Les airdrops frauduleux sont un moyen courant d'attirer les gens vers des sites drainers : ne visitez donc jamais un lien inscrit sur un token ou un NFT que vous n'attendiez pas.
Audits, bug bounty et open source
Les applications du portefeuille Phantom ne sont pas open source : vous ne pouvez donc pas inspecter le code vous-même. Phantom s'appuie plutôt sur des examens externes. Least Authority a publié en juin 2024 un rapport d'audit final sur le code mobile et l'extension de Phantom. Phantom gère un bug bounty public sur Cantina, actif depuis le 1er juillet 2026, avec des récompenses allant jusqu'à 100 000 dollars pour les failles critiques (Cantina, 2026). Sa liste noire de domaines malveillants est publique sur GitHub.
En janvier 2025, un chercheur en sécurité a publiquement critiqué Phantom au sujet d'un signalement de vulnérabilité non divulgué. Phantom s'est excusé de la lenteur de sa communication et a déclaré que le problème ne mettait pas les fonds en danger ; aucun détail technique n'a été publié (CryptoSlate, 2025).
Historique de sécurité
| Date | Événement | Résultat |
|---|---|---|
| Juin 2022 | Divulgation « Demonic » de Halborn : la restauration de session du navigateur pouvait enregistrer des phrases de récupération sur le disque dans plusieurs portefeuilles, dont Phantom | Nécessitait un accès à l'ordinateur ; aucune exploitation signalée ; déjà corrigée par Phantom (Halborn ; CoinDesk, 2022) |
| Août 2022 | Environ 4 millions de dollars dérobés sur 9 230 portefeuilles Solana | Attribué au portefeuille Slope ; Phantom n'a constaté aucune compromission de ses systèmes (The Block, 2022) |
| Juin 2024 | Fausse application « Phantom » d'un autre développeur promue via les annonces de recherche de l'App Store ; une victime a déclaré avoir perdu plus de 100 000 dollars | Usurpation d'identité, pas une faille de Phantom (CryptoSlate, 2024) |
| Novembre 2024 | Une mise à jour iOS a provoqué des réinitialisations de l'application | Les utilisateurs sans sauvegarde de leur phrase de récupération ont perdu l'accès jusqu'à leur restauration (The Block, 2024) |
| Février 2025 | Fausses demandes de « mise à jour de l'extension » et fausses fenêtres Phantom demandant la phrase de récupération (Scam Sniffer) | Hameçonnage visant les utilisateurs (Cointelegraph, 2025) |
| Avril 2025 | Plainte alléguant une faille dans la gestion des clés après le vol de plus de 500 000 dollars de tokens | Phantom : « entirely without merit » [totalement infondée] ; aucune décision trouvée (Decrypt, 2025) |
| Février 2026 | Empoisonnement d'adresse que l'enquêteur ZachXBT a relié au chat intégré de Phantom ; une victime a perdu environ 264 000 dollars en wBTC | L'empoisonnement d'adresse vous pousse à envoyer vers une adresse ressemblante ; il n'expose pas les clés (Cointelegraph, 2026) |
| 6 avril 2026 | Panne affichant des prix et des soldes erronés | Résolue le soir même ; Phantom a indiqué que les fonds n'étaient pas affectés (The Block, 2026) |
La liste complète, y compris d'autres pannes, se trouve sur l'historique de sécurité de Phantom. Une panne peut vous empêcher de trader pendant un moment, ce qui compte si vous tradez activement, mais ce n'est pas la même chose qu'un vol de fonds. Les réinitialisations iOS de novembre 2024 montrent pourquoi une sauvegarde écrite de votre phrase de récupération est importante, même quand rien n'est volé.
Comment les utilisateurs de Phantom perdent réellement leurs fonds
- Faux téléchargements. Des copies de l'extension ou de l'application, souvent trouvées via des annonces de recherche ou des pages de « téléchargement officiel » sur des hébergeurs gratuits, volent la phrase de récupération dès que vous la tapez.
- Faux support. Il n'existe pas de ligne téléphonique Phantom, et Phantom affirme que son support ne vous contactera jamais en premier. De faux numéros et de fausses fenêtres de chat vous demandent de « vérifier » ou de « synchroniser » votre portefeuille avec votre phrase. Voir l'arnaque au faux support téléphonique Phantom.
- Sites drainers. De faux airdrops, mints et réclamations de tokens vous demandent de signer une transaction qui envoie tout à l'attaquant.
- Fausses fenêtres pop-up. Des pages web qui imitent une fenêtre Phantom à l'intérieur de l'onglet du navigateur et demandent la phrase.
- Empoisonnement d'adresse. De minuscules transferts ou des messages de chat depuis des adresses ressemblantes, pour que vous copiiez la mauvaise.
- Phrases divulguées. Photos, notes dans le cloud, gestionnaires de mots de passe piratés, ou phrase partagée avec quelqu'un qui « aide ».
Tous ces cas sont expliqués avec des exemples dans les arnaques au faux Phantom.
