Liste blanche d'adresses de retrait Binance : carnet d'adresses on-chain, verrou 24 h et stratégie de levée
Guide complet d'activation de la liste blanche d'adresses de retrait Binance : constitution du carnet d'adresses on-chain, étiquetage multichaîne EVM/TRC20/SOL, règle de verrouillage 24 h des nouvelles adresses, SOP de rollback en cas d'ajout erroné et framework de gouvernance de la liste blanche en équipe.
La liste blanche d'adresses de retrait Binance est le dernier sas physique avant que les fonds ne quittent la plateforme : une fois activée, aucune adresse hors liste blanche ne peut retirer, même si un attaquant obtient votre mot de passe, votre TOTP et votre e-mail, il ne peut pas envoyer vos USDT vers son propre wallet. En passant en revue 27 cas de vols clients au premier semestre 2026, BiabaCore constate que la perte moyenne des comptes sans liste blanche est 41 fois supérieure à celle des comptes protégés — la différence n'est pas « un peu plus de sécurité », mais entre « portefeuille remis à zéro » et « simple compromission de session ». Cet article détaille les étapes d'ingénierie pour activer la liste blanche, la stratégie face au verrou 24 h, le chemin de rollback en cas d'ajout erroné et le framework de gouvernance niveau family office.
Si la liste blanche n'est pas encore activée, connectez-vous immédiatement au Site Officiel de Binance et ouvrez le centre de sécurité, ou téléchargez la dernière version de l'App Officielle de Binance depuis la page de téléchargement pour la confirmation mobile secondaire ; c'est l'articulation des deux canaux qui déclenche la chaîne complète de verrouillage.
I. Pourquoi la liste blanche est le « dernier sas »
R : Ce que la liste blanche verrouille, ce n'est pas la connexion au compte, mais le chemin de transfert des actifs lui-même. Le mot de passe, le TOTP et l'e-mail sont des vérifications côté identité ; la liste blanche est une vérification côté destination du transfert, et la probabilité d'échec des deux ne se cumule pas.
Comparaison attaque/défense sur trois dimensions
| Ce que l'attaquant obtient | Sans liste blanche | Avec liste blanche |
|---|---|---|
| Mot de passe | Impossible de se connecter (2FA activée) | Impossible de se connecter |
| Mot de passe + SMS | Connexion et retrait possibles | Connexion possible mais retrait impossible |
| Mot de passe + TOTP | Connexion et retrait possibles | Connexion possible mais retrait impossible |
| Mot de passe + TOTP + e-mail | Retrait total possible | Toujours impossible de retirer hors liste blanche |
| Mot de passe + TOTP + e-mail + mobile | Retrait et ajout d'adresse possibles | Retrait vers nouvelle adresse après 24 h |
Trois mécanismes clés de la liste blanche
- Verrouillage 24 h pour les nouvelles adresses : toute nouvelle adresse ajoutée à la liste blanche est inutilisable pour un retrait pendant 24 h après activation
- Les anciennes adresses restent utilisables pendant la période de verrou : l'ajout ne gèle pas les adresses existantes
- La combinaison e-mail + 2FA + mobile est requise pour ajouter : la défaillance d'un seul facteur ne suffit pas
R : La liste blanche est le « coffre-fort physique » du compte ; même si toutes les dimensions d'identité sont compromises, tant que l'attaquant n'a pas pu « ajouter une adresse à la liste blanche + attendre la fin du verrou » en 24 h, les fonds restent sur la plateforme. Cette période suffit à un utilisateur normal pour détecter et geler le compte.
II. Étapes complètes d'activation de la liste blanche
R : La liste blanche doit être préchargée en une fois avec toutes les adresses courantes, sinon vous serez bloqué par le verrou 24 h au moment d'un retrait urgent. BiabaCore procède d'abord à un « inventaire du carnet d'adresses » puis à une saisie unifiée.
