Le multisig, quand une seule clé ne suffit plus pour valider une transaction

L'article sur les wallets décrivait un principe simple mais radical : qui détient la clé privée contrôle entièrement les fonds, sans recours possible en cas de perte ou de vol de cette clé unique. Le multisig (contraction de "multi-signature") change ce rapport de force en répartissant ce pouvoir sur plusieurs clés distinctes plutôt qu'une seule.

Le principe : plusieurs clés, un seuil à atteindre

Un wallet multisig est configuré avec un nombre total de clés et un seuil minimal de signatures nécessaires pour valider une transaction, une configuration notée sous la forme "M sur N". Un wallet en 2 sur 3, par exemple, génère trois clés privées distinctes, réparties sur trois appareils ou personnes différentes, et exige que deux de ces trois clés signent une même transaction avant qu'elle ne soit acceptée par le réseau. La troisième clé peut être perdue, ou tout simplement absente au moment de la dépense, sans bloquer quoi que ce soit.

Cette signature multiple repose sur le même mécanisme cryptographique que la signature d'une transaction classique (voir l'article sur le chiffrement symétrique et asymétrique) : chaque clé privée produit sa propre signature indépendante, et le réseau vérifie que suffisamment de signatures valides accompagnent la transaction avant de la traiter. Aucune des clés n'a jamais besoin d'être partagée avec les autres, ni même de connaître leur existence précise pour que le système fonctionne.

Pourquoi répartir le pouvoir plutôt que le concentrer

Un wallet à clé unique fait reposer toute la sécurité des fonds sur un seul point de défaillance : perdre cette clé, se la faire voler, ou simplement mal la protéger suffit à tout perdre définitivement. Le multisig déplace ce risque d'un point unique vers plusieurs points, chacun devenant individuellement moins critique.

Concrètement, cela couvre plusieurs situations très différentes :

• Une personne seule qui répartit ses propres clés sur plusieurs appareils physiquement séparés (un ordinateur, un wallet matériel, un coffre bancaire), pour qu'aucun vol ou panne isolé ne suffise à tout perdre, ni à tout dépenser sans son accord
• Un couple ou une famille qui gère des fonds communs, où aucune dépense ne peut avoir lieu sans l'accord d'au moins deux personnes désignées
• Une entreprise ou une association qui gère une trésorerie collective, en particulier une DAO (voir l'article dédié), où le multisig remplace littéralement une signature de dirigeant unique par un vote effectif de plusieurs signataires désignés

Ce que le multisig protège, et ce qu'il ne protège pas

Le multisig protège efficacement contre le vol d'une seule clé : un attaquant qui compromet un seul appareil, par exemple via le genre d'ingénierie sociale déjà documentée dans le piratage Coldcard, n'obtient qu'une clé sur plusieurs, insuffisante seule pour valider quoi que ce soit. Il protège aussi contre l'erreur humaine isolée : une transaction mal formée ou une dépense non autorisée nécessite l'accord d'un deuxième signataire indépendant avant de partir.

Il ne protège en revanche pas contre une collusion entre suffisamment de détenteurs de clés pour atteindre le seuil requis, ni contre une mauvaise répartition géographique ou humaine des clés qui viderait le dispositif de son intérêt réel : un wallet en 2 sur 3 dont les trois clés se trouvent physiquement dans la même pièce, ou entre les mains de trois personnes qui partagent systématiquement leurs décisions sans réel contrôle mutuel, n'offre plus grand-chose de plus qu'un wallet à clé unique.

Le compromis, en pratique

Le principal inconvénient du multisig reste sa complexité opérationnelle : chaque dépense nécessite de coordonner plusieurs signatures, ce qui ralentit une transaction simple et exige une bonne organisation entre les détenteurs de clés, en particulier pour ne pas se retrouver dans l'incapacité d'atteindre le seuil requis si trop de clés deviennent indisponibles en même temps. C'est un compromis assumé entre rapidité d'usage et résistance à la perte ou au vol d'une clé isolée, qui a du sens pour des fonds importants ou partagés, mais reste souvent excessif pour un usage quotidien de petites sommes.

Le multisig ne remplace pas les bonnes pratiques de base sur chaque clé individuelle ; il ajoute une couche supplémentaire de résistance qui devient particulièrement utile dès qu'une seule personne, ou un seul appareil, ne devrait plus jamais suffire à décider seul d'une dépense.