Le débat sur l'auto-conservation oppose généralement des gens qui ne s'entendent pas sur ce qu'est une clé. Ce n'est pas un contenant, rien n'y est rangé, et un portefeuille ne détient aucune pièce. Le comprendre transforme une question idéologique en question pratique : à quelle défaillance préférez-vous être exposé.
Les soldes vivent sur le registre, pas dans votre appareil. Une clé privée est un nombre qui permet de produire une signature que le réseau accepte comme autorisation de déplacer un solde précis. Rien d'autre ne compte à son sujet. Ce n'est pas une boîte, elle ne contient aucune valeur, et la copier ne copie aucune pièce, cela copie la capacité de signer.
Deux conséquences en découlent, et presque toutes les erreurs de garde viennent d'en avoir manqué une. D'abord, quiconque obtient la clé dispose du même pouvoir que vous, immédiatement et irréversiblement, sans avoir besoin de votre appareil ni de votre accord. Ensuite, perdre la clé ne perd les pièces en aucun sens physique : le solde reste visible sur le registre pour toujours, et personne, vous compris, ne pourra plus jamais le déplacer. C'est ce second résultat que les gens ont le plus de mal à croire avant qu'il ne leur arrive.
Un portefeuille ne contient aucune pièce. Il contient la capacité d'autoriser leur mouvement, et cette capacité vous est exclusive ou ne l'est pas.
Le vocabulaire est disputé, les arrangements sous-jacents ne le sont pas. Il y en a trois, et chacun échoue d'une façon que les deux autres ne connaissent pas.
Une plateforme détient les clés et vous crédite d'un solde dans ses propres écritures. Ce que vous possédez est une créance sur cette plateforme plutôt qu'une position sur le registre. Cela supprime toute une famille d'erreurs d'utilisateur, puisqu'il n'y a pas de phrase à perdre et qu'un mot de passe oublié est un ticket de support plutôt qu'une perte définitive. Cela introduit en échange un risque de contrepartie, c'est-à-dire le risque que l'entité détentrice ne puisse pas honorer la créance.
Vous détenez la clé et aucun tiers ne peut déplacer ni geler le solde. Le risque de contrepartie disparaît complètement et se voit remplacé par un risque opérationnel qui repose entièrement sur vous : une phrase perdue, un appareil abîmé, une sauvegarde corrompue, une signature approuvée sans être lue. Aucun de ces cas n'a de voie de recours, et c'est la conception même, pas un défaut.
Plusieurs clés existent et un sous-ensemble défini doit signer pour qu'une transaction soit valide. C'est le seul modèle où une clé compromise n'est pas une perte totale et une clé perdue n'est pas une perte définitive. Il coûte un effort d'installation et une discipline continue, ce qui explique qu'il soit standard chez les institutions et rare chez les particuliers qui y gagneraient tout autant.
Les portefeuilles modernes dérivent toutes les clés qu'ils utiliseront d'une seule suite de mots. Cette suite n'est pas un mot de passe qui protège le portefeuille, elle est le portefeuille : avec ces mots, n'importe qui peut reconstruire toutes les clés sur n'importe quel appareil, n'importe où, sans autre information. L'appareil, l'application et le code sont des commodités posées par-dessus.
C'est pourquoi la phrase ne doit jamais exister sous une forme lisible à distance. Une photo dans une galerie qui se synchronise, une note dans un gestionnaire de mots de passe, un fichier texte sur une machine qui navigue, un message qu'on s'envoie à soi-même : chacun transforme un secret physique en secret joignable à distance, et c'est précisément cette transformation qui rend le vol possible à grande échelle.
Le risque miroir est celui qu'on expédie. Une phrase gardée si sûrement que vous seul pouvez l'atteindre est une phrase que vos héritiers n'atteindront jamais, et le registre ne connaît pas de succession. Une sauvegarde qui survit à l'incendie, à l'eau, à un déménagement et à votre propre mort est un autre problème de conception qu'une sauvegarde qui résiste au vol, et ne résoudre que l'un des deux est le cas le plus fréquent.
Tout plan de garde doit répondre à deux questions : qui peut atteindre ceci sans devoir le pouvoir, et qui peut l'atteindre si moi je ne le peux plus. La plupart ne répondent qu'à la première.
