Cake Wallet est-il sûr ?
Cake Wallet est un portefeuille légitime, open source et en auto-garde, en activité depuis 2018, et pour la plupart des utilisateurs il est sûr s'il est installé depuis une source officielle et correctement sauvegardé. Son pire incident a été la génération de seeds Bitcoin faibles par les versions de 2020–2021, révélée par Cake en mai 2021. La plupart des pertes réelles proviennent de fausses applis, d'hameçonnage et de seeds partagés, pas de l'appli elle-même.
Pour un portefeuille en auto-garde, « sûr » recouvre deux choses : le logiciel protège-t-il vos clés, et pouvez-vous éviter les arnaques qui gravitent autour ? Cette page traite des deux, avec les dates, en octobre 2026.
La réponse courte
- Légitime : oui. Cake Wallet est développé par Cake Labs, est présent sur l'App Store depuis 2018 et publie son code sur GitHub sous licence MIT.
- Vos clés restent chez vous : les cryptos on-chain sont non custodiales. Cake ne peut ni geler, ni annuler, ni récupérer vos fonds.
- Pas sans défaut : il a connu une faille grave (seeds Bitcoin faibles en 2020–2021), un avis de sécurité modéré en 2026, et ses builds ne peuvent pas être reproduits de manière indépendante.
- Plus grand risque : les humains, pas le code. Les fausses applis, le faux support et le vol de seed représentent la plupart des pertes dont nous voyons parler.
Facteurs de sécurité
| Facteur | Statut (octobre 2026) |
|---|---|
| Garde | Non custodial pour les cryptos on-chain ; clés créées et stockées sur votre appareil |
| Code source | Public sur GitHub, licence MIT |
| Builds reproductibles | Non ; Cake indique que ses builds ne sont pas encore reproductibles |
| Versions signées | En septembre 2026, Cake a publié une clé de release pour signer les fichiers de checksums et les tags de version ; les versions sans fichier de checksums signé listent les empreintes SHA-256 dans les notes |
| Audit indépendant | Aucun audit de l'appli trouvé |
| Signalement des vulnérabilités | Politique de sécurité avec un canal privé d'avis GitHub et une adresse e-mail chiffrée |
| Compte ou KYC | Aucun pour le portefeuille |
| Collecte de données | L'étiquette de l'App Store indique « Data Not Collected » [Aucune donnée collectée] (déclaré par le développeur) |
| Protection de l'appli | PIN, biométrie, Cake 2FA facultatif, Duress PIN |
Les seeds Bitcoin faibles de 2020–2021
C'est l'incident le plus important. Les versions de Cake Wallet publiées en 2020 et au début de 2021 généraient des portefeuilles Bitcoin avec un générateur de nombres aléatoires non sécurisé. Les seeds concernés sont les seeds Bitcoin de 12 mots de type Electrum (« Segwit »). Les chercheurs estiment que l'aléa effectif était si faible qu'un attaquant peut reconstituer les clés.
| Date | Événement |
|---|---|
| 10 mai 2021 | La version 4.1.7 modifie la génération des seeds Bitcoin |
| 11 mai 2021 | La version 4.2.0 ajoute une bannière dans l'appli demandant aux utilisateurs de recréer leurs portefeuilles ; en mai 2021, Cake révèle publiquement le problème et demande aux utilisateurs de créer de nouveaux portefeuilles et d'y transférer leurs fonds |
| Décembre 2023 | Cake ajoute un avertissement dans l'appli pour les utilisateurs qui utilisent encore un seed faible connu (code fusionné le 18 décembre 2023, livré vers la version 4.12.0), à partir de données sur plus de 8 700 portefeuilles fournies par les chercheurs de Milk Sad |
| Mai 2024 | L'équipe Milk Sad publie une analyse technique |
| À partir du 21 mai 2024 | Les chercheurs estiment que les transactions sortantes importantes depuis les portefeuilles faibles sont en majorité malveillantes |
Les chercheurs ont recensé 8 757 portefeuilles faibles et environ 548,9 BTC passés par eux entre novembre 2020 et octobre 2024 ; tout n'a pas été volé, et aucun chiffre total des pertes n'a été publié (mise à jour des recherches Milk Sad, 2024). À notre connaissance, Monero, Litecoin et les autres cryptos n'ont pas été touchés.
