À la suite du bug catastrophique d'entropie de Coldcard, les défenseurs et les experts de l'auto-garde ont commencé à recommander un nouveau standard de portefeuilles multi-signatures multi-fournisseurs, une approche qui vise à minimiser, entre autres menaces, la dépendance à l'égard d'un seul fabricant de portefeuille matériel.
Le bug d’entropie Coldcard qui n’a pas été découvert depuis au moins 2021 a enseigné une dure leçon aux défenseurs et aux utilisateurs de l’auto-garde du Bitcoin. Peu importe à quel point un fournisseur de portefeuille semble légitime ou compétent, s'il est recommandé et réputé, un bug majeur peut être possible. En conséquence, les Bitcoiners remettent en question les anciennes recommandations et hypothèses, dont beaucoup déclarent la « mort du single sig », la méthode d'auto-conservation populaire consistant à confier la génération de paires de clés privées à un seul portefeuille.
Le modèle de menace
L’auto-garde, quelle que soit la mesure, est une pratique avancée dans Bitcoin. Les partisans le recommandent comme moyen de protéger les fonds des utilisateurs contre les malversations d’échange comme celles observées dans les cas de FTX et MtGox, entre autres. Mais les événements récents ont entraîné une réévaluation des pratiques de garde, de nombreux propriétaires de bitcoins transférant des pièces vers des bourses – au moins temporairement – tandis que d'autres améliorent ou modifient complètement leurs configurations d'auto-garde. Nick Neuman, PDG de Casa, a affirmé que 233 000 bitcoins avaient été mis en sécurité en réaction au piratage de Coldcard.
Pour comprendre quand l’auto-garde a du sens et pour qui, il est essentiel de comprendre votre modèle de menace personnel. Un modèle de menace est une analyse minutieuse des menaces pesant sur un individu, dans le but de concevoir à l'avance des pratiques et des structures de sécurité.
Une pratique simple de modèle de menace peut consister à prendre du recul et à réfléchir à toutes les choses possibles qui vous inquiètent en matière d'auto-garde, et à les ajouter à une liste. Pensez ensuite à toutes les choses contre lesquelles les utilisateurs sont préconisés et ajoutez-les à cette même liste. Ensuite, triez ou évaluez les éléments de cette liste en fonction de ceux qui sont les plus susceptibles de vous arriver et de ceux qui sont les plus susceptibles de se produire en général. Enfin, vous pouvez classer chaque élément de la liste selon le degré de catastrophe s'il se produisait ; Votre configuration et vos plans actuels peuvent-ils survivre à la réalisation de cette menace ?
Deux des causes les plus probables de perte de fonds dans l’auto-garde Bitcoin sont les erreurs de l’utilisateur liées aux sauvegardes ou aux mots de passe oubliés, et bien sûr le vol. De nombreux portefeuilles considérés comme des bitcoins perdus qui n'ont pas bougé proviennent de mauvaises sauvegardes de clés privées au début, entraînant une perte de données après une panne d'ordinateur. D’autres ont simplement utilisé des mots de passe trop difficiles à forcer, puis les ont oubliés, chiffrant à jamais leurs clés privées.
En ce qui concerne le vol, les mauvaises attaques d'entropie comptent probablement parmi les attaques contre l'auto-garde les plus réussies à ce jour, Coldcard rejoignant une liste importante d'autres portefeuilles qui ont subi des bugs de ce type, intentionnels ou non, tels que Trust Wallet, et de nombreux portefeuilles mobiles moins connus et potentiellement malveillants. Dans certains cas, de faux portefeuilles comme les portefeuilles iOS Sparrow ont simplement volé les fonds des utilisateurs en conservant une copie des clés privées générées par l'utilisateur et en balayant les fonds une fois déposés. Dans tous ces exemples, un comportement utilisateur plus réfléchi avant de confier à un logiciel aléatoire vos économies est la solution.
Une fois que les utilisateurs disposent d’un modèle de menace clair et d’une compréhension suffisamment bonne de la technologie, la conception de pratiques de sécurité devient plus une science qu’un art. Et même si chaque individu doit prendre en compte des circonstances spécifiques, certaines structures se révèlent être les plus résilientes face à la plupart des menaces. L’une de ces pratiques, largement recommandée et adoptée par les détenteurs de Bitcoin auto-conservés à long terme, est une configuration multisig soigneusement formée.
Multisig multifournisseur
Le terme « Multi-vendor Multisig » est relativement nouveau dans le créneau de l'auto-garde. Le terme « multisig » est néanmoins devenu viral en 2026, clairement déclenché par le piratage de Coldcard qui a entraîné la perte de plus de 100 millions de dollars de bitcoins, provenant principalement de portefeuilles à grain unique. La plupart des utilisateurs de Coldcard à graine unique semblent avoir généré leurs clés privées sur l'appareil sans ajouter de phrase secrète supplémentaire, sans mots supplémentaires qui ajoutent une entropie personnalisée aux clés privées, ni sans lancer de dés supplémentaire, qui font la même chose dans un format différent.
La faible entropie du micrologiciel Coldcard – dont les utilisateurs n'avaient aucune raison de se méfier, étant donné la forte marque de l'entreprise – a à son tour permis de deviner facilement les clés privées associées, avec un peu de travail personnalisé, que les pirates ont finalement compris.
L’intérêt viral qui en résulte pour le multisig est justifié. Les portefeuilles Bitcoin Multisig protègent les utilisateurs contre de telles erreurs du fabricant du matériel en leur permettant de construire une adresse Bitcoin qui nécessite la signature à partir de plusieurs clés privées et donc de plusieurs appareils, dans ce que l'on appelle un script Bitcoin.
