Créer un plan de sécurité pour une exploitation minière à domicile : protections physiques et numériques

Une opération de minage à domicile est une cible inhabituelle. C’est du matériel de valeur qui s’annonce de lui-même — il vrombit, il pousse de l’air chaud, il tire une puissance stable — et il est branché à Internet, détient les identifiants de pool, et se trouve à proximité du portefeuille où aboutissent vos récompenses de bloc. La plupart des mineurs à domicile ne sécurisent rien de tout cela jusqu’à ce que quelque chose tourne mal : un mineur disparaît d’un garage, un panneau de contrôle est accessible sur un réseau ouvert, ou un portefeuille mal sécurisé est vidé. La sécurité n’est pas de la paranoïa. C’est la différence entre une opération que vous possédez et une qui devient discrètement le problème d’exploitation de quelqu’un d’autre.

C’est la souveraineté en pratique — vous ne pouvez pas faire fonctionner une opération auto-custodiale et décentralisée si vous ne contrôlez pas l’accès physique et numérique. D-Central aide les mineurs canadiens à domicile à bâtir des installations durables depuis 2016, et un vrai plan de sécurité fait partie d’une installation durable. Voici comment en construire un : la couche physique, la couche numérique, et le plan de réponse pour le jour où quelque chose passe quand même.

Commencez par un modèle de menaces, pas une liste d’achats

Avant d’acheter une seule caméra ou de configurer une seule règle de firewall, demandez-vous contre quoi vous vous protégez vraiment. Vos menaces ne sont pas un hold-up de film. Elles sont banales et précises :

• Vol opportuniste. Quelqu’un remarque le matériel — par une fenêtre, une photo publiée, des propos imprudents — et le mineur est assez portable pour être emporté.
• Intrusion réseau. L’interface web d’un mineur accessible depuis un réseau non sécurisé, ou des identifiants par défaut jamais changés, permettant à quelqu’un de rediriger votre hashrate ou de bricker l’appareil.
• Compromission du portefeuille. Hameçonnage, logiciel malveillant, ou une phrase de récupération mal stockée qui vous sépare de vos bitcoins minés — la cible à la plus haute valeur et au moindre effort de toutes.
• Défaillance environnementale et opérationnelle. Un incident électrique, une panne par surchauffe, ou une interruption que vous ne remarquez pas pendant des jours. La fiabilité fait partie de la sécurité — une opération qui échoue en silence n’est pas sécurisée.

Concentrez vos efforts sur les menaces qui s’appliquent réellement à vous. Un seul Bitaxe sur un bureau dans une maison sécurisée a un profil de menaces très différent d’un rack d’ASICs complets dans un garage détaché. Adaptez le plan à la réalité.

La couche physique : protéger le matériel

Hors de vue, hors d’esprit

La sécurité physique la moins chère et la plus efficace, c’est de ne pas être une cible connue. Ne placez pas les mineurs là où ils sont visibles par une fenêtre. Soyez prudent avec ce que vous publiez — une photo de votre installation avec des détails identifiants est de la reconnaissance que vous avez offerte gratuitement. La communauté Bitcoin partage librement, mais un rack de matériel géolocalisable publiquement est une invitation.

Un espace dédié et verrouillable

Dans la mesure du possible, faites tourner l’opération dans une pièce dédiée avec une porte à âme pleine et un vrai verrou. Cela fait double emploi — cela sécurise le matériel, contient le bruit, et vous permet de gérer le flux d’air et la poussière comme un environnement contrôlé unique (voir notre guide pour un environnement de minage sans poussière). Pour une installation plus petite, même une armoire verrouillable augmente l’effort requis pour partir avec votre matériel.

Surveillance et alertes

Une caméra couvrant l’espace de minage, avec des alertes de mouvement sur votre téléphone, transforme « j’ai découvert trois jours plus tard » en « j’ai su immédiatement ». Associez-la à des capteurs de porte/fenêtre sur la pièce de minage. Le but n’est pas d’arrêter un intrus déterminé — c’est de savoir à l’instant où quelque chose ne va pas, tant que vous pouvez encore agir.

