En 2019, le site officiel de Monero a distribué pendant quelques heures des binaires vérolés. Des gens ont perdu leurs fonds en téléchargeant depuis la bonne adresse. La parade tient en 6 étapes que presque personne fait — je viens de les refaire pour la mise à jour du 8 juillet. 🧵 --- 1. Télécharge uniquement depuis getmonero.org. Les moteurs de recherche affichent des clones payants au-dessus du vrai site : tape l'adresse à la main, une fois, et mets-la en favori. --- 2. Sur la même page, récupère le fichier hashes.txt. Il contient l'empreinte de chaque binaire officiel. Seul, il ne prouve rien : un attaquant qui remplace le binaire remplace aussi le fichier d'empreintes. --- 3. Ce fichier est signé avec la clé PGP du mainteneur. C'est cette signature qui fait tout le travail — vérifie-la, et compare l'empreinte de la clé avec plusieurs sources indépendantes, jamais avec la page que t'as sous les yeux. --- 4. Calcule l'empreinte de ton archive. Windows : certutil -hashfile ton-fichier.zip SHA256. Mac et Linux : shasum -a 256 ton-fichier. Une commande, deux secondes. --- 5. Compare caractère par caractère avec la ligne correspondante de hashes.txt. Si un seul caractère diffère, tu supprimes tout et tu recommences. Il n'y a pas de « presque bon ». --- 6. Refais-le à chaque mise à jour, pas juste la première fois. La dernière, la 0.18.5.1 du 8 juillet, améliore la façon dont ton nœud évite les nœuds espions : elle vaut le détour, et elle vaut la vérification. --- Cinq minutes pour vérifier que le logiciel qui détient tes clés est bien celui que les développeurs ont publié. C'est le geste le moins glamour de tout l'écosystème, et le seul qui te protège d'une attaque qui a déjà eu lieu.