Les règles qui évitent la plupart des pertes
- Phantom ne demande jamais votre phrase de récupération. Ni pour mettre à jour, vérifier, synchroniser, débloquer ou réclamer quoi que ce soit. Le seul endroit où la taper est la vraie application Phantom, lors de la restauration d'un portefeuille.
- Obtenez Phantom uniquement depuis les sources officielles. Tapez phantom.com ou utilisez un favori. Vérifiez l'ID de l'extension ou la fiche de l'application avec notre vérificateur de téléchargement.
- Gardez votre phrase hors ligne. Sur papier ou sur métal, jamais en capture d'écran, par e-mail ou dans une note cloud.
- Utilisez deux portefeuilles. Un portefeuille « chaud » avec de petits montants pour les nouvelles applications et les mints, et un portefeuille séparé, idéalement sur un Ledger, pour votre épargne, que vous ne connectez jamais à des sites inconnus.
- Lisez avant de signer. Si Phantom affiche un avertissement, ne parvient pas à simuler la transaction, ou si l'aperçu montre plus de sorties que prévu, refusez. Notre explicateur de signatures vous aide avec les messages de connexion et les approbations EVM.
- Vérifiez les adresses en entier. Copiez-les auprès du destinataire ou depuis votre carnet d'adresses, pas depuis votre liste d'activité ou un chat. Notre vérificateur d'adresse compare deux adresses.
- Mettez Phantom à jour uniquement via le Chrome Web Store, l'App Store ou Google Play. Une fenêtre qui demande votre phrase pour une « mise à jour » est fausse.
Distinguer une vraie fenêtre Phantom d'une fausse
Scam Sniffer, une société de sécurité, a suggéré ces vérifications en février 2025 (Cointelegraph, 2025) :
- Une vraie fenêtre de l'extension est une fenêtre séparée dont l'adresse commence par
chrome-extension://. Une fausse est dessinée à l'intérieur de la page web. - Une vraie fenêtre peut être déplacée, réduite et redimensionnée comme n'importe quelle fenêtre. Une fausse reste prisonnière de l'onglet du navigateur.
- Les pages d'hameçonnage bloquent souvent le clic droit ; la vraie fenêtre Phantom, non.
Phantom est-il plus sûr qu'une plateforme d'échange ?
C'est un autre type de risque. Sur une plateforme d'échange, l'entreprise peut être piratée, geler votre compte ou faire faillite, mais elle peut aussi réinitialiser un mot de passe et parfois annuler des erreurs. Avec Phantom, aucune entreprise ne se trouve entre vous et vos fonds : pas de gel, mais pas de retour en arrière non plus. Beaucoup de gens gardent leurs soldes de trading sur une plateforme d'échange et leurs avoirs à long terme en auto-conservation avec un portefeuille matériel.
Une remarque sur les noms
Fantom (désormais Sonic) est un projet crypto distinct. Les analyses de sécurité du « Fantom wallet » ne concernent pas Phantom, et Phantom ne le prend pas en charge.
Si quelque chose a déjà mal tourné
Si vous avez tapé votre phrase de récupération sur un site ou dans une application, ou signé quelque chose que vous ne compreniez pas, agissez maintenant : suivez que faire si votre portefeuille Phantom a été vidé. Ne contactez personne qui propose de récupérer vos fonds contre rémunération : ce sont aussi des escrocs.
Questions fréquentes
Phantom peut-il voler mes cryptos ?
Phantom est un portefeuille en auto-conservation : vos clés sont créées et stockées sur votre appareil. Phantom affirme ne jamais demander votre phrase de récupération. Ses applications ne sont pas open source : vous comptez donc sur les audits et la réputation de Phantom, l'une des raisons pour lesquelles beaucoup de gens gardent les sommes importantes sur un portefeuille matériel.
Phantom est-il sûr sur un téléphone ?
Oui, si vous installez la vraie application (ID App Store 1598432977, package Google Play app.phantom) et maintenez votre téléphone à jour. De fausses copies sont apparues dans les deux stores : vérifiez donc le développeur avant d'installer.
Phantom est-il assuré ?
Non. Les cryptos dans un portefeuille en auto-conservation ne sont pas assurées, et si l'on vous pousse à signer une transaction, personne ne peut l'annuler. Les fonds Phantom Cash ne sont pas non plus assurés par la FDIC.
Est-il sûr de connecter Phantom à des sites web ?
La connexion ne partage que votre adresse publique. Le risque apparaît lorsque vous signez une transaction ou un message. Connectez-vous uniquement à des sites auxquels vous avez accédé vous-même, lisez l'aperçu de Phantom et arrêtez-vous au moindre avertissement rouge.
Phantom a-t-il été touché par le piratage de Slope ?
Non. Le vidage de portefeuilles Solana d'août 2022 a été attribué au portefeuille Slope. Phantom a déclaré n'avoir trouvé aucune preuve d'une compromission de ses systèmes.
Dois-je utiliser un Ledger avec Phantom ?
Pour les montants que vous ne pouvez pas vous permettre de perdre, oui. Un Ledger garde les clés hors de votre ordinateur et de votre téléphone et exige une confirmation physique pour chaque transaction.