Avis sur le portefeuille Xverse : sécurité, récupération et le manque d'audit

Xverse est un portefeuille Bitcoin en auto-garde de Secret Key Labs Limited, une société basée à Hong Kong, disponible sous forme d’extension Chrome ainsi que d’applications iOS et Android. Le portefeuille ne facture ni frais d’installation ni frais de stockage et n’ajoute aucun frais à un envoi Bitcoin ordinaire. Les fournisseurs tiers fixent le prix des achats, des swaps et des services cross-chain. Le propre pool de stacking STX de Xverse prélève des frais de gestion sur les récompenses.

La portée de ce portefeuille sur Bitcoin est vaste. En plus du BTC, il gère les Ordinals, les Runes et les tokens BRC-20, ainsi que Stacks, Starknet, Spark et Lightning, et il émet une adresse de paiement séparée et une adresse Taproot afin de réduire le risque que des inscriptions ou des sats rares soient sélectionnés comme inputs Bitcoin ordinaires.  

Profil de test

Ce que nous avons testé, et ce que nous n’avons pas testé

Nous avons installé l’extension Chrome sur Windows, créé un portefeuille de zéro, parcouru les écrans Send, Receive, Buy et Sell, enregistré les devis des fournisseurs proposés pour un achat par carte, puis supprimé l’extension, la réinstallée et restauré le portefeuille à partir de sa phrase de récupération.

Nous n’avons pas finalisé d’achat par carte, effectué de paiement cross-chain, utilisé l’application Web externe de swap, appairé un portefeuille matériel, ni testé les applications mobiles. En parallèle de la session, nous avons lu le rapport d’audit publié, les pages sécurité et confidentialité, la base de connaissances du support et les dépôts GitHub publics. Tout élément tiré de ces sources plutôt que de notre propre utilisation est signalé comme tel.

Xverse en un coup d’œil

Comment configurer Xverse

La configuration tient en quatre écrans et se termine en moins d’une minute.  

Testé sur la version 2.7.3, le 19 août 2026.

Étape 1. Créez un nouveau portefeuille, ou restaurez-en un

L’extension s’ouvre sur deux boutons.

Capture d’écran : extension Chrome Xverse 

Étape 2. Lisez l’avis de collecte de données

L’application avertit qu’elle collectera des données d’utilisation anonymes afin de mieux comprendre les utilisateurs et d’améliorer l’application, et précise que le paramètre peut être modifié.  

Capture d’écran : avertissement de collecte de données

Étape 3. Définissez et confirmez le mot de passe

Le mot de passe chiffre les clés privées sur l’appareil.

Capture d’écran : configuration du mot de passe

Étape 4. Le portefeuille est créé — sans sauvegarde

Le portefeuille existe à ce stade, et il peut recevoir des fonds. Xverse ne propose pas d’afficher ni de sauvegarder la phrase de récupération pendant la configuration, et ne vous oblige pas à la noter avant que le portefeuille puisse être utilisé.

Capture d’écran : finalisation de la création du portefeuille 

L’invite de sauvegarde arrive ensuite

Lors du prochain lancement de l’extension, Xverse propose de sauvegarder la phrase seed.  

Capture d’écran : rappel de sauvegarde

Comment Xverse organise les adresses

L’écran Receive affiche deux adresses Bitcoin : une adresse Native SegWit et une adresse Nested SegWit.

Capture d’écran : écran Receive de Xverse

Selon la documentation de Xverse, le portefeuille sépare les familles d’actifs par type d’adresse, et conserve les Ordinals, les Runes et les tokens BRC-20 sur une adresse Taproot distincte de celles qui contiennent le bitcoin dépensable. Un portefeuille qui regroupe chaque satoshi dans un solde unique peut sélectionner comme input d’un paiement ordinaire un satoshi portant une inscription de valeur, et l’objet part avec la monnaie rendue. Une dérivation séparée rend cela structurellement difficile.

Comment Xverse reçoit et envoie du bitcoin

La section Send comporte trois onglets.