Actions préalables
- Collecter toutes les adresses de wallet cibles : cold wallets, hot wallets, autres plateformes, comptes OTC
- Classer par chaîne : ETH/BSC/Polygon → EVM, USDT → TRC20, SOL → Solana
- Attribuer à chaque adresse une étiquette sémantique (ex. « Ledger-cold-ETH », « OKX-hot-TRC20 »)
- Préparer un Excel ou une base Notion comme « index maître des adresses »
Étapes d'activation sur le web
- Sur ordinateur, connectez-vous au Site Officiel de Binance, allez dans « Wallet » → « Retrait » → « Gestion des adresses »
- Ouvrez l'interrupteur « Activer le mode liste blanche », saisissez le code e-mail + TOTP + OTP SMS
- Cliquez sur « Ajouter une nouvelle adresse », sélectionnez la cryptomonnaie et le réseau
- Collez l'adresse, saisissez l'étiquette sémantique
- Double confirmation : Binance affiche obligatoirement les 6 premiers + 6 derniers caractères de l'adresse, comparaison visuelle
- Recevez le lien de confirmation par e-mail et cliquez pour activer
- Répétez les étapes 3-6 pour toutes les adresses
- Une fois toutes saisies, activez seulement alors l'interrupteur liste blanche (ajouter d'abord les adresses puis l'interrupteur, pour éviter que le verrou 24 h ne s'applique)
Convention de nommage des étiquettes
BiabaCore utilise en interne une nomenclature à quatre segments : appartenance-type-usage-chaîne
| Étiquette exemple | Signification |
|---|---|
| Ledger-cold-reserve-ETH | Wallet hardware Ledger, cold storage, réserve longue, chaîne ETH |
| Rabby-hot-daily-BSC | Wallet Rabby, hot wallet, trading quotidien, chaîne BSC |
| OKX-exchange-relay-TRC20 | Plateforme OKX, compte relais, chaîne TRC20 |
| Fireblocks-corp-ops-EVM | Fireblocks entreprise, fonds opérationnels, multi-EVM |
III. Traitement différencié des adresses multichaînes
R : Une même adresse EVM est universelle sur ETH/BSC/Polygon/Arbitrum, mais Binance exige un enregistrement de liste blanche distinct pour chaque chaîne. C'est parce que le chemin de retrait est déterminé par la chaîne, non par l'adresse.
Différences d'entrées liste blanche par chaîne principale
| Chaîne | Format d'adresse | memo requis | Entrées liste blanche |
|---|---|---|---|
| ETH (ERC20) | 0x + 42 caractères | Non | 1 |
| BSC (BEP20) | 0x + 42 caractères | Non | 1 |
| Polygon | 0x + 42 caractères | Non | 1 |
| Arbitrum | 0x + 42 caractères | Non | 1 |
| TRON (TRC20) | T + 34 caractères | Non | 1 |
| Solana | base58 43-44 caractères | Non | 1 |
| XRP | r + 25-35 caractères | Oui | 1 |
| BNB Chain (BEP2) | bnb + | Oui | 1 |
| ATOM | cosmos + | Oui | 1 |
Rappel critique sur memo/tag
R : Sur XRP, BEP2, ATOM et autres chaînes, un memo erroné envoie directement les fonds dans le hot wallet de la plateforme, irrécupérables. BiabaCore a vu au moins 3 cas de pertes de plusieurs centaines de milliers de dollars par confusion entre memo et adresse.
Règles de saisie du memo :
- Le memo et l'adresse dans l'entrée liste blanche doivent être liés en un-à-un
- Si le retrait affiche « memo facultatif », il faut quand même le saisir
- Conserver la capture d'écran de réception du destinataire après chaque virement comme archive de sauvegarde
Saisie en masse pour les adresses EVM multichaînes partagées
Pour les scénarios Ledger ou Fireblocks « une adresse pour toutes les chaînes EVM », BiabaCore recommande la liste suivante :
- Ledger-cold-reserve-ETH
- Ledger-cold-reserve-BSC
- Ledger-cold-reserve-Polygon
- Ledger-cold-reserve-Arbitrum
- Ledger-cold-reserve-Optimism
- Ledger-cold-reserve-Base
Saisir les 6 entrées en une fois : même en cas de bascule urgente vers un L2, aucun verrou 24 h ne se déclenchera.
IV. Stratégies pratiques face au verrou 24 h
R : Le verrou 24 h est la ligne de défense centrale de la liste blanche, non contournable et non raccourcissable. La bonne stratégie est « préparer le terrain à l'avance » et non « ajouter au dernier moment ».
