Comment activer la liste blanche de retrait Binance ? Ajout d'adresses et période de refroidissement

La liste blanche de retrait est un verrou du compte Binance qui limite les retraits « uniquement vers ces adresses-là ». Une fois activée, connectez-vous sur le site officiel de Binance → [Compte] → [Sécurité] → [Liste blanche de retrait] pour ouvrir l'interrupteur principal, puis allez dans [Carnet d'adresses] pour y ajouter vos adresses. Une adresse nouvellement ajoutée doit patienter 24 heures avant de pouvoir servir, alors qu'une adresse déjà ancienne reste utilisable immédiatement. Dans notre test, une fois cette liste activée, même si le mot de passe et la 2FA du compte étaient hameçonnés, l'attaquant ne pourrait pas retirer les fonds vers ses propres adresses sans attendre 24 heures de plus — une fenêtre suffisante pour détecter l'intrusion et geler le compte.

L'activation complète prend 5 minutes, et ajouter une seule adresse prend 1 minute (hors période de refroidissement). Mais beaucoup de gens ratent une étape au départ : sans avoir activé l'interrupteur principal de la liste blanche, avoir simplement rempli le carnet d'adresses ne sert à rien — le compte peut toujours retirer vers n'importe quelle adresse, comme si rien n'était activé.

Liste blanche vs carnet d'adresses — deux choses différentes

Ce tableau résume la différence, clarifiée lors de ce test :

Nom	Fonction	Limite-t-elle les retraits	État par défaut
Carnet d'adresses (Address Management)	Enregistre les adresses de retrait fréquentes, sélectionnables dans un menu déroulant	Non	Activé par défaut
Interrupteur principal de la liste blanche (Whitelist)	Limite les retraits aux seules adresses de la liste blanche	Oui	Désactivé par défaut
Période de refroidissement (Cooldown)	Une nouvelle adresse ne peut pas servir aux retraits pendant 24 heures	Oui	Automatique

Beaucoup confondent « ajouter une adresse au carnet » avec « l'ajouter à la liste blanche » — ce n'est en réalité que la première étape. Le carnet d'adresses est un simple favori qui évite de recopier l'adresse à chaque retrait, mais il ne restreint en rien les retraits vers des adresses hors carnet. Le vrai mécanisme de sécurité, c'est l'interrupteur principal de la liste blanche combiné à la période de refroidissement.

Étape 1 : activer l'interrupteur principal de la liste blanche

Ouvrez l'application officielle Binance, allez dans [Plus] → [Sécurité] → cherchez [Liste blanche de retrait] (ou Withdrawal Whitelist en anglais). Cette option est désactivée par défaut, l'interrupteur se trouve à droite.

Appuyez sur l'interrupteur → une explication s'affiche → saisissez le code 2FA à 6 chiffres → le code de vérification email à 6 chiffres → le code SMS à 6 chiffres (si vous l'avez lié) → validez. Vérifier ces trois codes simultanément est la procédure standard pour activer ce genre de fonction sensible, afin de confirmer qu'il s'agit bien du titulaire du compte.

Une fois validé, l'interrupteur passe au vert : à partir de cet instant, toute demande de retrait vérifie d'abord si l'adresse de destination figure dans le carnet d'adresses et si sa période de refroidissement est écoulée. Si ce n'est pas le cas, le bouton de retrait est directement désactivé, la requête n'est même pas envoyée.

Attention : l'activation de la liste blanche n'affecte pas les retraits déjà en cours de traitement, ceux-ci suivent leur processus normal. La nouvelle règle ne s'applique qu'aux demandes de retrait lancées après l'activation.

Étape 2 : ajouter une adresse à la liste blanche

Allez dans [Portefeuille] → [Carnet d'adresses] (parfois appelé [Gestion des adresses] / [Address Management]), puis cliquez sur [Ajouter une adresse]. Pour chaque adresse, il faut remplir :

Champ	Que saisir	Remarque
Étiquette (Label)	Un nom personnalisé, ex. OKX-BTC-cold	Peu importe la langue, 30 caractères max
Devise (Coin)	Choisir BTC / ETH / USDT etc.	Une ligne par devise, l'USDT multi-chaîne doit être ajouté séparément par réseau
Réseau (Network)	TRC20 / ERC20 / BEP20 etc.	Obligatoire, un mauvais réseau et les fonds sont perdus
Adresse (Address)	Copier-coller	Vérifiez bien les 4 premiers et 4 derniers caractères
Mémo (Memo)	Requis pour certaines chaînes (XRP/EOS etc.)	Laisser vide si non nécessaire
Ajouter à la liste blanche (Whitelist)	Cocher cette case	Essentiel, sinon ce n'est qu'un simple carnet d'adresses

Cette dernière case [Ajouter à la liste blanche] doit impérativement être cochée, sinon ce n'est qu'une entrée ordinaire du carnet, sans entrer dans la liste blanche. C'est cette case qui déclenche le décompte des 24 heures de refroidissement.