Un portefeuille matériel garde la clé privée dans une puce qui refuse de l'exporter et réalise la signature en interne. L'ordinateur envoie une transaction à signer et reçoit une signature en retour, jamais la clé. Cela signifie qu'un logiciel malveillant présent sur l'ordinateur ne peut pas voler la clé même pendant son utilisation, ce qui est une protection réelle et substantielle.
Ce contre quoi il ne protège pas, c'est vous, autorisant une chose que vous n'aviez pas comprise. Si la machine est compromise et vous affiche une destination tout en en envoyant une autre à l'appareil, la seule défense est l'écran de l'appareil lui-même, et c'est pour cela que vérifier l'adresse dessus plutôt que sur l'ordinateur n'est pas une cérémonie facultative. L'appareil retire le vol de clé de la liste des menaces et y laisse la fraude à l'approbation, intacte.
Il ne fait rien non plus au sujet de la phrase. Un appareil est une façon d'utiliser des clés en sécurité, pas une façon de ranger la sauvegarde, et la phrase générée à l'installation reste l'unique objet dont la perte ou le vol décide de tout. Le trader qui achète un appareil puis photographie sa feuille de récupération a acheté une protection contre une menace et réintroduit l'autre.
Sur les réseaux qui acceptent des contrats programmables, les autorisations de dépense se donnent séparément des transferts. Vous signez une fois pour permettre à un contrat de déplacer un jeton en votre nom, et cette permission persiste jusqu'à révocation. C'est ce qui rend possible l'échange décentralisé, et c'est le mécanisme derrière une large part des pertes décrites après coup comme des piratages.
L'attaque n'a pas besoin de votre clé. Elle a besoin d'une signature de vous, obtenue en présentant une interface d'apparence familière à un moment où vous vous attendiez à signer quelque chose. Ensuite, le solde peut être déplacé à tout instant, sans autre interaction, ce qui explique que les victimes rapportent fréquemment un vol survenu des jours ou des semaines après la seule chose suspecte qu'elles avaient faite.
Les contre-mesures sont banales et efficaces : revoir périodiquement les autorisations en cours et révoquer ce qui ne sert plus, traiter par défaut comme hostile toute demande de signature qui apparaît sans être attendue, et garder les avoirs de long terme sur une adresse qui n'a jamais interagi avec le moindre contrat. La dernière ne coûte rien et supprime la catégorie entière.
Une clé d'API avec droits de trading est une autorité de signature, et elle se comporte comme telle. Elle vit dans un fichier de configuration plutôt que dans un portefeuille, elle est souvent créée une fois et jamais revue, et elle survit à chaque changement de mot de passe et à chaque nouvel appareil. Compromise, elle n'a besoin de retirer quoi que ce soit pour causer une perte : elle peut ruiner le compte en traitant contre un instrument illiquide sans que le solde ne quitte jamais la plateforme.
Trois habitudes rendent cela gérable. Ne jamais accorder de droit de retrait à moins qu'une chose n'en ait réellement besoin, restreindre la clé aux adresses que votre infrastructure utilise vraiment, et faire tourner les clés selon un calendrier plutôt qu'après un incident. Les traders qui font tourner des systèmes automatisés voient cela comme de l'hygiène opérationnelle ; c'est plus exactement le même problème de garde dans un autre format de fichier.
Une preuve de réserves publiée établit une chose étroite : à un instant donné, un ensemble d'adresses contrôlées par la plateforme détenait un certain solde. C'est réellement utile et c'est régulièrement lu comme prouvant plus large. Elle ne dit rien des engagements à moins qu'ils ne soient attestés à côté, rien de ce qui s'est passé entre deux observations, et rien du tout sur une autre date que celle mesurée.
Les questions qui comptent sont plus ternes et plus difficiles à trancher de l'extérieur : les avoirs des clients sont-ils séparés des fonds d'exploitation, qui peut autoriser un mouvement et combien de personnes sont exigées, qu'est-ce qu'un tiers indépendant a réellement examiné plutôt que vu, et qu'advient-il d'une créance si l'entité fait défaut. Aucune n'est réglée par un instantané, et une plateforme qui ne publie que l'instantané a répondu à la question la plus facile de la liste.