La protection environnementale, c’est aussi de la sécurité

Une opération mise hors service par une surtension ou une panne par surchauffe est tout aussi hors ligne qu’une prise par le vol. Placez l’opération derrière une protection contre les surtensions de qualité. Envisagez un UPS pour qu’une brève panne ne signifie pas un arrêt brutal et non contrôlé de chaque mineur à la fois. Utilisez une surveillance environnementale — capteurs de température et d’humidité — pour qu’un problème thermique vous alerte avant de devenir un dommage matériel. Les mineurs résidentiels de D-Central aident ici par conception : l’Antminer Loki Edition, le Slim Edition et le BitChimney fonctionnent tous en silence sur l’alimentation domestique standard, ce qui les rend plus faciles à loger dans un espace contrôlé, sécurisé et surveillé plutôt que dans un coin exposé. Parcourez les alimentations et les outils de surveillance pour l’équipement de soutien.

La couche numérique : protéger le réseau et le mineur

Segmentez le réseau de minage

La mesure numérique à la plus haute valeur : ne faites pas tourner vos mineurs sur le même réseau plat que vos portables, téléphones et gadgets de maison intelligente. Placez-les sur un VLAN séparé ou un routeur dédié. Si un mineur est compromis, la segmentation contient les dégâts. Si un appareil sur votre réseau domestique est compromis, vos mineurs ne sont pas automatiquement exposés. Câblez tout en Ethernet tant que vous y êtes — plus fiable que le WiFi et plus facile à contrôler.

Éliminez les valeurs par défaut, verrouillez l’interface

Chaque mineur est livré avec des identifiants par défaut. Changez-les immédiatement — c’est la principale façon dont des mineurs sont accédés par des personnes qui ne devraient pas y avoir accès. L’interface web/de gestion du mineur ne devrait jamais être exposée directement à Internet. Si vous avez besoin d’un accès à distance, faites-le via un VPN vers votre réseau domestique, pas en faisant du port-forwarding du mineur. Utilisez des mots de passe forts et uniques sur chaque compte — interfaces de mineur, comptes de pool, votre routeur — et un gestionnaire de mots de passe pour les garder en ordre.

Firewall et contrôle d’accès

Un firewall correctement configuré — au routeur, sur le VLAN de minage — contrôle ce qui peut parler à vos mineurs et ce à quoi ils peuvent parler. Bloquez l’accès entrant aux ports de gestion. Journalisez et examinez. Vous n’avez pas besoin d’équipement d’entreprise; vous avez besoin du firewall que vous avez déjà, configuré délibérément au lieu d’être laissé aux valeurs par défaut.

Gardez le firmware à jour — de sources de confiance

Les mises à jour de firmware corrigent les problèmes de sécurité. Exécutez un firmware à jour, mais seulement de sources auxquelles vous faites confiance — un firmware de mineur malveillant qui siphonne les récompenses ou détourne le hashrate est une réalité. Pour le matériel de classe Antminer, cela signifie des options établies : VNish, BraiinsOS+, LuxOS, ou le DCENT OS open source de D-Central. Le firmware open source a ici un vrai avantage en sécurité — vous (ou la communauté) pouvez auditer ce qui tourne réellement sur votre matériel, plutôt que de faire confiance à un binaire fermé. Téléchargez depuis les canaux officiels, jamais depuis un lien au hasard dans un message de forum.

Surveillez l’opération

Mettez en place une surveillance qui vous alerte lorsqu’un mineur tombe hors ligne, perd une hashboard, surchauffe, ou montre un hashrate qui part quelque part d’inattendu. Un mineur discrètement pointé vers le pool de quelqu’un d’autre, ou discrètement bridé, est un problème que vous voulez attraper en minutes, pas en semaines.

La cible à la plus haute valeur : votre Bitcoin

Tout ce qui précède protège l’opération. Ceci protège la raison pour laquelle vous la faites tourner. Vos bitcoins minés sont l’actif le plus précieux, le plus portable et le plus ciblé de toute l’installation — et les sécuriser est une discipline à part entière.