Que faire : si vous avez un seed Bitcoin de 12 mots créé dans Cake Wallet en 2020 ou au début de 2021, ou si vous avez importé un tel seed dans un autre portefeuille, considérez-le comme compromis. Créez un nouveau portefeuille avec une version récente et transférez immédiatement les fonds restants. Notre identificateur de type de seed vous aide à identifier le type de seed d'après le seul nombre de mots. Ne tapez jamais les mots eux-mêmes sur un site web.
Ce que l'open source prouve, et ce qu'il ne prouve pas
Le code open source permet à chacun de lire comment Cake Wallet crée les clés, communique avec les nodes et construit les transactions. C'est ce qui a permis à des chercheurs externes d'étudier en détail la faille des seeds de 2021, et cela signifie que les modifications du code se font publiquement sur GitHub.
Il ne prouve pas que l'appli du store a été compilée à partir de ce code. Cake indique que ses builds ne sont pas encore reproductibles : vous ne pouvez donc pas compiler le code vous-même et obtenir un fichier identique à comparer (Cake Wallet VERIFY.md, 2026). Ce que vous pouvez vérifier, c'est l'authenticité d'un téléchargement : en septembre 2026, Cake a publié une clé de release pour signer les fichiers de checksums et les tags des nouvelles versions, chaque version liste des empreintes SHA-256, et les APK Android de GitHub, d'Accrescent et du dépôt F-Droid de Cake partagent un même certificat de signature. Notre guide de téléchargement montre comment vérifier les deux.
Nous n'avons pas non plus trouvé d'audit de sécurité indépendant publié de l'appli Cake Wallet en octobre 2026. Cake applique toutefois une politique de divulgation des vulnérabilités : les chercheurs peuvent signaler des problèmes en privé via GitHub ou par e-mail chiffré, et Cake publie des avis une fois les correctifs livrés.
Autres avis de sécurité
Le 4 septembre 2026, Cake a publié l'avis GitHub GHSA-695v-fhpj-fv8x, classé modéré. Dans les versions 6.1.2 à 6.3.0, une demande de paiement de type Ethereum pouvait être préparée sur le mauvais réseau EVM car le chain ID était perdu. Le risque était un paiement échoué ou mal acheminé, pas un vol de clés, et le problème a été corrigé dans la 6.4.4. Passez à la dernière version. La liste complète des incidents se trouve sur notre page historique de sécurité.
La question Lightning
Lightning, ajouté dans la version 6.0 (février 2026), fonctionne sur le réseau Spark via le Breez SDK. Cake le présente comme en auto-garde, sans canaux à gérer. Sa documentation indique aussi que les transferts Spark sont cosignés par un petit groupe d'opérateurs autorisés qui peuvent voir les montants et les adresses (documentation Cake Wallet, 2026).
Le 6 octobre 2026, WalletScrutiny a reclassé Cake Wallet comme « Custodial » car, selon son analyse, l'appli n'offre aucun moyen de ramener un solde Lightning on-chain sans les opérateurs. Ce jugement ne porte que sur le solde Lightning ; il ne concerne ni Monero, ni le Bitcoin on-chain, ni les autres cryptos. Par prudence, ne gardez sur Lightning que de l'argent de poche. Voir Lightning dans Cake Wallet.
Confidentialité et sécurité
Par défaut, Cake Wallet se connecte aux nodes et services de Cake. C'est pratique, mais ces services peuvent voir votre adresse IP et les données de portefeuille que vous demandez. Pour plus de confidentialité, utilisez votre propre node ou Tor. Une réserve : pour les Silent Payments, si votre propre serveur Bitcoin ne dispose pas de l'index requis, la documentation de Cake indique que l'appli se rabat sur un serveur Cake. Détails dans confidentialité et Tor et nodes personnalisés.