Nous avons ajouté 5 adresses cette fois-ci, en remplissant à chaque fois la devise, le réseau, l'étiquette et le mémo. Une fois l'ajout terminé, le statut affiché était « En attente d'activation, reste 23:58:42 ».

Étape 3 : attendre la période de refroidissement — 24 heures incontournables

Dès l'ajout, le système enregistre l'horodatage, et pendant les 24 heures suivantes cette adresse ne peut pas servir à un retrait. Sur la page de retrait, sélectionner cette adresse affiche « Adresse en période de refroidissement, disponible dans X heures X minutes », et le bouton devient gris.

Les 24 heures sont une règle fixe du contrôle de risque de Binance, impossible à accélérer, impossible à contourner via le support, impossible à débloquer contre paiement. Ce mécanisme est conçu pour donner au « véritable titulaire du compte » 24 heures de réaction — si un attaquant vient d'ajouter une nouvelle adresse, vous avez encore ces 24 heures pour le détecter, changer votre mot de passe et supprimer l'adresse.

Ce qui reste possible pendant le refroidissement :

• Modifier l'étiquette ou le mémo de cette adresse (ne relance pas le décompte)
• Supprimer cette adresse (effet immédiat, sans attendre le refroidissement)
• Retirer vers d'autres adresses déjà sorties de refroidissement (aucun impact)

Ce qui est impossible pendant le refroidissement :

• Utiliser cette adresse pour un retrait (bouton grisé)
• Faire passer l'adresse de « en refroidissement » à « disponible immédiatement » (aucune option de ce type)

Si vous avez besoin de retirer immédiatement alors que toutes vos adresses sont encore en refroidissement, la seule solution est de désactiver l'interrupteur principal de la liste blanche → effectuer un retrait → puis le réactiver. Mais désactiver la liste blanche entraîne elle aussi 24 heures de refroidissement. Cette imbrication est volontaire.

Étape 4 : supprimer une adresse — effet immédiat

[Carnet d'adresses] → repérez l'adresse à supprimer → cliquez sur [Supprimer] → saisissez le code 2FA → confirmez. La suppression est immédiate, sans période de refroidissement.

C'est une autre conception de sécurité : ajouter une adresse demande 24 heures de refroidissement, la supprimer est instantané. Cette asymétrie s'explique parce qu'ajouter une adresse élargit la surface d'attaque (un attaquant pourrait retirer vers cette adresse), tandis que la supprimer la réduit (plus aucun retrait possible vers elle). Il est logique qu'un mécanisme de sécurité penche vers la « réduction ».

Si vous constatez une activité suspecte sur votre compte, la première chose à faire est de supprimer toutes les adresses de la liste blanche que vous ne reconnaissez pas, puis de désactiver immédiatement l'interrupteur principal de la liste blanche → et de le réactiver ensuite (la réactivation ne nécessite pas de refroidissement mais demande la 2FA), ce qui revient à remettre à zéro « qui peut retirer où ».

Notre chronologie de test

Heure	Action	Résultat
10h02	Activation de l'interrupteur principal de la liste blanche	Effet immédiat
10h05	Ajout de l'adresse BTC d'OKX	Entrée en refroidissement
10h08	Ajout de l'adresse USDT-TRC20 d'OKX	Entrée en refroidissement
10h12	Ajout d'une adresse ETH auto-hébergée	Entrée en refroidissement
10h15	Tentative d'envoi de 0,001 BTC vers l'adresse BTC	Bouton grisé, refroidissement restant 23h47
10h20	Mauvais réseau choisi (USDT sélectionné en ERC20 mais adresse en TRC20)	Le système détecte le format d'adresse incorrect et refuse l'enregistrement
Lendemain 10h08	Fin du refroidissement de l'adresse BTC d'OKX	Retrait possible normalement
Lendemain 10h15	Test d'un retrait de 0,005 BTC	Réception en 18 minutes

Attention à l'entrée de 10h20 : Binance effectue une vérification du format d'adresse — une adresse TRC20 (34 caractères commençant par T) et une adresse ERC20 (42 caractères commençant par 0x) ont des formats différents, forcer l'un dans l'autre déclenche une erreur. Mais il n'y a pas de vérification entre deux devises d'une même chaîne — par exemple une adresse USDT sur ERC20 et une adresse USDC sur ERC20 commencent toutes deux par 0x, Binance ne peut pas deviner si vous vouliez envoyer de l'USDT mais avez sélectionné USDC par erreur. Ce genre d'erreur doit être vérifié soi-même, attentivement.

Quel est le risque de ne pas activer la liste blanche

Sans liste blanche activée, si le mot de passe et la 2FA du compte sont hameçonnés, l'attaquant peut :

1. Se connecter immédiatement depuis son propre appareil
2. Retirer les fonds vers son propre portefeuille
3. Tout accomplir avec seulement le code de vérification email (si votre email est aussi compromis, aucun obstacle)

L'ensemble du processus peut prendre 10 à 30 minutes. Le temps que vous remarquiez l'anomalie, les fonds ont déjà quitté la chaîne — un transfert on-chain est irréversible.