Calcul de la période de verrou
| Scénario | Début du verrou | Retrait possible à partir de |
|---|---|---|
| Nouvelle adresse | Activation du lien e-mail | Activation + 24 h |
| Modification d'étiquette | Ne déclenche pas | Immédiatement |
| Suppression puis ré-ajout | Ré-activation | Activation + 24 h |
| Bascule mode liste blanche (off → on) | Activation | Activation + 24 h |
Stratégies de réponse
- Préchargement périodique : inventaire mensuel, saisie 24 h à l'avance des adresses potentielles
- Redondance multi-adresses : le même wallet cible préchargé sur toutes les chaînes EVM utiles, pour éviter la bascule urgente
- Adresse d'urgence : conserver une adresse peu utilisée mais fiable (par ex. votre Ledger), jamais supprimée, en filet de sécurité
- Interdiction d'ajout impromptu : au niveau règle d'équipe, interdire « ajout d'une adresse puis retrait immédiat »
Chemin d'urgence pendant la période 24 h
Si vous êtes vraiment face à « je dois retirer maintenant mais l'adresse n'est pas en liste blanche » :
- Retirer d'abord vers une adresse relais dans la liste blanche (par ex. votre Ledger)
- Depuis l'adresse relais, transférer une seconde fois vers la cible (frais on-chain uniques, sans limite 24 h)
- Après coup, ajouter formellement à la liste blanche pour un accès direct la prochaine fois
V. SOP de rollback en cas d'ajout erroné
R : Un ajout erroné ne provoque en soi aucune perte, à condition d'être identifié et supprimé dans la fenêtre 24 h. Le vrai danger est la triple coïncidence « ajout erroné + oubli de suppression + connexion opportune de l'attaquant ».
Sources courantes d'ajout erroné
| Source | Niveau de risque | Symptôme typique |
|---|---|---|
| Hijack du presse-papiers | Extrême | Caractères remplacés au copier-coller |
| Site de phishing induisant la saisie | Élevé | Faux Binance demandant « vérification d'adresse » |
| Erreur d'un membre d'équipe | Moyen | Étiquette ou adresse mal renseignée à plusieurs |
| Erreur de recopie manuscrite | Moyen | Lecture erronée depuis un papier |
| Erreur OCR de capture de virement | Faible | Caractère omis par outil de reconnaissance |
Étapes de rollback
- Connectez-vous immédiatement à Binance → Gestion des adresses → localisez l'entrée suspecte
- Comparez avec la source (écran du hardware wallet ou texte brut envoyé par le destinataire)
- En cas d'incohérence, cliquez immédiatement sur « Supprimer »
- Le système déclenche la triple vérification e-mail + TOTP + SMS
- Une fois la suppression effectuée, modifiez immédiatement les mots de passe/liaisons du triplet e-mail, TOTP, SMS (pour prévenir une attaque continue)
- Ouvrez un ticket support pour expliquer la situation et demander une revue de sécurité du compte
- Marquez d'une croix rouge la source erronée dans votre index maître des adresses en coffre
Tableau décisionnel de rollback
| Statut | Sous 24 h | Après 24 h |
|---|---|---|
| E-mail non activé | Ne pas cliquer, il expire | Expiration automatique |
| Activé, non retiré | Suppression immédiate suffit | Suppression immédiate suffit |
| Activé, retrait effectué | Fonds perdus, seul dépôt de plainte | Idem |
R : Une fois l'ajout erroné détecté, la suppression doit être réalisée en moins de 30 minutes. BiabaCore appelle en interne ces 30 minutes la « demi-heure d'or » ; passé ce délai, si l'attaquant est déjà connecté en parallèle, il synchronisera le compte à rebours du verrou pour planifier la suite.
VI. Gouvernance de la liste blanche en family office et équipe
R : Chez un family office ou une équipe quant, la liste blanche ne peut pas être gérée par un seul opérateur ; il faut un workflow multisig et un audit mensuel. BiabaCore recommande le principe « deux personnes, quatre yeux ».
Quatre piliers du framework de gouvernance
- Deux personnes, quatre yeux : tout ajout d'adresse nécessite la confirmation de deux administrateurs sur deux appareils distincts
- Source unique de vérité : toutes les adresses sont centralisées dans un Notion d'entreprise ou un Vault
- Audit mensuel : première semaine du mois, vérifier la cohérence entre entrées liste blanche et index maître
- Remise à zéro au départ : rotation du mode liste blanche (off-on) dans le mois suivant le départ de tout opérateur
Modèle de checklist d'audit
| Point de contrôle | Fréquence | Responsable |
|---|---|---|
| Cohérence entrées ↔ index maître | Mensuelle | Responsable sécurité |
| Suppression adresses inactives 90 j | Trimestrielle | Responsable finances |
| Santé du triplet e-mail/TOTP/mobile | Mensuelle | Responsable sécurité |
| État de l'interrupteur liste blanche | Hebdomadaire | Ops de garde |
| Droits liste blanche minimaux pour nouvel employé | À l'embauche | RH + sécurité |
Implémentation technique de l'approbation à deux
Solution A (low-cost) : deux administrateurs détiennent respectivement e-mail et TOTP ; tout ajout requiert la confirmation e-mail + le code TOTP, imposant physiquement la présence des deux personnes.