Send to address demande une adresse de destinataire, un montant et des frais réseau. Les frais sont ajustables, avec des niveaux de priorité Medium et High sélectionnables pour une confirmation plus rapide.

Le support de Xverse explique que les frais sont indiqués en satoshis par octet virtuel et vont aux mineurs, Secret Key Labs indiquant qu’elle n’en contrôle ni n’en tire profit. 

La taille de la transaction, et donc son coût, dépend du nombre d’inputs et d’outputs nécessaires à un paiement, de sorte qu’un solde composé de nombreux petits fragments coûte plus cher à déplacer qu’un montant identique détenu en un seul bloc. 

Xverse précise aussi que certains portefeuilles expriment le même taux en satoshis par unité de poids, où 1 sat/vB équivaut à 0,25 sat/WU — un taux recopié d’un portefeuille à l’autre sans conversion est erroné d’un facteur quatre.

Capture d’écran : écran Send de Xverse

Lightning affiche une seule ligne d’adresse.

Capture d’écran : écran de paiement Lightning

Cross-chain bascule entre des stablecoins sur différents réseaux, et affiche un avertissement indiquant que le paiement est géré via Flashnet.

Capture d’écran : écran de paiement cross-chain

Trois onglets, trois modèles de règlement, un seul bouton Send. On-chain attend les blocs, Lightning se règle hors chaîne, et l’itinéraire cross-chain dépend d’un tiers dont la plupart des utilisateurs n’auront jamais entendu parler et qu’ils n’ont pas choisi.  

Comment acheter du bitcoin par carte dans Xverse

Xverse ne vend pas lui-même du bitcoin. Il présente plusieurs options pour acheter des crypto-actifs, dont un transfert par carte bancaire, et cette voie vous permet de choisir parmi une liste de fournisseurs disponibles.

Capture d’écran : écran Buy de Xverse

Les portefeuilles qui intègrent un unique point d’entrée masquent ce qu’aurait coûté l’alternative ; un portefeuille qui liste des fournisseurs concurrents transforme le choix en véritable décision, et à l’achat répété cette décision s’additionne. Chaque fournisseur de cette liste fixe son propre prix pour son service, et le portefeuille sert en quelque sorte de vitrine.

L’écran Buy propose une alternative intitulée Pay with crypto, et en la sélectionnant vous êtes redirigé vers portfolio.xverse.app/swap, où vous connectez un portefeuille pour lancer une transaction.

Capture d’écran : application Swap de Xverse

La propre documentation d’assistance de Xverse nomme Changelly comme le fournisseur derrière les swaps cross-chain, avec une tolérance au slippage fixée à 10 % et non ajustable.

Comment retirer des fonds

L’écran Sell permet d’envoyer du BTC ou des stablecoins vers une carte bancaire ou via un transfert SEPA.

Capture d’écran : écran Sell de Xverse

Les deux sens passent par des tiers. La disponibilité du SEPA implique également un corridor européen, ce qui signifie que l’ensemble des options change presque certainement selon la région.

Comment swapper 

Xverse dispose d’un écran de swap, et il fonctionne sans vous rediriger ailleurs. Il ne convertit pas entre écosystèmes. Les paires proposées restent sur la blockchain Bitcoin, couvrant un ensemble défini d’actifs natifs Bitcoin. Ethereum, Solana et les autres réseaux n’apparaissent pas comme options, donc toute personne espérant trader ici de l’ETH contre du SOL ne trouvera pas la paire.

Capture d’écran : écran Swap de Xverse

Un swap limité à une seule chaîne déplace de la valeur uniquement au sein de Bitcoin. Quiconque veut détenir autre chose doit toujours échanger du Bitcoin (BTC) via un service externe, et Xverse propose une voie pour le faire via des échanges tiers (via Changelly). 

Réseaux et actifs pris en charge

Xverse couvre la couche de base de Bitcoin et un ensemble de chaînes construites autour d’elle : BTC, Ordinals, Runes, tokens BRC-20 et Rare Sats sur Bitcoin lui-même, puis Stacks avec ses tokens SIP-10, Starknet, Spark, sBTC et Lightning. La prise en charge des stablecoins couvre USDC et USDB, et l’onglet cross-chain de l’écran Send déplace des stablecoins entre réseaux.

