AlgoVanity génère des adresses Algorand personnalisées dans le navigateur, sans que les clés passent par un serveur

2026-08-18

vanity-address · tools · open-source · security · wallets · discovery · web · updated

L'adresse qui épelle MONEY

MONEYMBRSMUAM2NGL6PCEQEDVHFWAQB6DU47NUS6P5DJM4OJFN7E7DSVBA est un véritable compte Algorand : il a été financé le jour même où le domaine de l'outil a été enregistré, en mai 2021, il détient aujourd'hui environ 10.4 ALGO et sa dernière activité on-chain remonte à mars 2025. C'est aussi une adresse qui épelle MONEY, et ce n'est pas de la chance — le compte sur Allo est l'exemple public de algovanity.com, un générateur gratuit fonctionnant dans le navigateur et qui fabrique des adresses Algorand personnalisées à la demande. Vous tapez un mot-clé, choisissez où il doit apparaître, et la page lance une loterie jusqu'à ce qu'une adresse correspondante apparaisse — puis vous remet sa phrase de récupération.

Pourquoi une adresse personnalisée relève de la loterie

Une adresse Algorand n'est pas choisie ; elle est dérivée. Chaque compte commence par une paire de clés Ed25519 générée aléatoirement, et l'adresse de 58 caractères est un encodage base32 d'un hash de la clé publique — l'alphabet de 32 symboles composé des lettres majuscules A à Z et des chiffres 2 à 7. C'est cet alphabet qui explique qu'aucune adresse Algorand correctement formée ne contient 0, 1, 8 ou 9, une particularité que des membres de la communauté ont remarquée en jouant avec des générateurs d'adresses personnalisées. Comme l'adresse est un engagement unidirectionnel envers la clé, la seule voie vers un mot-clé est la force brute : générer une paire de clés, vérifier l'adresse dérivée, recommencer. Chaque tentative coûte une génération complète de clé, si bien que le temps attendu croît de façon exponentielle avec la longueur du mot-clé — environ 32^longueur pour une correspondance à une position fixe — ce qui explique pourquoi le site recommande des mots-clés de moins de cinq caractères et prévient d'attentes allant de quelques secondes à plusieurs heures.

Les archives du forum de l'époque chiffrent l'effort : l'utilitaire Python de PureStake atteignait environ 10,000 essais par seconde par cœur en 2021, trouvant généralement un mot de quatre lettres en 10 à 20 secondes, tandis qu'une recherche de cinq lettres pour SCHOL a nécessité 15.7 millions de tentatives sur plus de sept minutes avant de trouver (Generating Vanity Addresses). La réponse d'AlgoVanity, c'est le parallélisme : il lance un web worker par cœur de CPU (avec repli à trois), chacun bouclant sur la fonction generateAccount du SDK officiel d'Algorand, tandis qu'un tableau de bord compte les adresses générées, la vitesse de recherche, les correspondances trouvées et le temps écoulé. La restriction de saisie reflète l'alphabet lui-même — les mots-clés ne peuvent contenir que des lettres majuscules et les chiffres 2 à 7, puisque rien d'autre ne pourrait de toute façon apparaître dans une adresse.

Lorsqu'une correspondance est trouvée, l'outil surligne le mot-clé dans l'adresse, propose des boutons de copie et une option « Révéler la clé » qui affiche la phrase de récupération de 25 mots du compte pour l'importer dans un portefeuille tel que Pera (instructions de récupération). Chaque résultat renvoie vers l'explorateur de blocs Allo. Les trois méthodes de correspondance déterminent la durée de la recherche :

Méthode de correspondance	Ce qu'elle vérifie	Conséquence concrète
Commence par	Le mot-clé doit ouvrir l'adresse	Idéal pour un identifiant qui se lit naturellement, au prix le plus élevé : seule la première des 58 positions de caractères est éligible, donc l'attente est la plus longue des trois (voir les probabilités ci-dessus)
N'importe où	Le mot-clé peut se trouver à n'importe quelle position	Mode par défaut et le plus rapide ; convient quand le mot doit simplement apparaître quelque part dans la chaîne
Se termine par	Le mot-clé doit clore l'adresse	Aussi rare que « Commence par » ; convient à un suffixe mémorable qui se lit comme une étiquette après la section centrale aléatoire

