Le message est arrivé un mardi de février : « on n’arrive plus à sortir les fonds ». Une société de services de dix-huit personnes, 42 000 EUR en stablecoins sur un portefeuille multisignature 2-sur-3, mis en place deux ans plus tôt par un développeur qui avait quitté l’entreprise depuis.
Il n’y a pas eu de piratage. Il y a eu ceci : le premier signataire était parti, sa clé n’avait jamais été révoquée ni transférée ; le deuxième avait changé de téléphone et restauré son portefeuille sans vérifier qu’il avait bien récupéré la bonne clé ; le troisième existait sur le papier, dans un coffre-fort dont deux personnes se renvoyaient la responsabilité. Il a fallu six semaines pour reconstituer une signature valide.
Ce dossier m’a fait changer d’avis sur la question que je posais aux clients. Ce n’est pas « votre trésorerie est-elle sécurisée ? ». C’est : « quand avez-vous fait sortir des fonds pour la dernière fois, et combien de temps cela a-t-il pris ? ».
Voici la méthode que j’applique depuis, en sept étapes. Comptez quatorze jours calendaires, dont environ trois jours-homme de travail effectif. Elle vaut pour une trésorerie de quelques dizaines de milliers à quelques millions d’euros.
Étape 1 — Cartographier les avoirs et les droits de signature réels
Avant toute décision d’outillage, produisez un tableau. Une ligne par adresse détenue par l’entreprise, et cinq colonnes : le solde, la chaîne, qui détient une clé ou une part, où cette clé est physiquement conservée, et la date de la dernière opération sortante réussie.
Cette dernière colonne est celle que personne ne remplit et celle qui révèle tout. Une adresse dont la dernière sortie remonte à plus de six mois n’est pas une adresse sécurisée : c’est une adresse dont vous ignorez si vous pouvez encore l’utiliser.
Sur le dossier évoqué plus haut, ce tableau a mis dix minutes à produire et a immédiatement montré le problème : trois porteurs déclarés, zéro vérification depuis dix-neuf mois, et une colonne « où » contenant la mention « chez Thomas » pour un Thomas qui ne travaillait plus là.
Étape 2 — Choisir le seuil et le nombre de parts
Un portefeuille MPC répartit une clé unique en parts détenues par plusieurs porteurs. Signer exige qu’un nombre minimal de porteurs — le seuil — participe au calcul, et la clé complète n’est jamais reconstituée, à aucun moment, à aucun endroit.
Le choix se joue sur deux risques opposés. Un seuil trop bas expose à la compromission : peu de porteurs suffisent à sortir les fonds. Un seuil trop haut expose à l’indisponibilité, qui est, dans notre expérience de terrain, la cause réelle de la quasi-totalité des blocages.
La règle que j’applique tient en une phrase : le nombre de parts doit dépasser le seuil d’au moins deux. Un 2-sur-3 ne respecte pas cette règle : la perte d’un porteur vous place immédiatement en situation où toute nouvelle indisponibilité bloque tout.
En pratique : 2-sur-4 jusqu’à environ 250 000 EUR, 3-sur-5 au-delà. Et si vous choisissez malgré tout un 2-sur-3, sachez que vous acceptez de fonctionner sans aucune marge : c’est une décision, elle doit être écrite comme telle.
Marge de survie selon la configuration — combien d’indisponibilités avant blocage total
Étape 3 — Répartir les parts selon des risques indépendants
Trois parts détenues par trois personnes du même bureau, sur trois téléphones achetés le même jour, sauvegardés sur le même service, ne constituent pas trois parts. Elles constituent une part avec trois exemplaires du même risque.
Séparez sur trois axes simultanément. La personne : des porteurs qui ne partent pas en vacances ensemble et ne relèvent pas du même responsable. Le lieu : au moins un porteur hors des locaux principaux, pour survivre à un sinistre physique. Le mode de conservation : un matériel dédié, un service à séquestre, un support hors ligne — pas trois fois la même technologie, dont une faille commune viderait toutes vos parts en même temps.
Un axe supplémentaire à considérer pour une entreprise française : la séparation entre la personne qui décide et celle qui signe. Si le dirigeant détient une part et valide seul les dépenses, le contrôle interne est théorique. C’est un point que votre commissaire aux comptes soulèvera, et il aura raison.
Étape 4 — Écrire la politique de dépenses avant de transférer les fonds
Rédigez-la avant, pas après. Une politique écrite après le premier virement urgent est une justification, pas une règle.