Trois précisions importent.

Les actifs d’autres écosystèmes arrivent par conversion plutôt que par stockage. Détenir Solana (SOL) ou Ethereum (ETH) sous forme native nécessite toujours un second portefeuille.

Les couches ne se règlent pas de la même manière. Bitcoin attend les blocs, Lightning se règle hors chaîne, et Stacks et Starknet exécutent chacun leur propre modèle de confirmation. Une seule interface couvre plusieurs ensembles de règles sur le moment où l’argent est réellement arrivé.

Et la liste s’allonge. Xverse ajoute régulièrement de nouvelles couches, donc vérifiez l’application plutôt que n’importe quelle liste publiée, y compris cette revue.

Ce qu’il y a d’autre dans l’application

Xverse a largement dépassé le simple stockage, et la plupart des ajouts impliquent un tiers externe :

• Produits de rendement, couvrant le staking Stacks via le pool Xverse, le staking natif WBTC via le validateur Xverse, et le staking BTC via Lombard. Le propre site de Xverse indique que les taux de rendement sont variables et jamais garantis.
• Xverse Cash, un onglet pour les stablecoins et les paiements sur Spark et Starknet.
• Outils développeur : une API publique, un service Bitcoin RPC, la bibliothèque Sats Connect et un portefeuille agent pour une utilisation programmatique.

Ce dernier point a sa place dans une revue parce qu’il s’agit d’un choix de conception, pas d’un bug. Chaque fenêtre contextuelle entraîne l’utilisateur à fermer une modale sans la lire, et un portefeuille dépense sa crédibilité restante sur les modales qui comptent le plus — celles qui demandent une signature. C’est une habitude facile à prendre et coûteuse à désapprendre.

Notez aussi ce que cette ampleur coûte ailleurs. Chaque intégration est un endroit où du code que Xverse n’a pas écrit demande une autorisation, et la posture de sécurité du portefeuille n’est aussi bonne que la plus faible d’entre elles. C’est le compromis que le produit fait délibérément, et c’est un compromis raisonnable, mais il doit être fait en connaissance de cause.

Ce que vous pouvez vérifier vous-même

C’est ici que le marketing et les preuves se séparent.

• Code source. Secret Key Labs publie l’extension de navigateur, la bibliothèque principale et Sats Connect sur GitHub. Nous n’avons trouvé aucun dépôt public pour les applications iOS ou Android. Pour l’extension de navigateur, le code source est disponible sous une licence commerciale personnalisée restrictive.
• Audits — un seul, datant de 2021. Nous avons trouvé un seul audit public par un tiers : la revue 2021 de Least Authority du portefeuille mobile Stacks alors en vigueur. Nous n’avons trouvé aucun rapport publié couvrant la version actuelle de l’extension, les actifs natifs Bitcoin, Starknet, Spark, Lightning, les swaps ou l’agrégation de fournisseurs.
• Confidentialité — partiellement vérifiable. La page sécurité de Xverse indique que le service ne suit pas les adresses de compte ni les soldes. Sa politique de confidentialité est plus large : elle autorise la collecte d’adresses de portefeuille, de détails de transaction, de données d’utilisation, d’identifiants d’appareil, d’adresses IP, de données du navigateur et du système d’exploitation, ainsi que d’informations traitées par des fonctionnalités tierces. Ces deux descriptions officielles ne sont pas parfaitement cohérentes.

Rien de tout cela ne rend le portefeuille dangereux. Cela signifie que les deux assurances sur lesquelles un utilisateur prudent s’appuie le plus sont plus faibles qu’elles n’en ont l’air.

Incidents de sécurité

Un incident divulgué constitue un court historique public, et Xverse l’a traité en publiant un avis officiel nommant la cause, les versions affectées, les conditions d’exposition et le correctif, publié dans la journée.

