Les wallets multisig sont souvent présentés comme la solution miracle : on configure le seuil de signature une fois pour toutes, et on n'y pense plus. Pour les exploitants de bureaux de change crypto, cette idée s'effondre dès qu'un employé clé part en congé ou démissionne. Voici cinq mythes sur les wallets multisig qui coûtent cher à ceux qui ne les ont jamais mis à l'épreuve.
Mythe 1 : le multisig rend le vol physiquement impossible
Un wallet multisig exige plusieurs clés privées — par exemple 2 sur 3 — avant qu'une transaction puisse être diffusée. Cela empêche le vol d'une seule clé, mais pas la collusion ni une arnaque qui touche plusieurs signataires à la fois. Le scénario classique : deux signataires sur trois reçoivent le même e-mail de phishing d'un faux « support technique » et valident une transaction malveillante juste avant la fin de la journée — le seuil est formellement respecté, et les fonds ont disparu.
Mythe 2 : plus il y a de signataires, plus c'est sécurisé
Ajouter un cinquième puis un sixième détenteur de clé ne double pas la protection : cela double le nombre de téléphones, de mots de passe et de personnes qui peuvent désormais être ciblés. Chaque signataire supplémentaire, c'est un compte de plus à voler, une personne de plus à tromper, et un appel de plus pour valider une signature. Un bureau de change avec un seuil de 3 sur 5 voit souvent la coordination se gripper lors d'un pic d'activité, bien avant qu'un piratage ne survienne.
Mythe 3 : le multisig remplace la conformité et le contrôle interne
Un schéma de signature ne tient pas de journal d'actions, ne vérifie pas l'origine des fonds d'un client et ne sépare pas les rôles au sein de l'équipe. Il répond à une seule question : combien de personnes doivent donner leur accord pour qu'une transaction passe. Un bureau de change où le même employé crée la demande de paiement, la signe avec sa propre clé, puis vérifie la comptabilité, dispose d'un multisig sans réel contrôle — juste une procédure d'approbation plus compliquée pour la même décision.
Mythe 4 : une fois configuré, on peut l'oublier
Les clés vieillissent avec l'équipe. Un employé qui détenait l'une des trois clés du wallet quitte l'entreprise, et six mois plus tard, son appareil est techniquement toujours capable de signer une transaction si l'accès n'a pas été révoqué le jour même. Même chose avec un téléphone perdu ou un associé qui se retire. La rotation des clés et le départ des signataires sont des tâches opérationnelles aussi routinières que changer un mot de passe administrateur, sauf que le coût d'un oubli est bien plus élevé.
Mythe 5 : un même schéma multisig convient à tous les bureaux de change
Un bureau de change de deux personnes qui démarre à peine ne gagne rien avec un schéma 3 sur 5 : cela ajoute simplement des personnes extérieures ayant accès aux fonds de l'entreprise et transforme chaque paiement en discussion répartie sur trois messageries. Une équipe de vingt personnes avec plusieurs opérateurs par roulement peut au contraire trouver un seuil de 2 sur 3 dangereusement bas : s'entendre à deux devient plus facile qu'il n'y paraît sur le papier une fois l'effectif plus grand. Le schéma doit évoluer avec l'équipe, pas être recopié d'un guide trouvé ailleurs.
Comment choisir le schéma et le seuil de signature selon vos opérations réelles
Commencez par vous demander combien de personnes sont réellement joignables si une transaction doit être signée en pleine nuit ou un jour férié : un seuil plus élevé que ce chiffre signifie que les fonds resteront bloqués au pire moment. Pour un ou deux fondateurs qui démarrent, un wallet froid (hors ligne) associé à un wallet chaud pour les montants courants, avec un seuil simple de 2 sur 3 et la troisième clé conservée à part en secours, suffit généralement. À mesure que l'équipe grandit, il devient utile de séparer les rôles : signataires distincts pour les réserves froides et pour les paiements opérationnels, vérification régulière de qui détient chaque clé, et procédure écrite de départ des signataires. Un schéma sans procédure derrière n'est qu'un wallet chaud plus lent.
Conclusion
Un wallet multisig réduit le risque de point de défaillance unique, mais n'annule pas le facteur humain — collusion, départ mal géré ou schéma copié sans tenir compte de la taille de l'équipe. Il ne fonctionne qu'avec une vraie procédure derrière : qui détient les clés, comment on les fait tourner, et ce qui se passe quand quelqu'un part. Si vous gérez un bureau de change et cherchez une infrastructure de wallet à vous, sans commission d'intermédiaire, jetez un œil à iEXWallet — cela peut vous décharger d'une partie du casse-tête opérationnel lié aux clés et aux signatures.