• Auto-garde dans un portefeuille matériel. Les bitcoins minés devraient aboutir dans un portefeuille que vous contrôlez, avec les clés détenues hors ligne sur un appareil matériel. Pas sur un exchange, pas dans un portefeuille chaud connecté à la machine qui gère vos mineurs.
• Protégez la phrase de récupération comme si c’était l’argent — parce que c’en est. Stockez votre seed de récupération hors ligne, physiquement, idéalement en plus d’un endroit sécurisé. Ne la tapez jamais dans un ordinateur, ne la photographiez jamais, ne la stockez jamais dans le nuage. La seed est le point unique de perte totale.
• Envisagez le multisig pour les avoirs plus importants. Un portefeuille multi-signature exige plusieurs clés pour déplacer les fonds, donc une seule clé compromise n’est pas catastrophique. À mesure que votre stack grandit, la complexité en vaut la peine.
• Activez le 2FA partout où il existe. Comptes de pool, comptes d’exchange (si vous en utilisez un pour vendre), courriel — partout où une connexion protège quelque chose qui touche votre Bitcoin. Utilisez une application d’authentification ou un jeton matériel, pas le SMS lorsque vous pouvez l’éviter.
• Partez du principe que l’hameçonnage est constant. La façon la plus courante pour les mineurs à domicile de perdre des bitcoins n’est pas un mineur piraté — c’est une personne trompée pour saisir une phrase de récupération ou approuver une transaction. Ralentissez, vérifiez, n’agissez jamais sous l’urgence.

C’est la mission de décentralisation en pratique personnelle : détenez vos propres clés, sécurisez-les vous-même, ne dépendez d’aucun dépositaire. Une opération de minage qui canalise ses récompenses dans la garde de quelqu’un d’autre a abandonné la moitié de l’intérêt.

Le plan de réponse : quand quelque chose passe

Aucun plan n’est parfait. Un vrai plan de sécurité inclut ce que vous faites lorsqu’il échoue :

1. Contenir. Vous soupçonnez une compromission réseau? Déconnectez immédiatement les mineurs touchés du réseau. Vous soupçonnez une exposition du portefeuille? Déplacez les fonds vers un portefeuille neuf avec une nouvelle seed, depuis un appareil propre, maintenant.
2. Évaluer. Déterminez ce qui a réellement été atteint. Matériel? Réseau? Identifiants? Le portefeuille? La portée vous dit jusqu’où la réponse doit aller.
3. Rotation. Changez chaque identifiant qui pourrait être impliqué — interfaces de mineur, comptes de pool, routeur, courriel. Reflashez le firmware du mineur depuis une source de confiance si vous soupçonnez une altération.
4. Récupérer. Restaurez depuis des sauvegardes connues comme saines. Remettez les mineurs en ligne seulement une fois que vous êtes confiant que le chemin d’accès est fermé.
5. Réviser. Comprenez comment cela s’est produit et fermez cette faille précise. Une brèche dont vous tirez des leçons est une opération durcie; une dont vous n’en tirez pas est une brèche qui attend de se répéter.

Appuyez cela sur une vraie discipline de sauvegarde à l’avance : sauvegardes de portefeuille stockées hors ligne de façon sécurisée, configuration des mineurs documentée, et un processus de récupération testé. Une sauvegarde que vous n’avez jamais testée est une supposition.

Des choix matériels qui facilitent la sécurité

Une partie de la bataille de sécurité se gagne à la décision d’achat — un matériel facile à loger de façon sécurisée, à faire tourner en silence et à surveiller est un matériel facile à sécuriser :

• Antminer Loki Edition — S19/S19j Pro/S19k Pro modifié pour le résidentiel (42/48/56 TH/s), 110V/240V, ventilateurs silencieux. Assez silencieux pour vivre dans une pièce intérieure verrouillée plutôt que dans un espace détaché vulnérable.
• Antminer Slim Edition — 26-44 TH/s à 860-930W dans un châssis compact imprimé en 3D. Empreinte réduite, tient dans une armoire ou un placard sécurisé.
• The BitChimney — S19-series à une seule hashboard, ~21-24 TH/s, ~600-650W, ~40-45 dB, prise 120V standard. Silencieux et autonome.
• Bitaxe — le mineur solo monoplaque open source ~15W. Assez petit et peu gourmand pour rester entièrement hors de vue, et son firmware open source est auditable.

