11675

Vérification des signatures du portefeuille XMR à corriger｜Amélioration de la sécurité encore en cours d’examen｜J’attends une confirmation à 645 $

Je préfère rester à l’écart et ne pas courir après le prix à la hausse sur la base d’un seul commit. Les sujets populaires sur Binance Square portent actuellement surtout sur la sécurité des plateformes d’échange, les retraits et la macroéconomie. XMR ne figure pas directement dans le classement des recherches des six dernières heures ; je ne vais donc pas m’appuyer sur des sujets sans rapport. Le 3 novembre, une PR n° 11675 a été ouverte dans le dépôt officiel de code de Monero. Le développeur signale que, lorsqu’un portefeuille en lecture seule utilise la méthode de signature par défaut via certaines interfaces de signature de messages, il peut tenter d’utiliser une clé de dépense qui n’existe pas. Les builds de production renvoient une signature impossible à vérifier, tandis que les builds de débogage déclenchent une assertion. La proposition demande de vérifier, avant la signature, que la clé privée sélectionnée correspond bien à la clé publique de l’adresse, et de faire en sorte que l’interface renvoie une erreur explicite. La PR est toujours ouverte et en attente d’examen : on ne peut pas affirmer que la nouvelle version du portefeuille a corrigé le problème, et encore moins en déduire que quelqu’un a déjà perdu des fonds à cause de celui-ci.

Pourquoi ce détail mérite-t-il l’attention des traders ? La « signature de message » sert souvent à prouver le contrôle d’une adresse ou à se connecter à certaines applications, mais elle est différente d’un transfert sur la blockchain. Si l’interface indique que le message a été signé alors que le destinataire ne peut pas le vérifier, l’utilisateur risque de se méprendre sur ses droits ou de perdre du temps à chercher le problème, surtout qu’un portefeuille en lecture seule ne détient normalement pas les clés privées permettant de dépenser les fonds. La PR indique également que, lorsque l’adresse est spécifiée explicitement, l’ancienne logique ne vérifie que la clé publique de dépense et peut renvoyer une signature qui ne correspond pas à l’adresse indiquée. La modification proposée vérifierait les deux types de clés publiques. L’auteur indique que les tests unitaires, les tests de l’API du portefeuille et les tests de la fonction de signature RPC ont réussi, mais il s’agit des tests rapportés par le contributeur ; cela ne signifie pas que le code a été fusionné ou publié, ni qu’il est pris en charge par toutes les interfaces de portefeuille. La dernière note de publication officielle actuellement disponible sur le site est toujours la version 0.18.5.4 ; il faut la distinguer de cette PR en attente d’examen.

Sur le marché, il s’agit d’un correctif potentiel visant à améliorer la fiabilité d’utilisation, qui ne modifie directement ni l’offre de XMR, ni le protocole de confidentialité, ni la demande au comptant. La réglementation et les canaux de négociation restent des facteurs plus importants : le GAFI a récemment lancé un examen ciblé de la mise en œuvre de ses normes par les prestataires de services sur actifs virtuels. Le document ne nomme pas XMR ; il ne faut donc pas le présenter comme une nouvelle interdiction visant XMR. Toutefois, la prise en charge des actifs de confidentialité par les plateformes d’échange, l’état des dépôts et retraits ainsi que la profondeur du marché influent effectivement sur les coûts de transaction réels. Selon un instantané de Kraken, XMR s’échange autour de 632,53 $, avec une ouverture quotidienne à 630 $, un plus bas sur 24 heures à 622,94 $ et un plus haut à 645 $. Le prix est légèrement supérieur à l’ouverture du jour, mais reste sous son plus haut ; cela ne suffit pas non plus à prouver que le marché intègre déjà cette PR dans les cours.

Je considère 645 $ comme le seuil de confirmation à court terme et 622,94 $ comme la limite basse de la fourchette actuelle. Si le prix franchit 645 $ avant de retomber rapidement, ou si l’examen de la PR révèle que la solution ne règle pas le cas des portefeuilles en lecture seule, je devrai renoncer à mon biais haussier. Sur le plan macroéconomique, lors de sa dernière réunion, la Réserve fédérale a maintenu ses taux dans une fourchette de 3,75 % à 4 %. Les contraintes pesant sur la liquidité globale des actifs risqués ne disparaissent pas à la suite d’une simple discussion sur le développement.

À titre personnel, je ne prendrais pas position pour l’instant et n’envisagerais qu’un achat au comptant sans effet de levier. Je ne testerais une position, à hauteur de 2 % maximum du capital total, que si XMR se maintient au-dessus de 645 $ pendant une heure consécutive, repasse sur ce niveau sans tomber sous 642 $, et si la profondeur du marché au comptant XMR ainsi que les dépôts et retraits sont normaux sur la plateforme utilisée. Le premier objectif est 655 $ ; j’en vendrais la moitié à ce niveau. Le second est 665 $ ; à ce stade, je clôturerais la position ou appliquerais un stop suiveur au reliquat. Je placerais le stop-loss sous le creux du repli, avec un écart maximal de 3 % par rapport au prix d’entrée. Si une clôture horaire passe sous 642 $, si la situation des canaux se dégrade ou si une annonce du projet modifie les faits sur lesquels repose cette analyse, je clôturerais plus tôt. Si ces conditions ne sont pas réunies, je resterais sans position : observer le marché ne signifie pas réaliser un gain.