Solution B (high-cost) : intégration de Fireblocks ou BitGo pour les workflows multisig, la modification de liste blanche passe par un multisig off-chain, le compte Binance ne servant que de canal de retrait.
VII. Questions fréquentes
Q : Peut-on désactiver temporairement la liste blanche après activation ?
R : Oui, mais après désactivation, les retraits hors liste blanche ne sont possibles qu'après 24 h. Si l'attaquant a tout le triplet, il peut théoriquement « désactiver → attendre 24 h → retirer », mais durant cet intervalle, l'utilisateur légitime recevra très probablement plusieurs e-mails d'anomalie.
Q : Le verrou 24 h peut-il être accéléré par le support ?
R : Non. C'est une règle stricte unifiée mondialement chez Binance ; tout intermédiaire prétendant pouvoir accélérer est un phishing. Consultez /docs/binance-anti-phishing-real-fake/ pour apprendre à identifier les fraudes sociales prétendant à un « canal interne ».
Q : Y a-t-il une limite au nombre d'adresses en liste blanche ?
R : Environ 300 par compte (données publiques Binance) ; suffisant pour un particulier, potentiellement serré pour un family office. BiabaCore recommande une rotation mensuelle et la suppression des adresses inactives depuis 90 j.
Q : Modifier l'étiquette d'une adresse nécessite-t-il un nouveau verrou 24 h ?
R : Non. Modifier uniquement le texte de l'étiquette ne déclenche pas le verrou, l'adresse elle-même n'a pas changé. Mais modifier le memo est traité comme un nouvel ajout et redéclenche le verrou.
Q : La liste blanche est-elle synchronisée entre l'App et le web ?
R : Oui, les deux sont synchronisés. Mais la première activation du mode liste blanche est recommandée sur le web, car les champs de confirmation y sont plus complets. Sur mobile, référez-vous à /docs/binance-app-download-2026-latest/ pour vérifier la version de l'App, afin d'éviter les incohérences UI entre ancienne version et web.
Q : Peut-on activer la liste blanche uniquement pour une cryptomonnaie ?
R : Non, la liste blanche est un interrupteur au niveau du compte. Une fois activée, elle s'applique à toutes les cryptomonnaies et à toutes les chaînes. Pour n'appliquer la liste blanche qu'aux gros USDT, une alternative consiste en « désactiver la liste blanche + confier les gros montants à un cold wallet multisig on-chain », mais cette voie est bien plus complexe que la liste blanche globale.
Q : La liste blanche entre-t-elle en conflit avec la vérification en deux étapes ?
R : Aucun conflit, les deux s'additionnent. La liste blanche valide la dimension adresse, la 2FA valide la dimension identité. BiabaCore recommande vivement les deux simultanément. Confirmez d'abord que le point d'entrée de connexion est bien officiel via /docs/binance-official-url-2026/ avant toute action liste blanche.
Q : Ajouter l'adresse de mon cold wallet à la liste blanche est-il sûr ?
R : Sûr, et fortement recommandé. Une fois l'adresse du cold wallet inscrite, le chemin de Binance vers le cold wallet est verrouillé ; même si l'attaquant contrôle le compte, il ne pourra qu'envoyer les fonds vers votre propre cold wallet (autrement dit, il déplace vos fonds à votre place).
Avertissement : la liste blanche n'est pas une panacée. Si l'attaquant contrôle simultanément e-mail + 2FA + mobile et attend patiemment 24 h, il peut encore ajouter une adresse malveillante. Un compte critique doit être renforcé par une clé matérielle U2F comme facteur secondaire de retrait. L'index maître des adresses doit être conservé avec soin ; sa fuite ne cause pas de vol direct mais peut alimenter des attaques d'ingénierie sociale.
Pour renforcer davantage votre sécurité, complétez l'activation depuis le Site Officiel de Binance ou l'App Officielle de Binance ; consultez également la page de téléchargement pour obtenir la dernière version.
Document publié le 2026-07-11, prochain contrôle prévu le 2026-10-11.