Un portefeuille multisignature est adopté précisément pour empêcher qu’une seule personne, y compris un fondateur ou un employé de confiance, ne puisse déplacer seule les fonds de l’entreprise. C’est l’une des meilleures défenses structurelles contre le vol interne qui existent en matière de garde de cryptomonnaie. La même conception qui le rend résistant à un acteur isolé malveillant le rend aussi dépendant du fait que chaque signataire requis reste joignable, coopératif, et en possession de sa clé. Lorsque l’un d’eux ne l’est pas, le portefeuille peut devenir tout aussi inutilisable que s’il avait été compromis, alors même que rien n’a techniquement été volé.
Comment cela se produit concrètement
Nous observons une poignée de schémas récurrents derrière une trésorerie multisig bloquée. Un cosignataire quitte l’entreprise en mauvais termes et refuse de participer aux transactions, utilisant parfois explicitement sa signature requise comme levier dans un différend sans rapport. Un cofondateur devient véritablement injoignable, par éloignement, incapacité, ou plus rarement décès, sans que le seuil du portefeuille n’ait été conçu pour survivre à cette situation. Un signataire perd son appareil matériel ou sa clé sans processus de récupération documenté, ce qui équivaut fonctionnellement à un refus de coopérer de sa part, quelle que soit son intention réelle. Et occasionnellement, un signataire agit ouvertement de mauvaise foi, tentant d’utiliser sa position pour extorquer un paiement avant d’accepter de signer une transaction légitime.
Le point commun entre tous ces cas est que l’hypothèse de sécurité du portefeuille, à savoir que le seuil requis de signataires serait toujours disponible et agirait de bonne foi, s’avère ne pas avoir tenu compte des perturbations ordinaires, professionnelles comme personnelles. Un schéma 2 sur 3 ou 3 sur 5 conçu uniquement pour prévenir le vol, sans prévoir également qu’un signataire puisse devenir indisponible, crée exactement cette exposition.
Ce qui peut, et ne peut pas, être fait techniquement
Une fois qu’un portefeuille est déployé avec un ensemble de signataires et un seuil fixes, il n’existe généralement aucun moyen de retirer ou de remplacer un signataire non coopératif sans la coopération de ce signataire lui-même, à moins que la configuration multisig n’ait été spécifiquement conçue à l’avance avec un mécanisme de récupération ou de rotation des clés. C’est là le cœur inconfortable du problème : la même rigidité qui rend le multisig sécurisé face à un acteur isolé malveillant le rend inflexible face à une perturbation ordinaire et prévisible de la disponibilité de cet acteur.
Le meilleur moment pour résoudre un problème de cosignataire hostile est avant qu’il ne survienne, en choisissant un schéma multisig doté d’un chemin de récupération intégré, d’un nombre de signataires supérieur au strict minimum, ou d’un mécanisme de sauvegarde à verrouillage temporel. Une fois le portefeuille déployé et un signataire déjà non coopératif, les options se réduisent considérablement et basculent souvent du domaine technique au domaine juridique.
Quelles options d’investigation et juridiques existent généralement
- Un enregistrement documenté de la gouvernance du portefeuille, qui a été désigné comme signataire, en vertu de quel accord, et ce que cet accord prévoit en matière de démission, de révocation ou d’incapacité, constitue le point de départ de tout recours juridique.
- Lorsqu’un signataire refuse de coopérer pour des raisons abusives, ce refus peut parfois être traité par le biais de l’accord commercial sous-jacent entre les parties, en particulier si la gouvernance du portefeuille a été documentée dans un pacte d’actionnaires ou un accord d’exploitation.
- Lorsqu’il est démontrable que des fonds risquent d’être verrouillés définitivement, des recours civils tels qu’une demande visant à contraindre l’exécution d’un accord, ou dans certaines juridictions une ordonnance judiciaire portant spécifiquement sur l’actif en question, peuvent être envisageables, bien que cela dépende fortement de l’accord applicable et de la juridiction, et relève d’un conseil juridique qualifié plutôt que d’une hypothèse à poser d’avance.
- Un examen forensique de l’historique des transactions du portefeuille et de l’activité des signataires peut établir, indépendamment de tout récit contradictoire, exactement ce que chaque signataire a fait ou n’a pas fait, et à quel moment, ce qui s’avère souvent déterminant pour trancher un différend portant sur l’intention.
Construire le prochain portefeuille pour résister à ce scénario
Pour une entreprise mettant en place aujourd’hui la garde de sa trésorerie, la leçon de ces dossiers n’est pas tant d’éviter le multisig que de ne pas traiter la configuration initiale du seuil comme une décision permanente et figée. Un ensemble de signataires incluant un plan de succession documenté, un seuil comportant une certaine marge au-delà du strict minimum opérationnel, et un accord de gouvernance écrit couvrant ce qui se passe si un signataire devient indisponible, traite l’essentiel de ce qui transforme un problème de personnel isolé en une trésorerie gelée.