Concepts Techniques

Multisig

Portefeuille Multi-Signatures

Portefeuille nécessitant plusieurs signatures pour autoriser les transactions

Définition

Un portefeuille multisig exige plusieurs signatures parmi un ensemble de propriétaires pour exécuter une transaction : un seuil de type 3 sur 5 signifie que trois des cinq clés doivent approuver. Techniquement, c'est un smart contract, le plus souvent Safe (anciennement Gnosis Safe), qui conserve les fonds et n'exécute qu'une fois le quorum de signatures atteint. C'est l'outil standard des trésoreries de DAO, des équipes de protocole et de tout groupe qui ne veut pas dépendre d'une seule clé. Mais c'est aussi, dans la pratique, le point de centralisation le plus fréquent de la DeFi : derrière beaucoup de protocoles présentés comme décentralisés se trouve un multisig capable de modifier les paramètres, de mettre à jour un contrat ou de retirer des fonds. La bonne question n'est jamais « y a-t-il un multisig ? » mais « quel seuil, quels signataires, et derrière quel timelock ? ».

Un multisig exige plusieurs signatures pour dépenser. Cela évite le point unique de défaillance, à condition que les signataires soient réellement indépendants les uns des autres.

Exemple

Une trésorerie de DAO en 3 sur 5 répartit les clés entre cinq contributeurs sur des appareils différents. Un paiement est proposé, trois personnes signent, la transaction part. Cette configuration survit à la perte d'une clé et à la compromission d'une seule machine. Les limites sont tout aussi réelles : Ronin fonctionnait en 5 sur 9 et a perdu 624 M$ parce que l'attaquant a obtenu cinq clés, dont plusieurs étaient contrôlées par la même entité. Un multisig dont les signataires partagent le même employeur, le même prestataire d'infrastructure ou le même appareil ne fournit pas la sécurité que son seuil laisse croire.

Comment ça marche

Un smart contract détient les fonds et n'exécute une transaction que lorsque le nombre requis de propriétaires l'a approuvée. Le seuil et la liste des signataires sont publics et modifiables par les propriétaires eux-mêmes.

Pourquoi c'est important

C'est ce qui protège la plupart des trésoreries DeFi, et c'est aussi le point de centralisation résiduel de la majorité des protocoles présentés comme décentralisés.

À vérifier

Lisez le seuil et la liste des signataires on-chain, évaluez leur indépendance réelle, identifiez les pouvoirs d'administration accessibles au multisig, et vérifiez la présence et la durée d'un timelock.

Risques à considérer

Des signataires non indépendants annulent l'intérêt du seuil : même entreprise, même machine, même prestataire
Un seuil trop bas rend la compromission atteignable, un seuil trop haut rend l'organisation incapable d'agir en urgence
Sans timelock, un multisig peut vider un protocole en une transaction, sans laisser aux utilisateurs le temps de sortir
Le phishing de signataires est un vecteur éprouvé : il suffit de faire approuver une transaction malveillante à la majorité requise

Questions fréquentes

Quel seuil choisir ?

Le seuil doit refléter la valeur protégée et la disponibilité réelle des signataires. Pour une trésorerie sérieuse, 3 sur 5 ou 4 sur 7 avec des personnes véritablement indépendantes est un standard raisonnable : cela tolère la perte d'une clé et exige la compromission de plusieurs acteurs distincts. Le chiffre compte moins que l'indépendance des signataires, de leurs appareils et de leur exposition au même risque organisationnel.

Un multisig rend-il un protocole décentralisé ?

Non. Il répartit une clé entre plusieurs personnes, ce qui est un progrès sur une clé unique, mais un groupe restreint conserve un pouvoir unilatéral sur les fonds ou les paramètres. La décentralisation réelle passe par la réduction des pouvoirs eux-mêmes : contrats immuables, timelock long, gouvernance par vote sur les décisions importantes. Un multisig est un contrôle d'accès, pas un modèle de gouvernance.

Comment vérifier le multisig d'un protocole avant d'y déposer des fonds ?

Les Safe sont publics : on peut lire le seuil, la liste des signataires et l'historique des transactions à l'adresse du contrat. Vérifiez ensuite ce que ce multisig peut réellement faire, c'est-à-dire quelles fonctions d'administration lui sont accessibles, et si un timelock s'interpose avant exécution. Un multisig capable de remplacer l'implémentation d'un proxy sans délai équivaut à confier les fonds aux signataires.

Glossaire DeFi