We have a multisig.

« We have a multisig » est la réponse que donnent la plupart des projets quand tu demandes qui contrôle l'argent.

On dirait la fin de la question. C'en est le début.

Voici le troisième épisode de notre série « Safe, they said. » Dix phrases que les projets utilisent pour te rassurer, une par semaine. Voici la troisième, démontée.

Ce qu'est un multisig, en un paragraphe

Un multisig est un wallet qui a besoin de plus d'une clé pour déplacer quoi que ce soit. « Trois sur cinq » veut dire que cinq personnes détiennent chacune une clé, et que trois d'entre elles, n'importe lesquelles, doivent signer. Une seule clé perdue ou volée ne suffit pas à le vider.

C'est un vrai progrès par rapport à une clé unique. Il répond à une question : que se passe-t-il si une personne fait une erreur ou disparaît ? Il ne répond pas aux autres.

Première question : les clés de qui ?

Cinq clés sur cinq ordinateurs portables dans la même équipe, le même bureau et le même chat sont plus proches d'une seule clé que de cinq. Elles partagent les mêmes habitudes, les mêmes logiciels et les mêmes personnes susceptibles de les tromper.

En juillet 2026, un Bridge cross-chain de la plateforme de trading AFX a perdu environ 24 millions de dollars, d'après le décompte de la société de sécurité Halborn. Ses transferts exigeaient les deux tiers des voix de sept validateurs. L'attaquant détenait les clés de cinq d'entre eux. Le contrat a vérifié les signatures, les a trouvées valides, et a payé.

Le code a fait exactement ce pour quoi il avait été construit. Le seuil a été atteint par les mauvaises personnes.

Deuxième question : qu'ont vu les signataires ?

Un signataire approuve ce que l'écran affiche. En février 2025, la plateforme d'échange Bybit a perdu environ 1,5 milliard de dollars depuis un wallet multisig. D'après les sociétés d'analyse forensique impliquées et d'après Safe, le fournisseur du logiciel du wallet, des attaquants avaient remplacé du code sur le site web du wallet et proposé une transaction déguisée. Les signataires ont approuvé ce qui ressemblait à un transfert de routine.

Davantage de signataires n'aident pas si tous regardent le même écran manipulé.

Troisième question : que peut changer le multisig ?

C'est la question qu'on pose le moins.

Un multisig qui détient des fonds est un dépositaire. Un multisig qui peut aussi changer les règles, mettre à niveau les contrats ou rediriger l'argent est un petit comité qui a le dernier mot. « We have a multisig » ne dit pas duquel des deux il s'agit.

Quatrième question : reste-t-il le temps de dire non ?

Si une décision prend effet au moment où la dernière clé signe, personne ne peut en arrêter une mauvaise. Un délai entre la signature et l'exécution, un timelock, donne à tous les autres le temps de la voir venir et de réagir. Le Bridge d'AFX avait une fenêtre de contestation de 200 secondes.

Comment le vérifier pour n'importe quel token

Pour cela, tu n'as à faire confiance à aucun site, pas même au nôtre.

1. Trouve l'adresse du multisig. Elle devrait être publiée, et elle peut être ouverte dans n'importe quel explorateur de blocs.
2. Lis-y le seuil et le nombre de signataires, pas sur le site du projet.
3. Demande qui sont les signataires, et s'ils sont indépendants les uns des autres.
4. Regarde ce que le multisig a le droit de faire : détenir des fonds, ou aussi mettre à niveau des contrats et changer des règles.
5. Cherche un délai avant l'exécution, et qui peut arrêter une transaction pendant ce temps.

Où en est SHIBC

Le contrat du token SHIBC n'a pas de propriétaire. Sa propriété a été abandonnée en novembre 2024 : il n'existe donc aucune clé, unique ou partagée, qui puisse le modifier.

Les paramètres de la DAO sont protégés de la même façon. Seule la DAO elle-même peut changer ses règles de vote ou mettre à niveau son plugin de vote. La personne qui maintient le projet n'y a aucun rôle particulier. Chacun peut lire ces autorisations on-chain, et notre livre blanc les énumère à la section 6.6.

Pour les parties qui détiendront de la valeur, le plan est écrit à la section 7.4 du livre blanc : un multisig comme dépositaire des clés, avec un seuil qui résiste à la perte d'un détenteur de clé. Et une règle qui ne plie pas : le multisig détient des clés, il ne change pas les règles que fixe la DAO.

Ce que nous en retenons

Un multisig est une bonne serrure. Qu'il te protège ou non dépend de qui détient les clés, de ce que voient les signataires quand ils signent, de ce que la serrure a le droit d'ouvrir, et de savoir si quelqu'un a le temps de dire non.

Notre vision de la façon dont un token devrait être géré : Custodian, yes. Override, no. (Gardien, oui. Passer outre, non.) Publier l'adresse, le seuil et les signataires. Et laisser à tous les autres le temps de s'opposer avant que quoi que ce soit n'arrive.

La semaine prochaine, quatrième épisode : « The community decides. »