Si le matériel est endommagé — lors d’une effraction, d’un incident électrique, ou d’un acte de sabotage — le service de réparation ASIC de D-Central assure la récupération au niveau des cartes pour des dizaines de modèles, en tant qu’autorité de réparation en Occident. Et si votre opération a dépassé ce que vous pouvez sécuriser physiquement à domicile, l’hébergement de minage de D-Central déplace le matériel dans une installation conçue pour la sécurité physique et opérationnelle.

Possédez votre opération, de bout en bout

Un plan de sécurité pour le minage à domicile n’est pas un produit que vous achetez — c’est un ensemble de décisions délibérées sur trois couches. Physiquement : restez hors des radars, verrouillez l’espace, surveillez-le, protégez-vous contre les pannes électriques et thermiques. Numériquement : segmentez le réseau, éliminez les valeurs par défaut, verrouillez l’interface, exécutez un firmware de confiance, surveillez tout. Et surtout : auto-gardez votre Bitcoin, protégez la phrase de récupération comme l’argent qu’elle représente, et partez du principe que l’hameçonnage essaie toujours. Ajoutez un plan de réponse pour le jour où quelque chose passe, et vous avez une opération que vous contrôlez réellement.

Bâtissez-la sur un matériel qui facilite les choses. Explorez le matériel de minage à domicile de D-Central, et lisez le guide complet Comment miner du Bitcoin à domicile pour voir comment la sécurité s’inscrit dans l’image d’ensemble.

Questions fréquentes

Quelle est la mesure de sécurité la plus importante pour le minage à domicile?

Sécuriser votre Bitcoin lui-même — l’auto-garde dans un portefeuille matériel avec la phrase de récupération stockée hors ligne en toute sécurité. Les mineurs sont précieux, mais ils sont remplaçables et assurables; des bitcoins minés sortis de votre contrôle par un portefeuille compromis ou une attaque d’hameçonnage sont perdus. Sur le plan opérationnel, la mesure unique à la plus haute valeur est de segmenter votre réseau de minage de votre réseau domestique principal.

Devrais-je exposer l’interface de mon mineur à Internet pour un accès à distance?

Non. L’interface de gestion d’un mineur ne devrait jamais être directement accessible depuis Internet — c’est l’une des façons les plus courantes dont les mineurs sont accédés par des attaquants. Si vous avez besoin d’un accès à distance, connectez-vous via un VPN vers votre réseau domestique au lieu de faire du port-forwarding du mineur. Et changez les identifiants par défaut avant que le mineur ne touche jamais votre réseau.

Le firmware de minage open source est-il plus sécurisé?

Il a un vrai avantage : le firmware open source peut être audité, donc vous ou la communauté pouvez vérifier ce qui tourne réellement sur le matériel plutôt que de faire confiance à un binaire fermé. Les options établies pour le matériel de classe Antminer incluent VNish, BraiinsOS+, LuxOS, et le DCENT OS open source de D-Central. Peu importe ce que vous exécutez, installez-le seulement depuis les canaux officiels — un firmware malveillant qui siphonne les récompenses est une menace réelle.

Comment protéger mon opération de minage contre le vol?

La mesure la moins chère est de rester hors des radars — gardez les mineurs hors de vue des fenêtres, et soyez prudent avec ce que vous publiez publiquement. Au-delà : une pièce ou armoire dédiée verrouillable, une caméra avec alertes de mouvement sur votre téléphone, et des capteurs de porte/fenêtre sur l’espace de minage. L’objectif est d’être une cible à faible effort qui vous alerte aussi immédiatement si quelque chose ne va pas.

Que faire si je pense que mon opération de minage a été compromise?

Contenez d’abord — déconnectez les mineurs touchés du réseau, et si vous soupçonnez une exposition du portefeuille, déplacez immédiatement les fonds vers un portefeuille neuf avec une nouvelle seed depuis un appareil propre. Ensuite, évaluez ce qui a été atteint, faites la rotation de chaque identifiant qui pourrait être impliqué, reflashez le firmware depuis une source de confiance si une altération est soupçonnée, restaurez depuis des sauvegardes connues comme saines, et enfin révisez comment cela s’est produit pour fermer cette faille précise.