La réserve froide d'un exchanger crypto, c'est la crypto qui reste hors ligne et qui ne touche jamais à l'exploitation quotidienne. La question n'est pas de savoir s'il en faut une — il en faut. C'est combien y mettre, et à quelle fréquence y puiser, pour qu'une erreur de signataire ne coule pas toute l'activité. La réponse courte arrive tout de suite, puis les chiffres et la procédure.
Pourquoi deux wallets, pas un seul
Deux wallets existent pour qu'un seul incident ne rase pas toute l'activité. Le wallet chaud gère les paiements en direct, 24h/24 — pratique, mais exposé si le serveur est compromis. Le wallet froid reste hors ligne, hors de portée d'un attaquant distant, même si en sortir des fonds prend du temps.
Imaginez un exchanger qui garde tout au chaud pour la vitesse : une clé API qui fuite, et le solde disparaît en quelques minutes. Avec une réserve froide en place, l'attaquant récupère, au mieux, la tranche opérationnelle — pas l'activité entière.
Combien au froid, combien reste au chaud
Une règle qui fonctionne : garder au chaud l'équivalent de 1 à 3 jours de paiements habituels, et transférer le reste au froid.
- volume moyen de paiements quotidiens
- jours de pointe — mouvements de taux, campagnes
- la vitesse pour réapprovisionner le chaud depuis le froid
- une marge pour les retards réseau
Se tromper sur ce ratio, dans un sens ou l'autre, et on reste exposé ou on fait attendre les clients sur leurs retraits.
Hardware, multisig ou MPC : comment choisir sa garde froide
Chaque option échange la commodité contre la résilience, à sa façon. Un seul hardware wallet est bon marché et simple, mais c'est un point de défaillance unique si cet appareil ou ce signataire n'est pas disponible ou se trouve compromis. Le multisig (par exemple 2 sur 3) résiste à une clé compromise, mais coordonner plusieurs signataires ralentit chaque transfert. Le MPC signe sans jamais assembler une clé unique en un seul endroit — plus rapide à signer que le multisig, mais on fait confiance à la sécurité du prestataire lui-même.
Aucune de ces options ne retire le risque humain : si vos trois signataires multisig sont assis dans le même bureau et signent à la demande, c'est du multisig sur le papier, pas dans les faits.
La routine de rotation : qui signe, et à quelle fréquence
Faire tourner la réserve n'est pas un réglage ponctuel — c'est un processus avec des dates et des rôles nommés.
- qui déclenche un transfert du froid vers le chaud
- au moins deux signataires indépendants
- une fenêtre de signature — heures de bureau, pas 3h du matin
- un journal de chaque mouvement : montant, motif, qui a validé
Un exchanger que nous connaissons déplaçait sa réserve chaque jeudi, quelle que soit la demande — et a traversé une année de fortes variations de taux sans jamais être pris de court, parce que le solde chaud se reconstituait selon un calendrier prévisible.
Les erreurs fréquentes dans l'organisation de la réserve
- Garder trop au chaud « pour la vitesse » — une cible évidente pour n'importe qui.
- Confier le wallet froid à une seule personne, sans signataire de secours.
- Ne jamais tester la récupération de la seed phrase — la sauvegarde existe, mais personne n'a vérifié qu'elle restaure vraiment.
- Stocker les clés de tous les signataires au même endroit physique — un incendie ou un vol règle tout d'un coup.
- Faire tourner la réserve au gré de l'humeur, sans calendrier fixe.
Conclusion
Une réserve froide n'est pas un coffre-fort qu'on ouvre une fois et qu'on oublie. C'est une procédure — combien, qui, quand, sous quelles conditions. Sans procédure, la panique finit par en écrire une à votre place. Pour qui lance son propre exchanger et ne veut pas improviser une garde avec les moyens du bord, il existe déjà un wallet pensé avec cette logique de réserve — iEXWallet — sans commission d'intermédiaire, et sans tout développer depuis zéro.