Les scripts Bitcoin sont des sortes de contrats qui fixent les conditions de dépenses pour un portefeuille Bitcoin. Tous les portefeuilles Bitcoin peuvent être considérés comme impliquant une sorte de script, le plus simple et le plus populaire étant que toute personne capable de signer une transaction valide peut y dépenser tout ou partie des fonds. Les scripts Multisig nécessitent à la place un seuil de signatures valides provenant de différentes paires de clés pour aboutir à un retrait valide. Ces scripts sont appliqués par les règles de consensus Bitcoin.
La théorie multi-fournisseurs multisig postule que les utilisateurs doivent s'assurer que chaque paire de clés utilisée pour construire un multisig Bitcoin est générée par un fournisseur de portefeuille différent.
Un exemple probablement populaire aujourd'hui pourrait être l'utilisation d'un portefeuille matériel Trezor Safe 7 avec une clé, une deuxième clé générée par un Ledger Nano et une troisième clé générée par un fournisseur de portefeuille multisig, considérée comme une clé de récupération. Un script de ce type nécessiterait 2 signatures valides sur les trois signatures possibles dans la configuration.
En utilisant deux fournisseurs de portefeuille matériel différents, l'utilisateur minimise la confiance dans un seul fournisseur de portefeuille, le protégeant ainsi d'une défaillance d'entropie comme celle observée dans Coldcard.
D'autres configurations Multisig peuvent ajouter plus de clés, un seuil de 3 sur 5 étant également courant et une offre standard d'un portefeuille spécialisé multisig comme Casa. C’est à ce stade que la terminologie couramment utilisée et comprise pour décrire les logiciels de dépenses Bitcoin commence à s’effondrer et mérite donc d’être clarifiée.
Les portefeuilles comme Casa sont des interfaces logicielles qui permettent aux utilisateurs de combiner des transactions partiellement signées à partir de différentes paires de clés privées. Dans ce scénario, il devient plus utile de décrire les « portefeuilles matériels » comme Trezor ou Ledger comme des « signataires de clé », car aucune paire de clés de l'ensemble ne contient suffisamment de matériel de clé pour dépenser tout le Bitcoin détenu dans l'adresse de script Multisig.
Casa est donc un portefeuille Multisig qui vous permet d'utiliser un seuil de signataires matériels pour sécuriser et envoyer des fonds Bitcoin. Fondamentalement, ils aident les utilisateurs à interagir avec le script Bitcoin et à créer facilement des transactions valides par consensus. D'autres exemples de ces fournisseurs de portefeuilles multisig incluent Nunchuck, le portefeuille de bureau Sparrow et Unchained Capital.
Dans des cas comme Casa et Unchained, le fournisseur de portefeuille propose aux utilisateurs une clé de récupération contrôlée par l'entreprise, que certains utilisateurs trouvent utile. Nunchuck et Sparrow, en revanche, sont conçus pour une autonomie totale de l'utilisateur à cet égard, bien que Nunchuck propose également un plan de récupération premium lié aux clés.
Les avantages du multifournisseur Multisig
Un autre avantage d’un portefeuille multisig est sa résistance potentielle aux fameuses attaques à clé. Des pays comme la France, qui font de la propriété du Bitcoin et de la crypto une question de domaine public à la suite des déclarations de revenus, sont devenus des points focaux pour les enlèvements liés au vol de crypto. Auto-garde ou non, les cibles de ce type de crime sont vulnérables au vol, en particulier lorsque les fonds peuvent être transférés intégralement rapidement, qu'il s'agisse d'un échange de garde auquel l'utilisateur peut accéder depuis son téléphone ou d'une configuration d'auto-garde.
Les formes avancées de multisig, comme le multisig multi-juridictionnel ou verrouillé dans le temps, font que les utilisateurs doivent voyager, idéalement via un aéroport, afin d'atteindre d'autres signataires clés nécessaires pour construire une transaction Bitcoin valide. Ou peut-être que la clé de récupération impliquée dans le multisig a la condition qu'elle ne signera pas pendant deux semaines après que l'utilisateur ait soumis la demande et les données de transaction correspondantes. Le résultat est la suppression du dernier point central d’échec dans la conservation du Bitcoin : la propre volonté de l’utilisateur d’envoyer le Bitcoin, en particulier sous la contrainte.
Bien que les meilleures pratiques en matière d'attaques à clé tentent généralement d'éviter de se retrouver dans cette situation, rendre difficile le dépenser de vos pièces protège également les utilisateurs d'un large éventail d'attaques, y compris les programmes de phishing et d'autres formes d'ingénierie sociale qui utilisent des tactiques de pression pour inciter les utilisateurs à envoyer des fonds rapidement.
Multisig a également commencé à permettre de nouvelles formes d'assurance Bitcoin, comme le démontre AnchorWatch, un portefeuille multisig et une compagnie d'assurance qui offre une protection contre le vol de Bitcoin libellée en BTC. Les services de l'entreprise sont aujourd'hui principalement proposés aux Américains par l'intermédiaire de l'assureur Lloyd's de Londres.
Les inconvénients du Multisig
L'un des inconvénients majeurs de Multisig est que l'utilisateur n'a pas seulement besoin d'avoir accès au matériel de clé de seuil nécessaire pour signer, qu'il s'agisse de deux portefeuilles matériels comme dans notre exemple, ou de l'un des portefeuilles matériels et d'une clé de récupération de la société de portefeuille. L'utilisateur doit également stocker une copie du script ou du modèle Multisig, afin de pouvoir recréer le contrat intelligent et donc les conditions de retrait valides pour les dépenses. La plupart des portefeuilles Multisig stockent ces informations pour les clients, mais ils enverront également une copie aux utilisateurs afin qu'ils puissent les récupérer indépendamment du portefeuille Multisig, s'il devait un jour se déconnecter.