Avant de payer avec un QR code Bitcoin, vérifiez sa provenance, ce qu’il ouvre, le montant et son unité, le destinataire, le mode de paiement, les frais et l’écran final de votre wallet. Un carré correctement scanné prouve seulement que votre téléphone a lu des données. Il ne certifie ni l’identité du commerçant ni la légitimité de la demande.
Ce Top 7 suit l’ordre d’un paiement, du support affiché jusqu’au reçu. Il s’adresse notamment à la personne qui paie pour la première fois dans un commerce, depuis une facture ou à partir d’un message. Les exemples sont fictifs : aucune transaction réelle n’a été exécutée pour cet article.
La réponse rapide
Les 7 contrôles à faire avant de confirmer
- Le support vient-il réellement du destinataire attendu ?
- Le scan ouvre-t-il une demande de paiement reconnue ?
- Le montant et l’unité correspondent-ils à la facture ?
- La destination est-elle cohérente et vérifiable ?
- Est-ce un paiement Bitcoin sur la chaîne ou via Lightning ?
- Quel sera le débit total, frais compris ?
- L’écran final puis le statut du paiement sont-ils corrects ?
Une incohérence suffit à interrompre le parcours. Demandez une explication au commerçant ou au destinataire par un canal que vous connaissez déjà. Un QR code accompagné d’une demande de phrase de récupération, de prise en main à distance ou d’installation imposée n’est pas un simple paiement à valider.
1. Vérifier la provenance du QR code
Commencez par le contexte : attendez-vous réellement une facture ? Le nom du commerce et la prestation correspondent-ils à votre achat ? Sur place, un support abîmé, un autocollant superposé ou une différence avec les autres affichages justifie une question au personnel. Cela ne démontre pas, à lui seul, une fraude.
Cybermalveillance.gouv.fr décrit le quishing, ou hameçonnage par QR code, et documente notamment le remplacement de codes sur des supports physiques. Un message rassurant imprimé à côté du carré ne vérifie pas sa destination.
À distance, privilégiez la facture obtenue depuis votre espace client habituel. Si une personne vous pousse à régler immédiatement en cryptomonnaie tout en restant au téléphone, faites une pause. Une alerte du FBI du 4 novembre 2021 décrit déjà des escroqueries combinant pression, distributeur de cryptomonnaies et QR code du fraudeur. C’est un scénario documenté ancien, pas une mesure actuelle de sa fréquence en France.
2. Comprendre ce qui s’ouvre après le scan
Un QR peut contenir un lien web, une adresse, une demande de paiement ou d’autres données. Un site qui s’ouvre dans le navigateur n’est donc pas automatiquement une facture Bitcoin. Lisez le domaine avant de saisir quoi que ce soit ; le cadenas HTTPS ne certifie pas l’honnêteté du propriétaire.
La documentation Bitcoin Design sur les formats de demandes distingue plusieurs parcours, dont les adresses sur la chaîne, les factures Lightning et les formats réutilisables. Leur prise en charge dépend du wallet.
Si votre application ne reconnaît pas la demande, ne modifiez pas son préfixe pour la forcer. Demandez au destinataire une instruction compatible. Pour choisir une application adaptée à votre usage, consultez notre Top 5 des wallets Bitcoin sur mobile : recevoir sur la chaîne et payer via Lightning sont des besoins à distinguer.
3. Relire le montant et surtout son unité
Ne comparez pas seulement les chiffres : comparez aussi BTC et satoshis, souvent abrégés en « sats ». Un bitcoin représente 100 millions de satoshis. Une décimale déplacée peut changer fortement le paiement alors que l’écran paraît familier.
| Montant en BTC | Montant en sats | Point de vigilance |
|---|---|---|
| 0,0002 BTC | 20 000 sats | Le montant de référence de notre cas pratique |
| 0,0005 BTC | 50 000 sats | À distinguer de 0,005 BTC |
| 0,005 BTC | 500 000 sats | Dix fois plus que la ligne précédente |
Dans une URI Bitcoin, le paramètre amount exprime des BTC avec un point décimal, selon le BIP 321. L’application peut ensuite afficher une autre unité. Le point de la demande technique et la virgule de l’interface française peuvent donc représenter la même valeur.
Si le prix est convenu en euros, vérifiez aussi la règle de conversion et la durée de validité annoncées par le commerçant. Cet article n’utilise aucun cours instantané : ses conversions BTC/sats sont fixes, ses montants sont uniquement pédagogiques.