Où les pertes se produisent vraiment
- Les fausses applis et les sites clones qui demandent votre seed. N'installez qu'à partir des sources officielles listées dans notre guide de téléchargement et vérifiez les liens avec le vérificateur de téléchargement.
- Le faux support. Cake Wallet affirme que son support ne vous demandera jamais votre seed, et que toute personne qui vous contacte en premier pour vous proposer de l'aide est presque toujours un escroc (documentation Cake Wallet, 2026).
- Le seed stocké en ligne dans des captures d'écran, des applis de notes, des espaces cloud ou des e-mails.
- Une mauvaise adresse ou un mauvais réseau. Les transactions sont irréversibles. Utilisez le vérificateur d'adresses et envoyez d'abord un petit montant test.
- Les services de « récupération » qui promettent de récupérer des cryptos volées. Ce sont des arnaques.
D'autres signaux d'alerte dans fausses applis et arnaques Cake Wallet.
Liste de contrôle de sécurité
- Installez depuis l'App Store, Google Play, Accrescent, le dépôt F-Droid de Cake ou GitHub, en y accédant après avoir tapé cakewallet.com vous-même.
- Gardez l'appli à jour.
- Notez chaque seed sur papier et conservez-le hors ligne. Pour un seed Monero de 25 mots, notez aussi la restore height. Voir sauvegarde du seed.
- Choisissez un PIN robuste ; envisagez Cake 2FA. Cake précise que la 2FA protège contre quelqu'un qui a votre téléphone, pas contre quelqu'un qui a votre seed.
- Pour des montants importants, utilisez un portefeuille matériel ou Cupcake. Voir Ledger et Trezor.
- Remplacez tout ancien portefeuille Bitcoin Cake avec un seed Electrum de 12 mots datant de 2020–2021.
- Ne partagez jamais votre seed, et ignorez quiconque vous contacte en premier.
Si vous pensez que votre portefeuille est compromis
Cake conseille de créer immédiatement un nouveau portefeuille pour chaque crypto concernée et d'y transférer les fonds restants, de cesser d'utiliser l'ancien portefeuille, de tout documenter et de signaler le vol à la police et au support de Cake (documentation Cake Wallet, 2026). Un attaquant peut mettre plus longtemps à synchroniser un portefeuille Monero, ce qui peut vous laisser un court délai pour agir. N'envoyez jamais d'argent supplémentaire à des « spécialistes de la récupération ».
Questions fréquentes
Cake Wallet est-il légitime ?
Oui. C'est un vrai portefeuille open source développé par Cake Labs et disponible sur l'App Store depuis 2018. Des copies frauduleuses existent : n'installez qu'à partir des sources officielles.
Cake Wallet a-t-il été piraté ?
Nous n'avons trouvé aucune intrusion dans les systèmes de Cake ayant exposé des fonds d'utilisateurs. Le problème grave concernait les seeds Bitcoin faibles générés par les versions de 2020–2021, et les chercheurs estiment que, depuis le 21 mai 2024, les transactions sortantes importantes depuis ces portefeuilles sont en majorité malveillantes, lorsque les utilisateurs n'avaient jamais transféré leurs fonds.
Cake Wallet peut-il voir ou geler mes fonds ?
Non, pas pour les cryptos on-chain. Cake ne peut ni geler, ni annuler, ni récupérer des transactions. Les serveurs de Cake peuvent voir votre adresse IP, sauf si vous utilisez Tor ou votre propre node.
Cake Wallet est-il sûr pour de gros montants ?
Pour des sommes importantes, associez-le à un Ledger ou un Trezor, ou utilisez Cupcake comme signataire hors ligne, et conservez la sauvegarde du seed hors ligne.
Le support de Cake Wallet vous contacte-t-il parfois en premier ?
Cake Wallet affirme que toute personne qui vous contacte en premier en se présentant comme le support est presque toujours un escroc, et que son support ne vous demandera jamais votre seed.
Mes fonds Monero sont-ils concernés par la faille de seeds de 2021 ?
Non. La faille touchait les seeds Bitcoin de 12 mots de type Electrum créés en 2020 et au début de 2021, pas les seeds Monero.