Le bon cadrage n'est pas garde par un tiers contre auto-conservation, c'est la séparation des soldes selon leur usage. Le capital de trading doit être joignable en quelques secondes et se trouve exposé au risque de plateforme par définition, parce que c'est ce qui le rend négociable. Les avoirs de long terme n'ont besoin de rien de tout cela et ne devraient pas dormir au même endroit par confort.
Cela donne une forme de travail. Un solde chaud dimensionné sur ce que vous traiteriez ce mois-ci et dont la perte totale serait supportable. Un solde froid sous des clés que vous contrôlez, sur une adresse qui n'a jamais approuvé de contrat, avec une sauvegarde physique, testée au moins une fois en la restaurant, et joignable par une personne de confiance si vous n'êtes pas là. Et des autorisations de retrait, sur chaque plateforme et chaque clé, limitées aux adresses que vous utilisez vraiment.
L'épreuve d'un plan n'est pas qu'il donne un sentiment de sécurité, c'est que vous en ayez répété la défaillance. Restaurez la phrase sur un appareil de rechange et vérifiez qu'elle produit les mêmes adresses. Révoquez une autorisation et vérifiez qu'elle a disparu. Essayez d'atteindre la sauvegarde comme si aujourd'hui était le mauvais jour. Un plan jamais exercé est une croyance, et les croyances en matière de garde se corrigent par les événements plutôt que par la discussion.
Triez les soldes par usage plutôt que par idéologie. Ce qui doit être rapide est exposé par construction ; ce qui n'a pas à l'être ne devrait jamais l'être.
La capacité de signer. La phrase de récupération régénère toutes les clés privées que le portefeuille utilisera, et ce sont ces clés que le réseau accepte comme autorisation de déplacer un solde inscrit au registre. Sauvegardez la phrase et le portefeuille devient jetable ; perdez la phrase et le solde reste visible pour toujours sans que personne ne puisse le déplacer.
Il supprime complètement une menace et en laisse une autre intacte. L'extraction de clé devient impraticable puisque la clé ne quitte jamais la puce, mais une signature que vous approuvez reste une signature, donc une transaction qu'on vous a poussé à confirmer s'exécute normalement. Vérifier la destination sur l'écran de l'appareil plutôt que sur l'ordinateur est la partie qui compte.
Cela convertit un secret physique en secret joignable à distance, et c'est la transformation qui rend le vol possible à grande échelle. Quiconque compromet ce compte, depuis n'importe quel appareil, obtient tout d'un coup sans étape supplémentaire. Un rangement physique en plus d'un endroit, résistant au feu et à l'eau, est la réponse ordinaire malgré son inconfort.
Parce qu'une autorisation de dépense se donne séparément d'un transfert. Une signature autorise un contrat à déplacer un jeton en votre nom, et cette autorité persiste jusqu'à révocation. Rien de plus ne vous est demandé ensuite, ce qui explique que la perte survienne souvent longtemps après la signature et paraisse sans rapport avec elle.
Elle signifie qu'un ensemble d'adresses détenait un solde à un instant donné. Seule, elle ne dit rien des engagements, rien de ce qui s'est passé entre deux mesures, et rien sur la séparation entre avoirs des clients et fonds d'exploitation. C'est un élément parmi plusieurs, et il est régulièrement lu comme une conclusion.
Seulement si vous acceptez d'être vous-même toute la procédure de récupération. L'auto-conservation supprime le risque de contrepartie et le remplace par un risque opérationnel sans service d'assistance et sans recours. L'approche solide pour la plupart des traders est de séparer par usage : un solde exposé dimensionné sur ce qui est activement traité, et un autre sous des clés qu'ils contrôlent.
Les traiter comme des autorités de signature, parce que c'est ce qu'elles sont. Les lister, supprimer celles que rien n'utilise, retirer le droit de retrait de toutes celles qui n'en ont pas réellement besoin, restreindre les autres aux adresses que vos systèmes emploient vraiment, et fixer une date pour recommencer. Une clé que personne ne revoit survit à tous les autres identifiants que vous faites tourner.
En le prévoyant explicitement, parce que le registre ne connaît pas de succession et qu'aucune institution n'aidera. Une phrase que vous seul pouvez atteindre est perdue le jour où vous ne le pouvez plus. Le contrôle partagé avec un seuil défini de signatures, ou une sauvegarde physique scellée accompagnée d'instructions confiées à quelqu'un qui comprend de quoi il s'agit, sont les deux dispositifs qui fonctionnent vraiment.