La faille ne se situait pas dans la cryptographie mais dans une hypothèse sur l’environnement en dessous — une fonctionnalité de mot de passe fonctionnant comme prévu tandis que le navigateur écrivait malgré tout le secret sur le disque. Xverse a indiqué que l’exposition nécessitait une machine déjà compromise.

Restauration : la sauvegarde fonctionne-t-elle ?

Une sauvegarde que personne n’a testée n’est qu’un espoir. Nous avons supprimé l’extension Chrome, l’avons réinstallée sur une machine Windows, puis avons restauré à partir de la phrase de récupération, stockée comme une phrase de récupération devrait l’être.

Le flux de restauration demande quel portefeuille récupérer au lieu d’en supposer un seul.

Capture d’écran : écran de restauration du portefeuille

Xverse utilise le sélecteur de portefeuille source pour choisir le chemin de dérivation utilisé par le client d’origine. Sélectionner la mauvaise source peut produire des adresses inattendues ou un solde nul, même lorsque la phrase de récupération elle-même est correcte.

Les adresses correspondent caractère par caractère, et le solde ainsi que l’historique sont revenus avec elles. C’est le résultat souhaité, et il vaut la peine de le dire clairement parce que la section la plus importante de toute revue de portefeuille est celle qui prouve que la sortie fonctionne.

Une réserve que ce test ne couvre pas : nous avons vérifié l’adresse Native SegWit. Toute personne détenant des Ordinals, des Runes ou des tokens BRC-20 devrait confirmer séparément l’adresse Taproot après une restauration, puisque c’est là que résident ces actifs, et un solde BTC correspondant ne dit rien à leur sujet.

Là où l’interface nous a embrouillés

Le portefeuille existe avant la sauvegarde. La configuration se termine, le portefeuille peut recevoir des fonds, et la phrase de récupération n’a pas été affichée. L’invite arrive au lancement suivant et peut être ignorée. Rien dans le flux n’indique entre-temps que le portefeuille n’est pas encore sauvegardé, et la séquence inverse discrètement la règle que tout guide de portefeuille enseigne.

Les modales promotionnelles concurrencent les invites de sécurité. Les pop-ups apparaissent assez souvent pendant l’utilisation normale pour devenir un bruit de fond.

Capture d’écran : pop-ups promotionnels de Xverse 

Points forts

• Des adresses de paiement Bitcoin et Taproot séparées réduisent le risque de dépenser accidentellement des inscriptions et des sats rares.
• La restauration testée a récupéré l’adresse Native SegWit, le solde et l’historique en moins d’une minute.
• Les devis d’achat sont comparés entre plusieurs fournisseurs au lieu d’être masqués derrière une seule intégration.
• Le portefeuille prend en charge les actifs natifs Bitcoin ainsi que Stacks, Starknet, Spark, Lightning et les voies de paiement en stablecoins.
• Xverse a publié un avis détaillé de première main et un correctif après son problème d’extension en 2023.

Limites

• L’extension et la bibliothèque principale sont disponibles en source sous une licence non commerciale restrictive, pas en open source.
• Aucun dépôt officiel public pour le client mobile n’a été trouvé.
• Le seul audit tiers public trouvé date de 2021 et précède la plupart des fonctionnalités actuelles.
• Le marketing de confidentialité de Xverse et sa politique de confidentialité décrivent la collecte de données différemment.
• Les fonctions de swap, de paiement, de Lightning, d’achat, de vente et de rendement dépendent de plusieurs fournisseurs externes.
• La configuration permet au portefeuille de devenir utilisable avant que la phrase de récupération ne soit sauvegardée.

À qui Xverse convient, et à qui il ne convient pas

Si vous détenez des Ordinals, des Runes ou des Rare Sats

La dérivation Taproot séparée est une protection structurelle précisément pour ces actifs. Un portefeuille qui agrège tous les satoshis peut dépenser une inscription de valeur comme partie des frais, et aucun soin au moment de l’envoi ne l’empêche de manière fiable.