Trois paliers suffisent. En dessous d’un plafond quotidien, vers une liste d’adresses préapprouvées, un seul porteur signe : c’est la dépense courante, elle doit être fluide sinon la politique sera contournée. Au-dessus, le seuil complet s’applique. Vers une adresse inconnue, le seuil complet plus un délai d’attente de vingt-quatre heures.
Ce délai est la mesure la plus efficace de toute la liste, et la plus impopulaire. Il ne protège pas contre un attaquant patient. Il protège contre l’urgence fabriquée — le message du « dirigeant » un vendredi à 18 h qui exige un transfert immédiat vers une nouvelle adresse. Ce scénario reste, de loin, le vecteur le plus rentable contre une trésorerie d’entreprise, et il ne relève pas de la cryptographie mais de la procédure. Nos confrères de WebGuard Agency traitent régulièrement ce type de fraude au président côté cybersécurité classique.
Votre trésorerie crypto tient-elle à une seule personne ?
Nous mettons en relation avec des agences françaises capables d’auditer votre configuration de clés, d’écrire la politique de dépenses et de faire répéter la procédure de perte avec vos équipes.
Lancez-vousÉtape 5 — Répéter la procédure de perte d’une part
C’est l’étape que personne ne fait et la seule qui aurait évité les six semaines de blocage évoquées en ouverture.
Le principe est simple : déclarez une part perdue et régénérez l’ensemble. Les protocoles MPC sérieux permettent de recalculer un nouvel ensemble de parts qui rend l’ancien définitivement inutilisable, sans jamais reconstituer la clé et sans changer l’adresse du portefeuille. C’est un avantage décisif sur un multisignature on-chain, où changer de signataire signifie souvent déployer un nouveau contrat et déplacer les fonds.
Faites l’exercice pour de vrai, avec un porteur qui ne répond volontairement pas. Chronométrez. Notez ce qui a manqué : un numéro de téléphone, un mot de passe de coffre, une personne en congé sans suppléant identifié.
La cible que je donne à mes clients est quatre heures ouvrées, de la déclaration de perte à la validation d’une transaction avec le nouvel ensemble. Sur un premier exercice, comptez plutôt une journée et demie. C’est normal, et c’est exactement pour cela qu’on le fait à froid.
Étape 6 — Intégrer la rotation aux processus de départ
Une part reste valide tant qu’elle n’a pas été révoquée. Un départ non traité laisse une capacité de signature entre les mains de quelqu’un qui n’a plus de raison légitime de la détenir — et le fait que la personne soit parfaitement honnête ne change rien, car son téléphone, lui, peut être compromis.
Inscrivez la régénération dans la procédure de sortie, au même rang que la restitution du badge et la désactivation des comptes, avec un délai maximum de cinq jours ouvrés. Ajoutez une revue semestrielle qui vérifie que chaque porteur déclaré est toujours dans l’entreprise, toujours joignable, et a toujours accès à sa part.
Cette revue semestrielle prend une heure. Elle est ce qui distingue une configuration sécurisée d’une configuration qui l’était au moment de sa mise en place.
Causes réelles de blocage d’une trésorerie crypto d’entreprise — ce que nous constatons en intervention
Étape 7 — Tester une dépense complète et documenter la trace
Avant de considérer le chantier terminé, faites sortir une somme réelle — quelques dizaines d’euros suffisent — en suivant intégralement la politique de dépenses, y compris le délai d’attente sur adresse inconnue.
Vérifiez ensuite trois choses. Que chaque porteur a su faire sa part sans assistance : si l’un d’eux a eu besoin d’un appel, la procédure n’est pas documentée. Que la trace produite est exploitable en comptabilité : qui a validé, quand, pour quel motif, avec quel justificatif rattaché. Et que la trace survit à la disparition du prestataire : un journal consultable uniquement dans l’interface d’un éditeur n’est pas une piste d’audit, exportez-le.
Ce dernier point rejoint la question de la réversibilité, qu’il faut négocier au contrat plutôt que découvrir en cours de route : pouvez-vous exporter vos parts et continuer sans votre prestataire s’il cesse son activité ? Si la réponse n’est pas écrite, elle est non.
Les 3 erreurs que j’ai vues le plus souvent
1. Confondre nombre de porteurs et indépendance des risques. Trois parts sur trois téléphones du même modèle, sauvegardés sur le même service, dans le même bureau. C’est une part avec trois copies, et la configuration paraît solide jusqu’au jour où elle ne l’est plus.
2. Traiter le MPC comme un sujet purement technique. Quatre causes de blocage sur cinq sont organisationnelles : départs non traités, sauvegardes non vérifiées, procédures jamais répétées. Aucune ne se corrige en changeant d’outil.