#XMR
Ce qui précède reflète uniquement mon observation personnelle du marché et ne constitue pas un conseil en investissement.

Le correctif de signature du portefeuille XMR entre en revue｜Cela ne signifie pas que le réseau principal est compromis｜N’envisager un essai qu’au-dessus de 636,90 dollars

Ma position : vérifier d’abord les limites du risque, puis examiner le prix, sans courir après un titre sur une ligne de code. Aujourd’hui, les sujets les plus consultés sur Binance Square restent les retraits de la plateforme, l’affaire fiscale française et la macroéconomie. XMR ne porte pas la mention « en hausse » dans les recherches les plus fréquentes sur six heures ; je ne vais donc pas lui coller artificiellement des étiquettes populaires sans rapport avec le sujet. Je me concentre sur un changement précis qui vient d’apparaître dans le dépôt officiel de code de Monero.

Une nouvelle PR, n° 11675, a été créée le 3 novembre dans le dépôt principal de Monero. Son titre est « wallet: reject unverifiable message signatures ». Au moment de la rédaction, elle est toujours ouverte et en attente de revue. Son auteur explique qu’un portefeuille en lecture seule ne dispose pas de clé privée de dépense utilisable. Si l’API du portefeuille ou le RPC signe par défaut avec une clé privée de dépense, une version de production peut renvoyer une signature de message impossible à vérifier. Le correctif proposé consiste à vérifier, avant la signature, que la clé privée sélectionnée correspond bien à la clé publique de l’adresse ; en cas de non-correspondance, l’API ou le RPC renverrait une erreur. Il vérifie également les deux clés publiques d’une adresse explicitement indiquée, afin d’éviter qu’une signature ne corresponde pas à l’adresse spécifiée. Il s’agit ici de la fonction permettant de « prouver qu’un message a été signé par une adresse donnée », et non de la signature d’une transaction sur la chaîne. Rien ne prouve que des clés privées aient été divulguées, que le réseau principal ait été compromis ou que des fonds aient été volés.

J’ai aussi consulté l’ancienne issue n° 4212 du dépôt Monero GUI, datant de 2023 : elle signalait déjà le cas où un portefeuille en lecture seule utilisait à tort une clé de dépense et produisait une signature impossible à vérifier. Le CLI/RPC permet de choisir explicitement la signature avec une clé de consultation. La nouvelle PR traite cette limite ; cela ne signifie pas que le problème vient d’apparaître aujourd’hui. L’affirmation selon laquelle la PR a passé les tests vient de son auteur ; elle est en attente de revue, et n’a donc pas encore été fusionnée ni publiée. La version officielle actuelle sur le site est la 0.18.5.4, datée du 16 octobre, et je n’ai vu aucune annonce officielle indiquant que ce correctif avait été intégré à une version stable. Les personnes qui utilisent un portefeuille en lecture seule pour prouver la détention d’actifs doivent vérifier que la signature est effectivement valide, au lieu de considérer que la simple « génération d’une chaîne de caractères » suffit à achever la preuve.

Quel est le lien avec les transactions ? Les propriétés de confidentialité de XMR font que les tiers dépendent davantage des canaux conformes, des portefeuilles et de preuves d’opérations vérifiables. La fiabilité du processus de preuve compte pour la conservation des actifs et le règlement de gré à gré. Mais un correctif de portefeuille qui n’a pas encore été fusionné ne modifie pas automatiquement, à court terme, l’offre sur la chaîne et ne crée pas de pression acheteuse. Le récent examen des prestataires de services sur actifs virtuels par le GAFI n’a pas non plus nommé XMR ; on ne peut donc pas inventer une interdiction ou une bonne nouvelle à partir de cela. Lors de sa dernière décision, la Réserve fédérale a maintenu sa fourchette de taux entre 3,75 % et 4 % ; la liquidité macroéconomique reste un facteur de contexte. Au moment de la rédaction, le XMR/USD sur Kraken s’échange autour de 632,47 dollars, après une ouverture quotidienne à 630,00 dollars, dans une fourchette de 602,20 à 636,90 dollars sur 24 heures. Le cours est légèrement supérieur à l’ouverture, mais n’a pas dépassé le haut de la fourchette ; on ne peut pas attribuer la hausse à cette PR.

Si je devais trader moi-même, je ne prendrais pas position pour l’instant ; je n’envisagerais qu’un achat au comptant sans effet de levier. J’attendrais une clôture horaire au-dessus de 636,90 dollars, suivie d’un repli qui tient au-dessus de 635, tout en vérifiant que les cotations et les dépôts/retraits fonctionnent normalement sur la plateforme utilisée. Je risquerais alors au maximum 2 % de mon capital total pour un essai. Premier objectif : 650 dollars, où je réduirais la position de moitié. Deuxième objectif : 665 dollars, avec un stop suiveur pour le reste de la position. Stop initial : 624 dollars. Si le cours passe sous 630 sans parvenir à remonter, si la revue de la PR révèle des informations de sécurité plus préoccupantes ou si les plateformes resserrent soudainement leurs conditions, je clôturerais la position par anticipation. Si aucun de ces critères n’est atteint, je reste à l’écart ; je ne présenterai jamais ce plan comme une transaction déjà exécutée.

#XMR

Ceci reflète uniquement mon observation personnelle du marché et ne constitue pas un conseil en investissement.