Si vous achetez régulièrement du bitcoin par carte

Treize options avec comparaison des fournisseurs font quelque chose que la plupart des portefeuilles ne font pas : elles vous permettent de voir ce que les alternatives proposent au lieu de les masquer derrière une seule intégration. Sur des achats répétés, cette visibilité vaut plus que le raffinement de l’interface.

Si vous lisez le code avant d’accorder votre confiance

Les applications mobiles n’ont aucun dépôt public que nous ayons pu trouver, et le seul audit publié date de 2021 et couvre un produit qui ne ressemble plus à celui-ci. L’extension est la seule version que vous pouvez inspecter.

Si vous voulez une petite surface d’attaque

Les achats, les ventes, le staking, les paiements cross-chain, une application de swap externe et un portefeuille agent l’élargissent tous, et les modales promotionnelles fréquentes entraînent exactement le réflexe dont dépend une invite malveillante. Un portefeuille qui se contente d’envoyer et de recevoir du bitcoin vous donne moins d’endroits où approuver quelque chose que vous n’avez pas pleinement lu.

Si c’était votre premier portefeuille

L’ordre de configuration s’y oppose. Un portefeuille qui devient dépensable avant de vous montrer la phrase de récupération fait peser la responsabilité de remarquer sur quelqu’un qui ne sait pas encore quoi remarquer.

Verdict

Xverse est particulièrement adapté aux utilisateurs qui gèrent activement Bitcoin, les Ordinals, les Runes et d’autres actifs natifs Bitcoin depuis une seule interface. Son flux de restauration a bien fonctionné dans le scénario Xverse-vers-Xverse testé, mais son histoire de vérification est plus faible que ne le laisse entendre le marketing « open source et régulièrement audité ». C’est un portefeuille riche en fonctionnalités pour un usage actif, pas le choix le plus clair pour les utilisateurs qui privilégient une surface d’attaque minimale, un code client totalement ouvert et une couverture d’audit récente.

Alternatives

• Exodus — détient du Bitcoin aux côtés de dizaines d’autres actifs, avec une rampe d’entrée par carte et un chat en direct intégré à l’application. Son application principale n’est pas open source, donc le compromis face à Xverse va dans l’autre sens : couverture plus large et aide plus rapide, mais moins de choses à inspecter. Choisissez Exodus plutôt que Xverse si vous détenez un portefeuille mixte et que vous valorisez la réactivité du support plutôt que la gestion des actifs natifs Bitcoin.
• Trust Wallet — couvre Bitcoin, Ethereum, Solana et d’autres à partir d’une seule phrase de récupération, avec achats par carte dans l’application. Il ne propose pas la gestion des Ordinals, des Runes ou des BRC-20, donc toute personne détenant des artefacts natifs Bitcoin perd la séparation d’adresses sur laquelle Xverse est construit. À noter que l’extension de navigateur de Trust Wallet a subi un compromis confirmé en décembre 2025, affectant la version 2.68 et résolu en 2.69 — une catégorie d’événement que le dossier public de Xverse ne contient pas encore.
• Rabby — conçu exclusivement pour les réseaux EVM, sans aucune prise en charge de Bitcoin, donc complément plutôt que substitut pour la plupart des utilisateurs de Xverse. S’il est mentionné ici, c’est pour sa posture d’audit : Rabby publie une série de rapports tiers datés, qui constituent la référence à l’aune de laquelle il faut lire le seul document de 2021 de Xverse. Choisissez Rabby si vos avoirs sont uniquement EVM et que la vérifiabilité prime sur l’étendue des actifs.

Questions fréquentes

Combien coûte Xverse ?

Rien à installer ni à conserver comme actifs, et Secret Key Labs ne prélève aucune commission sur une opération du portefeuille. Vous payez les frais réseau Bitcoin on-chain, avec des niveaux de priorité ajustables sur l’écran d’envoi. Au-delà de cela, les tiers fixent leurs propres frais : le fournisseur d’achat lors d’un achat par carte, et Flashnet pour un paiement cross-chain.

Xverse est-il sûr à utiliser ?