3. Ne pas écrire la politique de dépenses avant le premier virement. Une règle rédigée après coup est toujours calquée sur ce qui a déjà été fait, donc elle ne contraint rien. Écrivez-la à froid, faites-la valider par la direction, et acceptez qu’elle vous ralentisse la première fois.
Ce que ça coûte, et à qui s’adresser
Pour une trésorerie inférieure à environ 100 000 EUR avec une équipe technique à l’aise avec la gestion de clés, une solution open source auto-hébergée est défendable : comptez deux à quatre jours de mise en place et la discipline de la revue semestrielle.
Au-delà, la question devient assurantielle et opérationnelle plutôt que technique. Un prestataire apporte une couverture d’assurance, une astreinte, une politique de dépenses appliquée par le système plutôt que par la bonne volonté, et une trace d’audit exploitable. Les budgets constatés vont de 8 000 à 45 000 EUR HT pour la mise en place, selon le nombre de chaînes et l’intégration comptable.
Pour identifier un prestataire capable de mener ce chantier de bout en bout, consultez notre annuaire des agences Web3 françaises. Et si votre besoin porte plus largement sur l’automatisation des rapprochements comptables autour de ces flux, Plug-Tech couvre bien le sujet côté outillage de données.
Questions fréquentes
Un portefeuille MPC est-il vraiment plus sûr qu’un multisig classique ?
Ils protègent contre des choses différentes et le choix dépend de votre risque dominant. Un multisig on-chain est un contrat intelligent : les règles de signature sont publiques, auditables, et exécutées par la blockchain elle-même. Un portefeuille MPC répartit mathématiquement une clé unique en parts détenues par plusieurs porteurs, sans qu’aucune clé complète n’existe jamais à un seul endroit ; la transaction émise ressemble à une transaction ordinaire à signataire unique. Le MPC est supérieur sur la confidentialité de la gouvernance, sur les frais de réseau et sur la compatibilité avec les chaînes qui n’ont pas de contrats intelligents. Le multisig est supérieur sur la vérifiabilité publique et l’absence de dépendance à un éditeur. Pour une trésorerie d’entreprise française, la question décisive est presque toujours la gouvernance, pas la cryptographie.
Combien de parts et quel seuil choisir pour une PME ?
Trois parts avec un seuil de deux est le point de départ raisonnable jusqu’à environ 250 000 euros de trésorerie, à condition que les trois porteurs soient réellement distincts et joignables. Au-delà, passez à cinq parts avec un seuil de trois : la disponibilité devient le risque dominant, car avec trois parts la perte d’une seule vous laisse sans marge. La règle sous-jacente n’est pas mathématique mais organisationnelle : le nombre de parts doit dépasser d’au moins deux le seuil, sinon la première indisponibilité vous met en situation critique. Un seuil de deux sur trois avec deux porteurs qui partent en vacances ensemble n’est pas un seuil de deux sur trois.
Que se passe-t-il si un porteur de part quitte l’entreprise ?
Vous devez procéder à une régénération des parts, et c’est une opération qu’il faut avoir répétée avant d’en avoir besoin. Les protocoles MPC sérieux permettent de recalculer un nouvel ensemble de parts qui rend l’ancien inutilisable, sans jamais reconstituer la clé et sans changer l’adresse du portefeuille. Un départ non traité laisse une part valide entre les mains d’une personne qui n’a plus de raison légitime de la détenir. Inscrivez cette régénération dans votre procédure de sortie au même titre que la restitution du badge et la désactivation des comptes, avec un délai maximum écrit — nous recommandons cinq jours ouvrés.
Faut-il un prestataire ou peut-on gérer un portefeuille MPC en interne ?
Pour une trésorerie inférieure à environ 100 000 euros et une équipe technique déjà à l’aise avec la gestion de clés, l’auto-hébergement d’une solution open source est défendable et coûte quelques jours de mise en place. Au-delà, la question n’est plus technique mais assurantielle et opérationnelle : un prestataire apporte une couverture d’assurance, une astreinte, une politique de dépenses appliquée par le système plutôt que par la discipline, et une trace d’audit exploitable par votre commissaire aux comptes. Le point à négocier explicitement au contrat est la réversibilité — vérifiez, avant de signer, que vous pouvez exporter vos parts et continuer sans le prestataire s’il cesse son activité.
Une trésorerie crypto sans procédure de perte testée n’est pas sécurisée, elle est chanceuse
L’Annuaire Web3 met en relation les entreprises françaises avec des agences maîtrisant la gestion de clés MPC, la politique de dépenses et l’audit des contrats de garde — en moins de 72 heures.
Lancez-vous