Avec la liste blanche activée, les étapes de l'attaquant deviennent :

1. Connexion → changement de mot de passe → désactivation de la liste blanche ou ajout d'une nouvelle adresse
2. Désactiver la liste blanche demande 24 heures de refroidissement
3. Ajouter une nouvelle adresse demande aussi 24 heures de refroidissement
4. Ces 24 heures vous donnent une chance de détecter l'intrusion et de geler le compte

C'est là toute la valeur de la liste blanche : elle allonge le délai entre « compromission » et « retrait » de 30 minutes à 24 heures. Ces 24 heures suffisent largement pour que vous remarquiez l'email « connexion depuis un nouvel appareil » de Binance, que vous voyiez disparaître votre code antiphishing (voir Comment configurer le code antiphishing Binance ? Comment l'utiliser pour repérer les faux emails), que vous receviez l'email de changement de mot de passe, puis que vous contactiez le support pour geler le compte.

Stratégie de liste blanche selon le profil de compte

Type de compte	Recommandation liste blanche	Nombre d'adresses	Gestion du refroidissement
Détention long terme principalement	Fortement recommandée	2-3 (votre cold wallet + votre exchange principal)	Configurer une fois pour toutes, ne plus toucher ensuite
Arbitrage / trading haute fréquence	Selon le cas	5-10 (plusieurs plateformes contreparties)	Planifier 24 heures à l'avance
Retraits fréquents vers un wallet tiers	Fortement recommandée	Selon les besoins	Étendre progressivement, ajouter la nouvelle adresse la veille
Trading de contrats surtout, peu de retraits	Peut être activée	1-2 de secours	N'affecte pas le trading de contrats
Compte d'entreprise / usage collaboratif	Obligatoire + multi-signature	Liste blanche stricte	Ajout d'adresse via processus d'approbation

Le dernier profil est particulièrement important : pour un compte d'entreprise ou partagé par plusieurs personnes, la liste blanche est l'exigence minimale de conformité et d'audit interne — ne pas l'activer, c'est n'avoir aucun contrôle interne.

Questions fréquentes

Q : Binance m'envoie-t-il un email pendant la période de refroidissement pour signaler « une nouvelle adresse a été ajoutée à la liste blanche » ? R : Oui. Chaque ajout d'adresse déclenche un email, avec le code antiphishing dans le corps (si vous en avez configuré un), et le compte à rebours de 24 heures y est également indiqué. Si vous n'avez rien ajouté mais recevez cet email, changez immédiatement votre mot de passe, supprimez l'adresse et désactivez la liste blanche.

Q : Puis-je faire passer la période de refroidissement à 7 ou 30 jours ? R : Non. Binance fixe cette durée à 24 heures, sans option modifiable. Vous pouvez vous imposer vous-même la discipline d'« ajouter l'adresse 7 jours à l'avance », ce qui revient à rallonger vous-même le délai.

Q : Une fois la liste blanche activée, les virements internes (entre comptes Binance) sont-ils aussi restreints ? R : Les virements internes (transferts intra-site, par UID) ne sont pas soumis à la liste blanche. Celle-ci ne s'applique qu'aux retraits on-chain. Si les virements internes vous inquiètent, il faut activer séparément la fonction [Période de réflexion pour les virements].

Q : Si une adresse est partagée entre plusieurs devises, cela compte-t-il comme plusieurs entrées ? R : Oui, plusieurs entrées. Par exemple, la même adresse ERC20 commençant par 0x, si vous voulez l'utiliser pour recevoir de l'USDT, de l'USDC et de l'ETH, il faut ajouter 3 entrées distinctes, chacune avec son propre refroidissement.

Q : Un retrait depuis OKX vers une adresse Binance nécessite-t-il d'ajouter cette adresse à la liste blanche ? R : Non. La liste blanche ne contrôle que la direction « sortant de Binance », pas « entrant ». N'importe quelle adresse peut déposer sur Binance.

Q : Changer de téléphone ou d'appareil oblige-t-il à reconfigurer la liste blanche ? R : Non. La liste blanche et le carnet d'adresses sont des réglages au niveau du compte, indépendants de l'appareil ; après un changement de téléphone, la connexion conserve les mêmes réglages.

Q : Si l'interrupteur principal de la liste blanche est désactivé, les adresses déjà ajoutées restent-elles dans le carnet ? R : Oui, elles restent. Le carnet d'adresses est un niveau distinct ; désactiver la liste blanche arrête seulement « la restriction aux seules adresses listées », l'enregistrement des adresses lui-même n'est pas perdu. Réactiver la liste blanche prend effet immédiatement, sans devoir réajouter les adresses ni relancer le refroidissement.

Q : Quel est le lien entre la liste blanche et les retraits via API ? R : Les retraits via API passent par défaut par la liste blanche. Même si vous accordez à une clé API la permission de retrait, l'adresse cible doit figurer dans la liste blanche, sinon l'appel API renverra une erreur -4007. C'est une double protection, voir Comment gérer les clés API Binance ? Configuration en permissions minimales et audit régulier.