Il est en auto-garde, et Xverse indique qu’il ne peut ni geler ni accéder aux fonds. Un incident figure au registre public, datant de juin 2023, lorsque des phrases de récupération ont atteint un journal Chrome non chiffré ; aucune perte n’a été signalée, et le problème a été corrigé en quelques jours. Notre test de restauration a été concluant. Les points plus faibles concernent la vérification plutôt que des incidents.

Xverse est-il open source ?

Il est partiellement ouvert. L’extension de navigateur, la bibliothèque principale et Sats Connect apparaissent sur GitHub, et l’avis de sécurité 2023 de Xverse limite lui-même cette affirmation à l’extension. Nous n’avons trouvé aucun dépôt public pour les applications iOS ou Android, donc les utilisateurs mobiles ne peuvent pas inspecter le code qu’ils exécutent. Xverse présente le produit comme open source, alors que les deux principaux dépôts publics du portefeuille utilisent une licence personnalisée restrictive.

Xverse a-t-il été audité ?

Une fois, publiquement. Least Authority a terminé un rapport le 27 août 2021, couvrant ce qu’elle décrivait comme une application de portefeuille mobile pour la blockchain Stacks. Nous n’avons trouvé aucun rapport publié couvrant les Ordinals, les Runes, l’agrégation de fournisseurs ou toute couche Bitcoin ajoutée depuis. L’expression « régulièrement audité » repose sur ce seul document vieux de cinq ans.

Pourquoi Xverse m’affiche-t-il deux adresses Bitcoin ?

L’écran Receive répertorie une adresse Native SegWit et une adresse Nested SegWit. Xverse sépare les familles d’actifs par type d’adresse, et sa documentation place les Ordinals, les Runes et les tokens BRC-20 sur une adresse Taproot distincte du bitcoin dépensable, de sorte qu’une inscription de valeur n’est jamais sélectionnée comme input d’un paiement ordinaire et perdue dans la monnaie rendue.

Puis-je échanger des coins directement dans Xverse ?

Xverse propose plusieurs voies de conversion et de paiement plutôt qu’un moteur de swap universel. Les swaps BTC-vers-STX se font dans le portefeuille via Changelly. Les swaps de Runes comparent plusieurs marchés et fournisseurs de liquidité. Une application Web distincte gère les conversions depuis des écosystèmes externes comme Ethereum ou Solana, tandis que la voie cross-chain de l’écran Send est un flux de paiement en stablecoins impliquant Flashnet.

Xverse exige-t-il une vérification d’identité ?

Non pour créer ou détenir un portefeuille — la configuration demande un mot de passe, rien de plus. Acheter ou vendre est différent, car ces opérations passent par des fournisseurs tiers qui appliquent leurs propres contrôles avant de libérer des fonds ou de l’argent. Xverse l’indique sur son propre site au lieu de vous laisser le découvrir par vous-même.

La phrase de récupération restaure-t-elle tout ?

Dans notre test, oui pour le Bitcoin. Nous avons réinstallé l’extension sur Windows, saisi la phrase, et l’adresse Native SegWit correspondait caractère par caractère, avec solde et historique intacts en moins d’une minute. Les détenteurs d’Ordinals ou de Runes devraient vérifier séparément l’adresse Taproot, puisque le solde BTC correspondant ne prouve rien à leur sujet.

Sources

Tous les liens ont été vérifiés le 19.08.2026.

• Site officiel de Xverse, page sécurité et FAQ
• Page sécurité et audits de Xverse
• Audit de Secret Key Labs Xverse Wallet par Least Authority, 27 août 2021
• Index des audits publiés par Least Authority
• Avis de sécurité Xverse : problème de chiffrement de l’extension Chrome, 7 juin 2023
• Dépôts publics de Secret Key Labs
• Support Xverse : comment swapper de ETH ou SOL vers BTC
• Support Xverse : solde insuffisant lors de l’inclusion des frais de transaction
• Support Xverse : comment les frais de transaction sont estimés
• Documentation développeur Xverse
• Xverse sur le Chrome Web Store