AlgoVanity génère des adresses Algorand personnalisées directement dans le navigateur, les clés ne passent jamais par un serveur

L'adresse qui épelle MONEY

MONEYMBRSMUAM2NGL6PCEQEDVHFWAQB6DU47NUS6P5DJM4OJFN7E7DSVBA¹² est bien un compte Algorand réel : alimenté le jour même où le domaine de son outil a été enregistré, en mai 2021, il contient aujourd'hui environ 10.4 ALGO et sa dernière activité on-chain remonte à mars 2025. C'est aussi une adresse qui épelle MONEY, et ce n'est pas un coup de chance : le compte visible sur Allo¹ est l'exemple public présenté sur algovanity.com³, un générateur gratuit qui fabrique à la demande des adresses Algorand personnalisées, directement dans le navigateur. Vous saisissez un mot-clé, vous choisissez l'endroit où il doit apparaître, et la page tire au sort jusqu'à ce qu'une adresse correspondante tombe — puis vous remet sa phrase de récupération.

Pourquoi une adresse personnalisée relève de la loterie

Une adresse Algorand ne se choisit pas : elle se dérive. Chaque compte part d'une paire de clés Ed25519 générée aléatoirement, et l'adresse de 58⁴ caractères est un encodage base32 du hachage de la clé publique — l'alphabet de 32 symboles formé des majuscules A à Z et des chiffres 2⁵–7. C'est cet alphabet qui explique qu'aucune adresse Algorand correctement formée ne comporte de 0, de 1, de 8 ou de 9, une curiosité que des membres de la communauté ont relevée⁶ en manipulant des générateurs d'adresses personnalisées. L'adresse étant un engagement à sens unique envers la clé, la seule voie vers un mot-clé reste la force brute : générer une paire de clés, contrôler l'adresse obtenue, recommencer. Chaque tentative coûte une génération de clé complète, si bien que le temps d'attente moyen croît exponentiellement avec la longueur du mot-clé — de l'ordre de 32^longueur pour une correspondance à position fixe — et c'est pourquoi le site conseille de rester sous cinq caractères et prévient que l'attente va de quelques secondes à plusieurs heures.

Les archives du forum de l'époque donnent la mesure du labeur : l'utilitaire Python de PureStake tournait autour de 10,000⁷ essais par seconde et par cœur en 2021, trouvant le plus souvent un mot de quatre lettres en 10–20 secondes, tandis qu'une recherche de cinq lettres pour SCHOL a demandé 15.7 millions de tentatives étalées sur plus de sept minutes (Generating Vanity Addresses⁸). AlgoVanity répond par le parallélisme : il lance un web worker par cœur de processeur (avec repli sur trois), chacun bouclant sur la fonction generateAccount du SDK officiel d'Algorand, tandis qu'un tableau de bord compte les adresses générées, la vitesse de recherche, les correspondances trouvées et le temps écoulé. La restriction à la saisie reprend l'alphabet lui-même — les mots-clés ne peuvent contenir que des majuscules et les chiffres 2⁹–7, puisque rien d'autre ne saurait de toute façon figurer dans une adresse.

Quand une correspondance tombe, l'outil met le mot-clé en évidence dans l'adresse, propose des boutons de copie et une option « Révéler la clé » qui affiche la phrase de récupération de 25¹⁰ mots du compte, à importer dans un portefeuille tel que Pera (instructions de récupération¹¹). Chaque résultat renvoie vers l'explorateur de blocs Allo. Les trois méthodes de correspondance déterminent la durée de la recherche :

Conçu pour rester à l'écart du réseau

Le choix de conception central d'AlgoVanity est que le matériel cryptographique ne circule jamais. Il suffit d'observer les hôtes auxquels la page en cours d'exécution s'adresse réellement pour voir que les requêtes ne partent que vers le domaine du site — aucun nœud Algorand, aucun indexer, aucun outil de mesure d'audience. La FAQ l'affirme sans détour : « votre adresse et votre phrase de passe ne sont jamais transmises sur le réseau, et la génération d'adresse s'effectue localement à l'aide du SDK officiel d'Algorand ». Le créateur a tenu les mêmes propos au lancement, dans l'annonce publiée sur r/AlgorandOfficial¹³ : « Le site fonctionne entièrement côté client, vous pouvez même l'exécuter hors ligne si vous voulez être particulièrement prudent. » L'architecture le confirme : l'application entière n'est faite que de fichiers statiques construits avec Svelte et servis depuis AWS CloudFront, donc aucun backend ne pourrait détenir ou relayer des clés, et le code source¹⁴ est sous licence MIT, libre d'être inspecté par n'importe qui.

