Google va désormais garder les clés privées lui-même, car il a fait un constat : 40 % des fonds volés sont perdus à cause des clés 🦖
🚨 行情变了群里说
Le 28 octobre, lors du premier sommet de Google sur les actifs numériques à New York, l’entreprise a présenté pour la première fois Google Multi-Party Compute, un système de signature qui divise les clés privées en plusieurs fragments et les répartit dans différents environnements. Pour l’instant, il est proposé en préversion privée à un petit nombre de partenaires de conception. Sa commercialisation est prévue pour début 2027.
Les chiffres figurant dans le même document sont encore plus frappants. Selon Chainalysis, 43,8 % des cryptoactifs volés en 2024 l’ont été à la suite d’une fuite de clés privées, et non d’une faille dans un contrat. D’après les données de DeFiLlama, au mois de juin de cette année, les projets on-chain avaient perdu au total 16,69 milliards de dollars à cause de vols ; environ 40 % de ces pertes étaient également imputables aux clés privées.
Autrement dit, tout le monde surveille les audits des contrats intelligents, alors que la porte réellement forcée, c’est depuis toujours celle de la clé 🔑
Deux exemples récents : en mars dernier, le protocole de stablecoin Resolv s’est fait dérober environ 25 millions de dollars après la compromission de la clé privée d’un compte privilégié, combinée à une faiblesse dans sa logique de création de jetons. En juin, la clé privée d’un membre de la fondation Humanity Protocol a été piratée ; au moins 17 portefeuilles ont été vidés, pour plus de 32 millions de dollars, et le jeton du projet a chuté de plus de 80 % en une journée.
La méthode de Google n’a rien de nouveau en apparence : c’est le MPC. Une clé est divisée en plusieurs fragments, et il faut que plusieurs d’entre eux soient réunis pour signer une transaction. Si une seule machine est compromise, l’attaquant ne récupère qu’un fragment. Google avait déjà publié un guide de mise en œuvre de cette approche en 2023, mais c’est la première fois qu’il en fait un produit autonome. Alphabet l’utilise déjà lui-même pour gérer des actifs sur Ethereum et Solana.
Ce qui mérite vraiment notre attention, c’est le moment choisi. Les banques et les dépositaires s’apprêtent à transférer actions, obligations et fonds sur la blockchain. Une fois qu’une transaction on-chain est signée, elle est irréversible. Celui qui saura rendre cette étape de signature conforme et auditable détiendra le sésame pour faire entrer les institutions. Google ne prévoit pas de commercialiser son produit avant début 2027 et n’en a pas encore annoncé le prix. D’ici là, les dépositaires et les fournisseurs de solutions MPC déjà en place auront encore de quoi se battre.
À mon avis, l’importance de cette nouvelle ne tient pas à Google, mais au fait qu’elle pousse toute l’industrie à reconnaître une chose : à l’avenir, les budgets de sécurité devront passer de l’audit des contrats à la gestion des clés. La même logique s’applique aux détenteurs ordinaires : portefeuilles matériels, signatures multiples, stockage séparé… Ces méthodes qui paraissent peu pratiques sont justement celles qui se sont révélées les plus efficaces au cours de l’année écoulée ⚠️
Dites-moi en commentaire : comment protégez-vous vos clés privées ? Vous les notez sur papier ou vous les confiez tout simplement à une plateforme d’échange ? 🦕
Chaque jour, je vous aide à suivre l’actualité brûlante de la sécurité crypto. Pas seulement pour savoir ce qui se passe, mais aussi pour comprendre les mécanismes et les opportunités qui se cachent derrière 👀🚀
🚨 行情变了群里说
Le 28 octobre, lors du premier sommet de Google sur les actifs numériques à New York, l’entreprise a présenté pour la première fois Google Multi-Party Compute, un système de signature qui divise les clés privées en plusieurs fragments et les répartit dans différents environnements. Pour l’instant, il est proposé en préversion privée à un petit nombre de partenaires de conception. Sa commercialisation est prévue pour début 2027.
Les chiffres figurant dans le même document sont encore plus frappants. Selon Chainalysis, 43,8 % des cryptoactifs volés en 2024 l’ont été à la suite d’une fuite de clés privées, et non d’une faille dans un contrat. D’après les données de DeFiLlama, au mois de juin de cette année, les projets on-chain avaient perdu au total 16,69 milliards de dollars à cause de vols ; environ 40 % de ces pertes étaient également imputables aux clés privées.
Autrement dit, tout le monde surveille les audits des contrats intelligents, alors que la porte réellement forcée, c’est depuis toujours celle de la clé 🔑
Deux exemples récents : en mars dernier, le protocole de stablecoin Resolv s’est fait dérober environ 25 millions de dollars après la compromission de la clé privée d’un compte privilégié, combinée à une faiblesse dans sa logique de création de jetons. En juin, la clé privée d’un membre de la fondation Humanity Protocol a été piratée ; au moins 17 portefeuilles ont été vidés, pour plus de 32 millions de dollars, et le jeton du projet a chuté de plus de 80 % en une journée.
La méthode de Google n’a rien de nouveau en apparence : c’est le MPC. Une clé est divisée en plusieurs fragments, et il faut que plusieurs d’entre eux soient réunis pour signer une transaction. Si une seule machine est compromise, l’attaquant ne récupère qu’un fragment. Google avait déjà publié un guide de mise en œuvre de cette approche en 2023, mais c’est la première fois qu’il en fait un produit autonome. Alphabet l’utilise déjà lui-même pour gérer des actifs sur Ethereum et Solana.
Ce qui mérite vraiment notre attention, c’est le moment choisi. Les banques et les dépositaires s’apprêtent à transférer actions, obligations et fonds sur la blockchain. Une fois qu’une transaction on-chain est signée, elle est irréversible. Celui qui saura rendre cette étape de signature conforme et auditable détiendra le sésame pour faire entrer les institutions. Google ne prévoit pas de commercialiser son produit avant début 2027 et n’en a pas encore annoncé le prix. D’ici là, les dépositaires et les fournisseurs de solutions MPC déjà en place auront encore de quoi se battre.
À mon avis, l’importance de cette nouvelle ne tient pas à Google, mais au fait qu’elle pousse toute l’industrie à reconnaître une chose : à l’avenir, les budgets de sécurité devront passer de l’audit des contrats à la gestion des clés. La même logique s’applique aux détenteurs ordinaires : portefeuilles matériels, signatures multiples, stockage séparé… Ces méthodes qui paraissent peu pratiques sont justement celles qui se sont révélées les plus efficaces au cours de l’année écoulée ⚠️
Dites-moi en commentaire : comment protégez-vous vos clés privées ? Vous les notez sur papier ou vous les confiez tout simplement à une plateforme d’échange ? 🦕
Chaque jour, je vous aide à suivre l’actualité brûlante de la sécurité crypto. Pas seulement pour savoir ce qui se passe, mais aussi pour comprendre les mécanismes et les opportunités qui se cachent derrière 👀🚀
