Google va-t-il se lancer dans la conservation de cryptomonnaies ? Comprendre d’abord pourquoi les clés privées posent toujours problème
Une nouvelle publiée ces derniers jours mérite l’attention du grand public : selon un article de CoinDesk daté du 28 octobre, Google a présenté, lors d’un séminaire sur les actifs numériques à New York, un service de sécurité appelé Google Multi-Party Compute (MPC). Il est actuellement en préversion privée et n’est pas encore officiellement disponible. Sa commercialisation est prévue pour début 2027, mais son prix n’a pas été annoncé. La société mère de Google, Alphabet, a déjà commencé à l’utiliser pour conserver ses propres actifs numériques sur Ethereum et Solana. Ces informations proviennent d’un entretien accordé par Google aux médias ; l’entreprise n’a pas révélé le nom de l’organisme chargé des tests.
I. Pour commencer par la conclusion : quel rapport avec votre portefeuille ?
Ce service s’adresse aux banques et aux institutions financières, pas aux particuliers. Mais le problème qu’il résout concerne tout le monde : dès qu’une clé privée tombe entre de mauvaises mains, les actifs peuvent être transférés, et les transactions sur la blockchain sont pratiquement irréversibles.
II. À quel point une clé privée est-elle dangereuse ?
CoinDesk cite des données de Chainalysis : en 2024, environ 43,8 % des actifs numériques volés l’ont été à la suite d’une fuite de clés privées. Selon les données de DefiLlama, jusqu’en juin de cette année, les projets avaient perdu au total environ 16,69 milliards de dollars à la suite de piratages, dont près de 40 % en raison de clés privées compromises. En mars de cette année, Resolv a perdu environ 25 millions de dollars après la compromission de la clé privée d’un compte privilégié. En juin, la clé privée d’un membre de la fondation Humanity Protocol a été volée, entraînant le transfert de plus de 32 millions de dollars ; le cours du jeton a temporairement chuté de plus de 80 %.
III. Qu’est-ce que le MPC ? Une explication par une analogie du quotidien
Imaginez une clé de coffre-fort qui, au lieu d’exister en un seul exemplaire, est divisée en trois parties, chacune conservée dans un endroit différent : l’une sur un service cloud, une autre sur les appareils de la banque et la troisième chez un autre fournisseur cloud. Pour effectuer un transfert, plusieurs parties (par exemple, deux sur trois) doivent collaborer afin de signer la transaction. La clé complète n’est donc jamais réunie au même endroit. Ainsi, même si un ordinateur est piraté, l’attaquant ne peut pas obtenir la clé entière. Google précise également qu’avant la signature, les transferts sont vérifiés au regard des règles définies par l’institution, comme les plafonds de montant, les listes blanches d’adresses destinataires et l’approbation de plusieurs services.
IV. Ce que cette solution ne peut pas résoudre
C’est un point important. L’article souligne tout particulièrement que :
1. Si un utilisateur légitime se fait piéger et approuve lui-même un transfert malveillant, le système ne pourra pas forcément l’empêcher.
2. Le niveau de sécurité dépend de la configuration de l’institution et des personnes autorisées à modifier les règles d’approbation.
3. Les institutions restent dépendantes des logiciels et des infrastructures de leurs prestataires.
4. Cette solution vise à prévenir le vol d’identifiants et les transactions non autorisées ; elle ne peut pas contrer une hypothétique percée consistant à « casser la cryptographie sous-jacente ». À ce jour, aucun système d’IA n’a démontré qu’il pouvait casser les signatures de Bitcoin ou d’Ethereum.
V. Trois leçons à retenir pour les particuliers
1. Ne stockez pas votre phrase de récupération sous forme de capture d’écran, dans une note sur le cloud ou dans un historique de conversation : cela revient à laisser un « point de défaillance unique » sur votre téléphone.
2. Si vous détenez des actifs importants, utilisez un portefeuille matériel et séparez les sommes importantes de celles destinées aux dépenses courantes.
3. Avant de signer, vérifiez attentivement le contenu de l’autorisation. Même la meilleure technologie ne peut pas vous protéger si vous cliquez vous-même sur « Accepter ».
Par ailleurs, d’autres informations publiées la même semaine indiquaient que Bitcoin Core avait révélé trois failles découvertes grâce à des analyses par IA. L’une d’elles pouvait permettre à une machine distante de faire planter les nœuds de certains systèmes (selon COINOTAG). Cela montre que l’IA peut être utilisée par des attaquants, mais qu’elle aide aussi les développeurs à repérer des failles. La sécurité est un combat permanent entre attaque et défense, pas une opération ponctuelle.
Comment conservez-vous votre phrase de récupération ? N’hésitez pas à nous parler de vos méthodes en commentaire.
Le contenu ci-dessus est fondé sur des informations publiques et ne constitue pas un conseil en investissement.