Multisig : le coffre-fort à plusieurs clés

Sur Bitcoin, le multisig est natif : c'est le réseau lui-même qui vérifie le quorum, via un mécanisme éprouvé depuis plus de dix ans. Les contreparties historiques — des frais un peu plus élevés et un quorum visible publiquement lors de la dépense — s'estompent avec Taproot, qui permet aux multisigs modernes de ressembler (et de coûter) comme une transaction ordinaire. Les coordinateurs de référence sont open source : Sparrow Wallet sur ordinateur, Electrum le vétéran, Nunchuk sur mobile, et le français Liana, qui ajoute des chemins de récupération à retardement (timelocks) pensés pour la perte de clé et l'héritage.

Ethereum n'a pas de multisig au niveau du protocole : on déploie un smart contract qui garde les fonds et applique le quorum. La référence s'appelle Safe (ex-Gnosis Safe) : elle sécurise des dizaines de milliards de dollars pour des équipes, des DAO et des particuliers exigeants. Avantage du contrat : changer les signataires ou le seuil sans changer d'adresse. Contrepartie : on fait aussi confiance au code et à l'interface. Le piratage de la plateforme Bybit début 2025 (environ 1,5 milliard de dollars) n'a pas cassé les contrats Safe : l'interface compromise a maquillé ce que les signataires validaient. Leçon durable : vérifier chaque transaction sur l'écran de l'appareil qui signe, jamais seulement sur le site.

Sur Solana, le standard s'appelle Squads : un programme audité à plusieurs reprises, devenu le coffre de centaines d'équipes de l'écosystème. Il existe enfin un cousin technologique, le MPC : une clé unique fabriquée en fragments répartis, qui signent ensemble sans jamais se réunir. C'est l'approche des wallets grand public modernes — dont la plateforme, avec un fragment actif sur votre téléphone et un fragment passif sur leurs serveurs. Même philosophie (supprimer le point unique), mais le quorum est appliqué par du logiciel, pas gravé dans la blockchain.

Le multisig répond à trois angoisses à la fois. Le vol : une clé compromise (cambriolage, phishing, faille d'un fabricant) ne suffit plus. La perte : un incendie, une inondation, une erreur — le coffre survit. La confiance : un couple, une association ou une entreprise peut garantir que personne ne partira seul avec la caisse. C'est exactement pour cela que la quasi-totalité des grandes trésoreries crypto vivent en multisig.

Pour un particulier, les guides de référence (Sparrow, Casa, Unchained) situent la bascule au moment où votre portefeuille devient un patrimoine — souvent autour de plusieurs dizaines de milliers d'euros — ou dès que vous préparez votre succession. En dessous, la complexité coûte plus qu'elle ne protège : un hardware wallet bien sauvegardé, voire une passphrase maîtrisée, couvre déjà l'essentiel. D'ailleurs, l'écrasante majorité des bitcoins du monde reste détenue en single-sig.

Si vous voulez le filet de sécurité sans être seul face à la technique, la custody collaborative (Casa, Unchained) vous laisse la majorité des clés et n'en garde qu'une : le service ne peut rien déplacer sans vous, mais peut vous aider à récupérer ou à transmettre. C'est aussi la voie la plus balisée pour l'héritage : leurs protocoles dédiés permettent à vos proches de récupérer le coffre à votre décès, sans pouvoir y toucher de votre vivant.

Depuis 2024-2025, la menace la plus médiatisée n'est plus seulement numérique. Les agressions dites « à la clé à molette » — menacer physiquement quelqu'un pour qu'il vide son wallet — ont fortement augmenté, et la France a été particulièrement touchée : plusieurs enlèvements et tentatives ont visé des entrepreneurs crypto et leurs proches, dont l'un des cofondateurs de Ledger début 2025. L'État a réagi (accès prioritaire au 17, consultations de sûreté, accompagnement des familles exposées). La leçon n'est pas la panique — ces affaires restent rares à l'échelle des millions de détenteurs — mais la sécurité se pense aussi dans le monde réel.

Le multisig change ce scénario en profondeur. Si vos clés sont réparties géographiquement (domicile, coffre bancaire, tiers de confiance), il devient matériellement impossible de tout vider sous la contrainte immédiate : rien de ce qui se trouve « sur place » ne suffit. Les services spécialisés ajoutent des délais incompressibles — une clé de secours qui ne répond qu'après plusieurs jours, des timelocks à la Liana : l'attaque éclair perd son intérêt parce qu'elle ne peut pas aboutir vite.

La passphrase (le « 25e mot » du module précédent) joue un rôle complémentaire, mais débattu : elle protège surtout votre seed papier, et peut créer un wallet « leurre » au montant plausible. Les spécialistes nuancent toutefois : un leurre peut échouer si l'agresseur sait déjà ce que vous détenez, et on ne combine pas passphrase et multisig sur le même coffre — le multisig élimine déjà le point de défaillance unique.

Reste la première ligne de défense, qui ne coûte rien : la discrétion. La police française le résume d'une formule : « la discrétion est une protection ». Ne montre jamais vos avoirs (réseaux sociaux, conversations, captures d'écran), évite de faire livrer du matériel crypto à votre nom et votre adresse — la fuite de la base clients de Ledger en 2020 alimente encore du phishing et du repérage — et briefe vos proches : dans les affaires françaises récentes, la famille est visée au moins aussi souvent que le détenteur lui-même.

Le multisig a un prix : la rigueur. Il multiplie les éléments à sauvegarder (chaque seed + le descripteur), les manipulations et les occasions de se tromper. Le risque principal n'est pas le pirate : c'est vous. En 2-de-3, perdre deux clés sans copie = fonds définitivement perdus, sans aucun recours. Les post-mortems documentés se ressemblent tous : seeds stockées au même endroit, descripteur jamais exporté, récupération jamais testée.

Les bonnes pratiques tiennent en peu de règles : des fabricants différents pour les appareils (une faille chez l'un ne condamne pas le coffre), des lieux réellement séparés, un test de récupération complet avec un petit montant avant d'y déposer votre capital — puis un re-test périodique. Et le conseil le plus contre-intuitif : ne sur-complexifie pas. Dans la grande majorité des cas, l'option la plus simple qui couvre votre risque est la bonne ; un 2-de-3 bien tenu vaut mieux qu'un 3-de-5 mal géré.