Frères du DAO et du coffre, ne vous fiez vraiment pas trop aux multisigs.
Tout le monde pense que le mécanisme 3/5 ou “quelques fractions” de multisig est solide, mais au niveau logique, il y a une hypothèse fatale : il suppose que ces personnes vont réellement examiner attentivement les propositions. Dans la réalité ? Récemment, j’ai rejoué sur la chaîne un incident concernant un coffre dont on a vidé 30% des actifs : trois personnes ont donné l’autorisation, mais l’une était en congé, totalement déconnectée ; l’autre, un gros frère, n’a même pas jeté un œil au contenu du virement avant de valider. La transaction s’est faite sur la chaîne sans le moindre problème, et aucune clé privée n’a fuité : c’était simplement des gens qui ont approuvé sans être au courant.
Au fond, le mécanisme de multisig sert seulement à réunir un certain nombre de signatures ; il ne peut pas empêcher la paresse humaine ni la dispersion de l’attention.
Récemment, je suis passé sur le testnet pour en lancer un passage, @NewtonProtocol , et j’ai découvert que VaultKit avait changé de solution. Il ne s’acharne plus à savoir s’il faut “assez de signataires” ; il résout plutôt “pourquoi on devrait faire relire par des gens”. Le coffre applique directement une logique compilée via Rego et mise on-chain : la liste blanche et les plafonds par opération sont verrouillés noir sur blanc. À chaque fois qu’on veut déplacer des fonds, il faut d’abord passer l’étape de vérification de signature par un nœud AVS, puis produire des preuves agrégées BLS avant d’autoriser l’exécution. Ensuite, il y a l’isolation TEE et le mécanisme de slashing via $NEWT : à chaque étape, la cryptographie surveille tout. Leur logique, c’est : on exécute quand les conditions sont remplies, pas en s’en remettant au jugement humain.
Bien sûr, faire ça a aussi un coût évident : zéro flexibilité.
Les règles posées en amont signifient qu’en cas de situation d’urgence soudaine, si vous voulez chuchoter à quelques personnes au milieu de la nuit pour emprunter une voie verte et transférer de l’argent ? Oubliez ça. Les règles vous bloquent : il faut suivre sagement un long processus de mise à jour. La ligne de défense des fonds doit-elle être une certitude rigide, déterministe, ou une flexibilité permettant l’intervention humaine ? En réalité, c’est une impasse. $BTC
Pour ma part, je l’utilise seulement avec une petite position pour tester les limites défensives de cette combinaison de règles. Pour les gros montants, quand vous faites de l’opérationnel au quotidien, est-ce que vous préférez faire confiance aux règles “figées” du code, ou à l’œil et l’analyse des frères ? #newt $ETH
Tout le monde pense que le mécanisme 3/5 ou “quelques fractions” de multisig est solide, mais au niveau logique, il y a une hypothèse fatale : il suppose que ces personnes vont réellement examiner attentivement les propositions. Dans la réalité ? Récemment, j’ai rejoué sur la chaîne un incident concernant un coffre dont on a vidé 30% des actifs : trois personnes ont donné l’autorisation, mais l’une était en congé, totalement déconnectée ; l’autre, un gros frère, n’a même pas jeté un œil au contenu du virement avant de valider. La transaction s’est faite sur la chaîne sans le moindre problème, et aucune clé privée n’a fuité : c’était simplement des gens qui ont approuvé sans être au courant.
Au fond, le mécanisme de multisig sert seulement à réunir un certain nombre de signatures ; il ne peut pas empêcher la paresse humaine ni la dispersion de l’attention.
Récemment, je suis passé sur le testnet pour en lancer un passage, @NewtonProtocol , et j’ai découvert que VaultKit avait changé de solution. Il ne s’acharne plus à savoir s’il faut “assez de signataires” ; il résout plutôt “pourquoi on devrait faire relire par des gens”. Le coffre applique directement une logique compilée via Rego et mise on-chain : la liste blanche et les plafonds par opération sont verrouillés noir sur blanc. À chaque fois qu’on veut déplacer des fonds, il faut d’abord passer l’étape de vérification de signature par un nœud AVS, puis produire des preuves agrégées BLS avant d’autoriser l’exécution. Ensuite, il y a l’isolation TEE et le mécanisme de slashing via $NEWT : à chaque étape, la cryptographie surveille tout. Leur logique, c’est : on exécute quand les conditions sont remplies, pas en s’en remettant au jugement humain.
Bien sûr, faire ça a aussi un coût évident : zéro flexibilité.
Les règles posées en amont signifient qu’en cas de situation d’urgence soudaine, si vous voulez chuchoter à quelques personnes au milieu de la nuit pour emprunter une voie verte et transférer de l’argent ? Oubliez ça. Les règles vous bloquent : il faut suivre sagement un long processus de mise à jour. La ligne de défense des fonds doit-elle être une certitude rigide, déterministe, ou une flexibilité permettant l’intervention humaine ? En réalité, c’est une impasse. $BTC
Pour ma part, je l’utilise seulement avec une petite position pour tester les limites défensives de cette combinaison de règles. Pour les gros montants, quand vous faites de l’opérationnel au quotidien, est-ce que vous préférez faire confiance aux règles “figées” du code, ou à l’œil et l’analyse des frères ? #newt $ETH