Conçu pour ne jamais passer par le réseau

Le choix de conception central d'AlgoVanity est que les éléments de clé ne voyagent jamais. L'observation des hôtes auxquels la page en cours s'adresse réellement montre que les requêtes ne partent que vers l'hôte du site lui-même — aucun nœud Algorand, aucun indexeur, aucun système d'analyse. La FAQ l'affirme directement : « votre adresse et votre phrase de récupération ne sont jamais transmises sur le réseau, et la génération d'adresse est effectuée localement à l'aide du SDK officiel d'Algorand. » Le créateur a dit la même chose au lancement dans l'annonce sur r/AlgorandOfficial : « Le site fonctionne entièrement côté client, vous pouvez l'exécuter hors ligne si vous préférez être encore plus prudent. » L'architecture le confirme : toute l'application est constituée de fichiers statiques construits avec Svelte et servis depuis AWS CloudFront, donc il n'y a pas de backend qui pourrait conserver ou transmettre les clés, et le code source est sous licence MIT, pour que chacun puisse l'inspecter.

Le compromis de sécurité, dit clairement

La réponse de la FAQ à « Est-ce sûr ? » commence par « Oui et non. » — et le « non » mérite autant de poids. Une phrase de récupération qui a existé dans la mémoire d'une page web est une phrase qu'un navigateur compromis, une extension malveillante ou une copie falsifiée de l'outil a pu, en principe, lire. Le site le concède : « il n'est jamais totalement sûr d'utiliser des outils en ligne pour générer des adresses ou gérer des clés privées. » Le contrôle infaillible, c'est d'exécuter vous-même le code open source — le README documente le clonage du dépôt et le lancement d'un serveur de développement local — plutôt que de faire confiance au fait que le bundle servi aujourd'hui par un CDN corresponde au code audité.

Pour quiconque génère tout de même dans le navigateur, le durcissement recommandé est le rekeying : une fonctionnalité d'Algorand qui permet à un compte de déléguer son autorité de signature à une autre clé, sans changer l'adresse ni déplacer ses actifs. Concrètement, cela signifie générer l'adresse personnalisée, noter sa phrase de récupération, puis effectuer immédiatement un rekeying afin qu'une clé que vous contrôlez déjà — idéalement conservée sur un portefeuille matériel — devienne le seul signataire. À partir de ce moment, la phrase de récupération qui vient de résider dans la mémoire du navigateur ne peut plus autoriser de transactions ; une fuite n'est donc plus une perte. Le site renvoie vers le tutoriel de Pera, qui présente l'opération comme « changer les serrures de votre maison. Même maison, même adresse, nouvelle clé. » Le portail développeur d'Algorand enseigne le même schéma (adresse personnalisée, puis rekeying) depuis 2021 (tutoriel). Le compromis signalé par Pera : certaines dApps ne prennent pas entièrement en charge les comptes ayant subi un rekeying, il est donc prudent d'effectuer une petite transaction de test avant d'engager des montants plus importants.

Cinq ans, toujours maintenu, plus seul

AlgoVanity est un rescapé du boom des premiers outils de l'écosystème. Le domaine a été enregistré le 2 mai 2021 — le même jour que la première capture Wayback — et le dépôt reçoit toujours des commits, dont une refonte de l'interface en juin 2026 et un nettoyage en juillet 2026, avec un pied de page daté de 2026 et 17 étoiles GitHub. Il a circulé dans la communauté : un fil du forum de janvier 2023 collectant des projets Algorand intéressants a présenté l'outil et son dépôt, et un compte de découverte Bluesky l'a mis en avant comme générateur dans le navigateur.

La catégorie des adresses personnalisées a depuis évolué vers du matériel dédié. Le programme de subventions communautaires xGov a approuvé une proposition de générateur accéléré par GPU lors de sa troisième période de vote, demandant 47,474 ALGO ; son auteur, Marcin Zawiejski, maintient le projet activement développé rsagg, un générateur Rust/OpenCL dont le README porte son propre avertissement sans détour : « L'utilitaire n'a pas été audité, veuillez donc vous assurer d'effectuer un rekeying sur les comptes correspondant aux adresses générées avec lui. » C'est le même conseil qu'AlgoVanity donne depuis le premier jour : l'adresse est la personnalisation, la clé est la sécurité, et le rekeying est le pont entre les deux.

Source

Source: https://algovanity.com/