Le compromis de sécurité, dit sans détour

À la question « Est-ce sûr ? », la FAQ répond d'emblée « Oui et non » — et le non mérite le même poids. Une phrase de récupération qui a séjourné dans la mémoire d'une page web est une phrase qu'un navigateur compromis, une extension malveillante ou une copie trafiquée de l'outil ont en principe pu lire. Le site l'admet volontiers : « il n'est jamais totalement sûr d'utiliser des outils en ligne pour générer des adresses ou gérer des clés privées ». Le contrôle vraiment étanche consiste à exécuter soi-même le code open source — le README explique comment cloner le dépôt et lancer un serveur de développement local — plutôt que de croire que le paquet servi aujourd'hui par un CDN correspond au source audité.

Pour qui génère malgré tout dans le navigateur, le durcissement recommandé est le rekeying : une fonctionnalité d'Algorand qui permet à un compte de déléguer son autorité de signature à une autre clé sans changer d'adresse ni déplacer ses actifs. Concrètement, il s'agit de générer l'adresse personnalisée, d'en noter la phrase de passe, puis de procéder immédiatement au rekeying pour qu'une clé que vous contrôlez déjà — idéalement conservée sur un portefeuille matériel — devienne le seul signataire. À partir de là, la phrase de passe qui vient de séjourner dans la mémoire du navigateur ne peut plus autoriser de transactions : une fuite n'est plus une perte. Le site renvoie au tutoriel de Pera¹⁵, qui présente l'opération comme le fait de « changer les serrures de sa maison. Même maison, même adresse, nouvelle clé ». Le portail pour développeurs d'Algorand enseigne ce schéma — adresse personnalisée, puis rekeying — depuis 2021 (tutoriel¹⁶). Le compromis que signale Pera : certaines dApps ne prennent pas pleinement en charge les comptes ayant fait l'objet d'un rekeying, mieux vaut donc effectuer une petite transaction de test avant d'engager des montants plus importants.

Cinq ans d'existence, toujours maintenu, et désormais plus seul

AlgoVanity a survécu à l'essor des premiers outils de l'écosystème. Le domaine a été enregistré le 2 mai 2021 — le jour même où a été capturée la première sauvegarde Wayback¹⁷ — et le dépôt reçoit encore des commits, dont une refonte de l'interface en juin 2026 et un nettoyage en juillet 2026, avec un pied de page daté 2026 et 17¹⁸ étoiles GitHub. L'outil a circulé dans la communauté : un fil du forum¹⁹ de janvier 2023 recensant des projets Algorand intéressants l'a mis en avant avec son dépôt, et un compte de découverte Bluesky²⁰ l'a signalé comme générateur fonctionnant dans le navigateur.

La catégorie des adresses personnalisées s'est depuis tournée vers du matériel dédié. Le programme de subventions communautaire xGov a approuvé, lors de sa troisième période de vote, une proposition de générateur accéléré par GPU²¹ demandant 47 474²² ALGO ; son auteur, Marcin Zawiejski, entretient rsagg²³, un générateur Rust/OpenCL en développement actif dont le README porte son propre avertissement sans détour — « L'utilitaire n'a pas été audité, veillez donc à effectuer un rekeying de tous les comptes correspondant aux adresses qu'il génère. » C'est exactement le conseil qu'AlgoVanity répète depuis le premier jour : l'adresse relève de la coquetterie, la clé fait la sécurité, et le rekeying est le pont entre les deux.