Décrypter sans payer
Une demande peut contenir plusieurs informations
Exemple volontairement invalide : la destination ci-dessous est fictive et ne permet aucun paiement. Ce texte n’est ni un lien ni un QR à scanner.
bitcoin:DESTINATION_FICTIVE?amount=0.0005&label=CafeNotre lecture de cet exemple : un texte cohérent peut encore désigner un mauvais destinataire. La lisibilité technique et la confiance dans la personne sont deux vérifications distinctes.
4. Contrôler la destination, sans se fier au seul nom affiché
Pour une demande sur la chaîne, rapprochez l’adresse proposée de celle fournie par le destinataire sur un support fiable. Évitez de contrôler uniquement quelques caractères si vous avez accès à l’adresse complète. Un nom de contact enregistré dans votre téléphone ou un libellé inclus dans la demande ne remplace pas cette comparaison.
Demandez une confirmation indépendante si l’adresse vient de changer dans un échange inhabituel. Une nouvelle adresse de réception peut être normale ; c’est le changement de consigne non vérifié qui pose problème, pas la nouveauté de l’adresse en elle-même.
Vous préparez votre propre QR pour être payé ? Contrôlez également ce que vous présentez. Par exemple, la procédure de réception de Blockstream Jade permet de vérifier l’adresse de réception sur l’appareil. Cette procédure concerne bien le bénéficiaire qui vérifie son adresse, pas une garantie générale sur tous les écrans de paiement.
5. Distinguer Bitcoin sur la chaîne, Lightning et demande expirée
Avant de confirmer, identifiez le parcours effectivement choisi par le wallet. Une adresse Bitcoin sur la chaîne n’est pas une facture Lightning. Une demande unifiée peut proposer plusieurs moyens de régler une même facture ; cela n’est pas une invitation à payer deux fois.
Le format de facture Lightning BOLT 11 comporte une date et une durée de validité. Un début lnbc est un indice de facture BOLT 11 sur le réseau principal, mais ne décrit pas tous les formats Lightning. Les offres et certains QR réutilisables suivent d’autres parcours : n’appliquez pas une durée unique à tous les codes.
Si la facture est expirée, demandez une nouvelle instruction. Vérifiez d’abord si un paiement précédent a été envoyé ou reste en cours. Une nouvelle demande ne supprime pas une opération déjà lancée. Pour les confusions plus larges de réseau et de plateforme, notre guide des 7 erreurs de transfert crypto complète ce contrôle.
6. Comparer le prix avec le débit total
La somme demandée par le commerçant et celle débitée de votre wallet peuvent différer à cause des frais. Relisez l’estimation finale dans l’application, puis demandez-vous si le coût est acceptable pour cet achat précis. Il n’existe pas un niveau de frais identique pour tous les wallets, réseaux et moments.
Exemple fictif : pour un achat de 20 000 sats et des frais annoncés de 500 sats à votre charge, le débit total serait de 20 500 sats. Les frais représenteraient 2,5 % du prix de l’achat. Ce calcul n’est ni un tarif observé ni une estimation du coût actuel de Bitcoin ou de Lightning.
La procédure d’envoi Bitcoin de BlueWallet montre notamment une étape de revue du montant, de la destination et des frais avant diffusion. Son exemple concerne un envoi sur la chaîne. Notre Top 10 pour comprendre et réduire les frais crypto aide ensuite à distinguer les différentes couches de coûts.
7. Valider l’opération exacte, puis conserver son statut
Le bon moment pour relire est le dernier écran avant autorisation. Vérifiez le verbe affiché : payer ou envoyer n’a pas le même sens que recevoir un remboursement. Contrôlez à nouveau l’achat, la somme et le total. Si l’écran contredit la demande initiale, arrêtez-vous même si les premières étapes semblaient normales.
Après validation, conservez le reçu ou la référence présentée par le wallet et vérifiez avec le commerçant l’état de la facture. « En cours » ne signifie pas nécessairement « échoué ». Une capture d’écran d’une demande non envoyée ne prouve pas un paiement ; à l’inverse, une absence de notification chez le commerçant ne suffit pas à justifier un second envoi.
Pour une opération Bitcoin sur la chaîne, un identifiant de transaction, s’il est disponible, peut être consulté dans un explorateur blockchain. Une facture Lightning ne se suit pas de cette manière sur un explorateur Bitcoin public. Commencez alors par le statut dans le wallet et les références de la facture.
Trois situations : que feriez-vous avant de payer ?
Ouvrez chaque cas pour comparer votre réflexe avec notre raisonnement. Tous les montants et toutes les situations ci-dessous sont fictifs.
