Introduction aux portefeuilles multisignatures
Les portefeuilles multisignatures protègent la majorité des sommes importantes dans le domaine des cryptomonnaies : les trésoreries des DAO, le stockage à froid des échanges, les fonds de protocole et les économies des personnes soucieuses de la sécurité. Ils sont également au cœur des plus grands braquages de l’industrie, allant des 1,5 milliard de dollars de Bybit à la violation de l’UXLINK cette année, car les attaquants ont cessé de forcer des serrures et ont commencé à tromper les personnes détenant les clés. Ce guide explique comment fonctionne réellement le multisig, les choix de conception M-of-N, comment les célèbres hacks multisig se sont produits et comment en gérer un sans devenir un cas d’étude.
Table des matières
Demandez où se trouve l’argent sérieux de la crypto, et la réponse, de manière écrasante, est derrière plusieurs signatures. La majorité des dépositaires institutionnels fonctionnent avec des arrangements multisignatures ; les trésoreries des DAO détenant des milliards s’organisent à travers eux ; les échanges protègent le stockage à froid avec eux ; les chaînes de garde derrière les produits institutionnels en dépendent ; et les protocoles gardent leurs clés de mise à niveau et leurs fonds de réserve à l’intérieur, le plus souvent dans Safe, le système de contrat anciennement connu sous le nom de Gnosis Safe, qui à lui seul sécurise des valeurs rivalisant avec celles des grandes banques. L’idée est ancienne, empruntée aux coffres bancaires et aux protocoles de lancement nucléaire : aucune personne, clé ou machine unique ne devrait pouvoir déplacer ce qui compte. Exiger M signatures sur N clés, 2 sur 3, 3 sur 5, signifie qu’un voleur doit compromettre plusieurs gardiens indépendants au lieu d’un seul.
Les failles des systèmes multisignatures
Et pourtant, le plus grand vol de l’histoire de la crypto, les 1,5 milliard de dollars de Bybit, a été réalisé via un multisig. Il en va de même pour la violation de 11,3 millions de dollars de l’UXLINK cette année, et les 600 millions de dollars du pont Ronin avant eux. Le schéma est le fait le plus instructif de la sécurité moderne de la crypto : les mathématiques du multisig n’ont jamais été brisées ; ce sont les humains et les interfaces qui l’entourent qui sont constamment vulnérables. Le multisig élimine le point de défaillance unique et le remplace par une question plus subtile : vos plusieurs points de défaillance sont-ils réellement indépendants ? Le bilan désastreux de l’industrie est un catalogue de découvertes qu’ils ne l’étaient pas.
Fonctionnement des portefeuilles multisignatures
Un portefeuille multisig nécessite un seuil de signatures, M, d’un ensemble de clés autorisées, N, avant qu’une transaction ne s’exécute. Une configuration personnelle 2 sur 3 pourrait répartir les clés entre un portefeuille matériel à domicile, un deuxième appareil dans un coffre bancaire et un proche de confiance ; une trésorerie DAO 4 sur 7 répartit les clés entre les membres du conseil sur différents continents. Le seuil est le cadran de la conception : la sécurité contre la compromission augmente avec M, la résilience contre la perte de clés augmente avec l’écart entre N et M, et la friction opérationnelle augmente avec les deux.
Sous le capot, deux architectures mettent en œuvre l’idée. Sur Bitcoin, le multisig est natif au script du protocole : une adresse encode l’exigence M sur N elle-même, et dépenser nécessite que les signatures soient présentées et vérifiées par le réseau. C’est minimal, éprouvé au combat et rigide ; changer de signataires signifie déplacer des fonds vers une nouvelle adresse. Sur Ethereum et des chaînes similaires, le multisig vit dans des contrats intelligents : un programme, tel qu’un Safe, détient les fonds et applique la politique, collectant des signatures jusqu’à ce que le seuil soit atteint, puis exécutant. L’approche par contrat est beaucoup plus flexible : les signataires peuvent être tournés, les seuils changés, des limites quotidiennes et des délais ajoutés. Cependant, cette flexibilité est à double tranchant : la politique est du code, le code peut avoir des défauts, et, comme le montrera la section désastre, la richesse de ce qu’un portefeuille de contrat peut exécuter est exactement ce que les attaquants modernes exploitent.
Le flux de transaction et la sécurité
Le flux de transaction dans les deux mondes suit le même rythme. Quelqu’un propose une transaction, un destinataire, un montant, et, sur les portefeuilles de contrat, des appels de programme arbitraires. La proposition circule aux signataires, chacun d’eux examinant et approuvant cryptographiquement avec sa propre clé, sur son propre appareil. Lorsque les approbations atteignent le seuil, la transaction devient exécutable et est diffusée. Chaque étape est auditable : la chaîne enregistre exactement quelles clés ont approuvé quoi, créant la traçabilité de responsabilité qui fait du multisig l’outil de gouvernance de choix pour les trésoreries des DAO, dont le contrôle est par ailleurs contesté par des votes de jetons, pour les fonds d’entreprise nécessitant l’approbation d’un responsable, et pour les arrangements d’entiercement où une troisième clé neutre arbitre les litiges.
Les défis de la gouvernance et des clés
Le choix du seuil est une allocation de risque, et les configurations standard répondent chacune à une question différente. 2 sur 2 est un partenariat sans briseur d’égalité et sans récupération : une clé perdue laisse les fonds en suspens, et est principalement utilisée avec une clé détenue par un service. 2 sur 3 est le cheval de bataille de l’individu : il survit à la perte de n’importe quelle clé, résiste à la compromission de n’importe quelle clé, et garde la friction de signature tolérable. 3 sur 5 et plus est le territoire institutionnel, tolérant plusieurs pertes et nécessitant plusieurs corruptions, au prix d’un surcoût de coordination qui, dans la pratique, tente les organisations à commettre le pire péché du genre : la concentration, plusieurs clés détenues par une personne, un bureau, un ordinateur portable ou un compte cloud.
Le bilan des braquages est là où ce sujet mérite sa place dans un cursus de sécurité, car les attaques partagent une anatomie et ce n’est pas celle que l’on attend. Aucun vol majeur de multisig n’est venu de la rupture de la cryptographie. Ils proviennent de faire signer les bonnes personnes pour la mauvaise chose.
Conclusion et recommandations
Tout dans ce guide se résume à une liste de pratiques, et la liste est la différence entre le mécanisme et sa réputation. Choisissez des seuils pour la compromission et la perte : 2 sur 3 personnel, 3 sur 5 ou plus institutionnel. Rendez l’indépendance réelle : différentes personnes, appareils, fournisseurs, emplacements physiques, et aucune clé dans un navigateur. Vérifiez ce que vous signez : confirmation sur un second canal de chaque charge utile, simulation avant approbation, et une suspicion permanente de tout ce qui est urgent. Ajoutez du temps comme défense : des délais sur les grands transferts transforment une tromperie réussie en une récupérable.
Avertissement : Cet article est à des fins éducatives uniquement et ne constitue pas un conseil en investissement ou en sécurité. La garde d’actifs numériques comporte des risques significatifs, et aucun arrangement ne les élimine. Les détails sont à jour au 9 juillet 2026. Faites toujours vos propres recherches.
