Preuve de réserves : ce qu'elle démontre, ce qu'elle cache

Pourquoi la preuve de réserves existe

Avant novembre 2022, presque personne ne demandait aux plateformes de prouver qu'elles détenaient les coins de leurs clients. Puis FTX s'est effondré et l'on a découvert que des milliards d'actifs clients avaient discrètement quitté la maison. En quelques semaines, Binance, Kraken, OKX, Bybit et la plupart des autres grandes plateformes ont publié à la hâte des pages de preuve de réserves. Ce calendrier en dit long : la PoR est un produit de confiance né d'une crise de confiance, pas une exigence réglementaire.

Nous considérons la preuve de réserves comme un signal positif significatif dans notre notation. Binance, Kraken, Bybit, OKX, Bitget, KuCoin et Gate.io la publient toutes, et notre classement des plateformes les plus sûres ajoute un bonus explicite pour cela. Mais nous la notons comme un élément parmi d'autres, en raison de ce qu'elle ne peut structurellement pas montrer.

Comment fonctionne une attestation par arbre de Merkle

Le mécanisme est simple. La plateforme prend un instantané de chaque solde client, hache chacun d'eux et combine les hachages par paires dans un arbre jusqu'à ce qu'il ne reste qu'un seul hachage racine. Cette racine est publiée. Vous pouvez prendre votre propre compte, hacher votre solde et vérifier que votre feuille remonte jusqu'à la racine publiée. Si c'est le cas, votre solde était inclus dans l'instantané.

Du côté des actifs, la plateforme signe des messages depuis ses portefeuilles ou déplace un montant symbolique pour prouver qu'elle contrôle les adresses. Un cabinet externe compare ensuite les actifs on-chain à la racine de Merkle des passifs et indique si les actifs couvrent les soldes clients à cet instant.

Ce qu'elle prouve réellement

Une PoR bien menée prouve deux choses précises. D'abord, qu'à un instant donné la plateforme contrôlait des portefeuilles détenant au moins autant de chaque actif que ce qui était dû aux clients. Ensuite, que votre solde spécifique a été comptabilisé dans le total des passifs, à condition que vous preniez la peine de vérifier votre feuille. Presque personne ne le fait, ce qui affaiblit tout l'exercice, mais l'option existe.

C'est réellement utile. Cela aurait détecté FTX, dont le problème n'était pas un piratage caché mais des actifs qui n'étaient tout simplement pas là. Quand Kraken ou OKX publie un ratio de réserves supérieur à 100% actif par actif, la forme de fraude la plus élémentaire devient plus difficile à mettre en œuvre.

Ce qu'elle cache

Le côté des passifs est le point faible. Une attestation montre les soldes que la plateforme a choisi d'inclure dans l'instantané. Elle ne peut pas prouver qu'aucun compte n'a été laissé de côté. Si une plateforme excluait ses dix plus gros créanciers de l'arbre, le ratio semblerait excellent et la vérification passerait toujours pour chaque client qui contrôlerait.

La PoR ne dit rien non plus sur les dettes. Une plateforme peut détenir chaque coin de ses clients tout en devant un milliard de dollars à des prêteurs ayant une créance sur ces mêmes portefeuilles. Les coins peuvent être empruntés pour la date de l'instantané et rendus le lendemain matin. Et un instantané ponctuel du trimestre dernier ne vous dit rien sur aujourd'hui.

Attestation contre audit

Les cabinets qui signent les rapports de PoR prennent soin de les qualifier d'attestations ou de procédures convenues, pas d'audits. La différence compte. Dans un audit, l'expert-comptable forme une opinion indépendante sur des états financiers complets, teste les contrôles internes et engage sa responsabilité sur la conclusion. Dans une attestation, le cabinet confirme un calcul étroit défini par la plateforme, à partir de données fournies par la plateforme.

Plusieurs cabinets comptables ont publiquement abandonné le travail d'attestation crypto précisément parce que les clients présentaient les rapports comme des audits. Quand la page d'accueil d'une plateforme parle de preuve de réserves auditée, nous lisons le rapport sous-jacent. Dans presque tous les cas, les petits caractères disent le contraire.

Comment nous la notons

Notre classement de base pondère la Sécurité à 20% et la Régulation à 18%. Sur la page des plateformes les plus sûres, ces poids montent à environ 30% et 28%, plus un bonus pour la publication d'une preuve de réserves, un historique sans piratage et une couverture d'assurance. La PoR rapporte une partie de ce bonus, pas la totalité, car une attestation sans un historique d'incidents propre est un communiqué de presse, pas une protection.

Nous sommes aussi honnêtes sur nos limites. Nous notons à partir d'attestations publiques et de l'historique des incidents. Nous ne pouvons pas voir la gestion interne des clés, les passifs hors chaîne ni les prêts d'entreprise. Personne en dehors de la plateforme ne le peut, et tout site de notation prétendant le contraire fait des suppositions.

FAQ