Que se passe-t-il réellement avec votre clé privée lorsque vous appuyez sur « Se connecter avec Google » pour ouvrir un wallet crypto ? Votre wallet « connecté avec Google » recrée la clé privée sur votre appareil à chaque connexion. Google ne détient jamais cette clé. Google ne répond qu'à une seule question : cette personne est-elle bien celle qu'elle prétend être ? Ensuite, un autre système prend le relais. Voici ce qui se passe réellement : Votre clé est divisée en 3 parts. Deux quelconques suffisent à la reconstituer. Partie A : sur votre appareil Partie B : verrouillée derrière votre connexion, conservée dans leur stockage Partie C : récupération (mot de passe, sauvegarde, autre appareil) Lorsque vous appuyez sur « Se connecter avec Google/Apple » : 1. Google ou Apple vérifie que c'est bien vous et remet à votre application un jeton d'authentification. 2. Votre application n'envoie pas aveuglément ce jeton à un seul serveur. Elle envoie d'abord un hachage du jeton au réseau de nœuds, attend que suffisamment de nœuds l'aient reconnu, puis révèle le jeton. Cela vise à empêcher un nœud malveillant de saisir votre connexion et de vous imiter. 3. Chaque nœud vérifie le jeton indépendamment et renvoie sa part de votre clé de chiffrement. 4. Plus de la moitié des nœuds doivent être honnêtes pour que la clé de chiffrement soit reconstituée. La génération de nouvelles clés est plus stricte : plus des trois quarts des nœuds doivent être honnêtes. Leurs documents indiquent qu'ils ont choisi ces seuils intentionnellement. Ils préfèrent que tout le système échoue plutôt qu'un voleur ne puisse reconstituer des clés. 5. Cette clé de chiffrement déverrouille la partie B dans le stockage. 6. La partie B combinée à la partie A, présente sur votre appareil, reconstitue la clé privée réelle du wallet. Deux points sur une droite, la clé au point d'intersection. Le nom technique est l'interpolation de Lagrange. 7. Vous pouvez désormais signer. Lorsque vous vous déconnectez, la clé reconstituée doit disparaître. À la prochaine connexion, elle sera à nouveau reconstituée. Ainsi, « aucune phrase secrète » ne signifie pas « aucune clé ». Cela signifie qu'un réseau tiers décide quand vous récupérez votre clé. C’est cette couche qui a été compromise lors du récent piratage de Keplr. Web3Auth affirme que le problème provenait de son infrastructure et a exposé les clés de certains wallets Keplr connectés via Google/Apple. Les connexions sociales conviennent pour la poussière d’airdrop. Pour de l’argent que vous ne pouvez pas vous permettre de perdre, utilisez une phrase secrète que vous contrôlez, ou un matériel. Conserveriez-vous encore de l’argent réel dans un wallet connecté via un compte social ?