Cas 1 — Le prix est de 20 000 sats, le wallet indique 0,002 BTC
Interrompre la confirmation. 0,002 BTC représente 200 000 sats, soit dix fois le prix attendu. Vérifiez l’unité et demandez une facture corrigée avant toute autorisation. Le fait que le QR soit lisible ne résout pas l’écart.
Cas 2 — Un « remboursement » ouvre un écran « Envoyer »
Ne pas autoriser cet envoi. L’opération présentée ne correspond pas au remboursement annoncé. Reprenez contact avec le professionnel depuis ses coordonnées habituelles. Ne donnez jamais votre phrase de récupération pour recevoir des fonds. Notre guide des arnaques crypto sur WhatsApp et Telegram détaille les demandes sous pression et les usurpations.
Cas 3 — Le commerçant dit « impayé », le wallet dit « en cours »
Vérifier avant de recommencer. Rapprochez l’état de l’opération, l’heure et la référence de facture avec le commerçant. Sur la chaîne, consultez le TxID lorsqu’il existe ; sur Lightning, consultez le suivi du wallet. Un second scan ne permet pas de conclure que la première opération a été annulée.
La checklist à garder sous les yeux
- Je connais l’origine de cette demande.
- Le support et la page ouverte sont cohérents.
- Le montant et son unité correspondent à l’achat.
- La destination a été vérifiée par un canal fiable.
- Je comprends le mode de paiement et sa validité.
- J’accepte le débit total et les frais affichés.
- Je relis avant d’autoriser, puis je vérifie le statut avant de repayer.
Ces contrôles réduisent des erreurs courantes. Ils ne constituent pas un audit du wallet, du commerçant ou du terminal, ni une garantie de récupération après un paiement.
Questions fréquentes sur les QR codes Bitcoin
Scanner un QR code signifie-t-il que j’ai payé ?
Non, le scan ne prouve pas à lui seul un paiement. Il peut ouvrir une page ou préparer une opération. Le comportement dépend de l’application et de ses réglages : vérifiez toujours les autorisations et l’historique du wallet.
Un QR Bitcoin peut-il être remplacé par un faux ?
Un autre QR peut être posé sur un support ou transmis à la place de l’original. Il peut fonctionner techniquement tout en envoyant vers une mauvaise destination. La provenance et la destination doivent donc être contrôlées ensemble.
Un même QR fonctionne-t-il dans tous les wallets ?
Non. La compatibilité dépend du format et des fonctions prises en charge. Si la demande n’est pas reconnue, demandez une version compatible au destinataire plutôt que de modifier vous-même les instructions.
Dois-je payer une deuxième fois après une facture expirée ?
Pas sans vérifier le premier paiement. Distinguez l’expiration de la demande de l’état d’une opération déjà autorisée. Une nouvelle facture n’est pas la preuve que la précédente tentative a échoué.
J’ai ouvert un lien : suis-je forcément piraté ?
Le seul fait d’ouvrir un lien ne permet pas de conclure à une compromission. Le diagnostic dépend de ce qui a suivi : installation, données saisies, secrets transmis ou paiement autorisé. Fermez une page suspecte et demandez une assistance adaptée si vous avez exposé des informations ou installé un logiciel.
Méthode et sources
Ce Top classe des vérifications dans l’ordre d’usage ; ce n’est pas un classement statistique des fraudes. Il combine des alertes publiques, des spécifications et des procédures d’éditeurs. Les trois cas pratiques et les calculs sont des constructions pédagogiques de CryptoFlash. Aucun wallet n’a été testé avec un paiement réel pour ce guide.
- Cybermalveillance.gouv.fr — Quishing : publié le 28 mai 2024, mis à jour le 10 août 2026. Risques liés aux codes et à leurs supports.
- FBI / IC3 — Cryptocurrency ATMs and QR Codes : alerte du 4 novembre 2021. Exemple historique de manipulation du payeur.
- Bitcoin BIP 321 — URI Scheme : spécification attribuée le 15 novembre 2024. Paramètres de la demande Bitcoin.
- Lightning BOLT 11 — Invoice Protocol : spécification évolutive, sans date unique de mise à jour affichée ici. Format et expiration des factures.
- Bitcoin Design — Payment request formats : documentation évolutive des formats ; compatibilité à vérifier dans chaque application.
- BlueWallet — Send a Bitcoin transaction : procédure d’envoi sur la chaîne, sans date de mise à jour affichée.
- Blockstream — Receive Bitcoin using Jade : vérification de l’adresse côté bénéficiaire, sans date de mise à jour affichée.