Stockage à froid vs portefeuilles chauds : derrière le fameux chiffre de 95%

Deux portefeuilles, deux modèles de menace

Un portefeuille chaud conserve ses clés privées sur des systèmes connectés à internet, afin que les retraits puissent être signés automatiquement, 24 heures sur 24. Un portefeuille froid garde ses clés sur du matériel qui ne touche jamais le réseau : les transactions sont signées hors ligne et exigent souvent la participation de plusieurs personnes lors d'une cérémonie physique. La différence n'est pas une question de température, mais de surface d'attaque.

Presque tous les grands vols de plateformes d'échange de l'histoire sont passés par des portefeuilles chauds ou par les systèmes qui les alimentent. Coincheck a perdu $530 million en NEM en 2018 précisément parce que la plateforme conservait l'intégralité de ce solde dans un portefeuille chaud, sans contrôles élémentaires. Les défaillances du stockage à froid sont suffisamment rares pour faire les gros titres à elles seules.

Ce que le chiffre de 95% signifie réellement

Lorsqu'une plateforme affirme que 95% des fonds sont en stockage à froid, elle décrit un objectif de politique interne, pas un fait vérifié. Aucun tiers n'audite cette répartition en temps réel, et le chiffre peut bouger avec la demande de retraits. En cas de panique, les plateformes transfèrent des cryptos du stockage à froid vers les portefeuilles chauds pour que les retraits continuent de fonctionner, ce qui est précisément le moment où la partie chaude est la plus garnie et la plus attractive.

L'affirmation contient malgré tout de l'information. Une plateforme qui plafonne son flottant chaud entre 2 et 5% plafonne du même coup le rayon des dégâts d'une compromission de portefeuille chaud. Le piratage de KuCoin en 2020 a drainé environ $280 million, mais l'entreprise a survécu en partie parce que la perte portait sur le flottant, pas sur la trésorerie.

Multisig : la norme historique

Le stockage à froid traditionnel repose sur des portefeuilles multisignature. Une transaction peut exiger 3 clés sur 5, détenues par différents responsables dans différents lieux. Un voleur ou un initié malveillant doit compromettre plusieurs personnes et plusieurs sites à la fois, et c'est ce qui rend le stockage multisig à froid si résistant aux attaques à distance.

Le prix à payer, c'est la rapidité. Réunir les signataires pour une cérémonie multisig on-chain prend des heures, voire des jours, et c'est exactement pour cela que les plateformes conservent un flottant chaud. La multisig laisse en outre une empreinte visible on-chain et son implémentation diffère sur chaque blockchain, un casse-tête opérationnel pour les plateformes qui référencent des centaines d'actifs.

MPC : l'approche la plus récente

Le multi-party computation, ou calcul multipartite, divise une clé privée unique en fragments détenus sur des machines distinctes. Ces fragments calculent conjointement une signature sans que la clé complète n'existe jamais en un seul endroit, sur aucun appareil, à aucun moment. Compromettre un serveur ne donne rien d'exploitable.

Le MPC brouille la frontière historique entre chaud et froid. Un portefeuille MPC peut signer assez vite pour les retraits tout en offrant une sécurité proche du stockage à froid, et il fonctionne à l'identique sur toutes les chaînes. La plupart des grandes plateformes, dont Binance, OKX et Bybit, exploitent désormais une infrastructure MPC quelque part dans leur stack. La contrepartie : la sécurité du MPC dépend de l'implémentation du fournisseur, que personne à l'extérieur ne peut inspecter.

Comment nous lisons les affirmations sur le stockage

Nous notons à partir d'éléments publics : la politique de stockage publiée, la cadence des preuves de réserves (proof-of-reserves) et, surtout, l'historique des incidents. Une plateforme qui fonctionne depuis dix ans sans perdre les fonds de ses clients a démontré sa discipline de stockage dans le seul test qui compte. Kraken, qui opère sans incident depuis 2011, est notre cas de référence.

Nous le reconnaissons franchement : nous ne pouvons pas voir à l'intérieur de la gestion des clés de qui que ce soit. La sécurité pèse 20% dans notre modèle de base et environ 30% sur la page des plateformes les plus sûres, et le bonus « jamais piraté » existe précisément parce que les résultats sont vérifiables alors que les affirmations sur l'architecture ne le sont pas.

FAQ