Anzen, de Luke Childs : le coffre-fort Bitcoin qui résout le trilemme de l'auto-custode

Une faille de firmware dans un portefeuille matériel très répandu a entraîné le vol de plus de $130 millions de bitcoins provenant de portefeuilles Bitcoin à signature unique cette année. Le générateur de nombres aléatoires était prévisible, ce qui a permis aux pirates de recréer des graines sans même avoir à toucher l'appareil.

Le développeur Luke Childs a été témoin de ces événements et a posé la question que tout le monde évitait : pourquoi un simple bug sur un appareil peut-il coûter aux gens les économies de toute une vie ? Sa réponse prend la forme d’un nouveau portefeuille appelé Anzen, qui pourrait bien être la nouveauté la plus intéressante de ces dernières années en matière d’autogestion des bitcoins.

Le trilemme de la conservation en propre

Childs présente le problème sous la forme d'un trilemme. Aujourd'hui, chaque solution de garde autonome vous offre deux des trois caractéristiques suivantes : sécurité, absence de confiance et facilité d'utilisation. Aucune ne vous offre les trois à la fois.

Le « Singlesig » (un seul portefeuille matériel ou un portefeuille « chaud ») est une solution simple et ne nécessitant aucune confiance de la part de tiers. Un seul appareil : il suffit d'appuyer pour dépenser. Mais cela représente un énorme point de défaillance unique. Un bug, un vol, une sauvegarde défectueuse, et tout est perdu. Presque toutes les victimes de Coldcard se trouvaient dans ce coin du triangle.

La signature multiple (multisig) multi-fournisseurs (par exemple, 2 sur 3 sur trois portefeuilles matériels différents) est sécurisée et ne nécessite aucune confiance. Mais son utilisation est un véritable calvaire. Il faut gérer plusieurs appareils, plusieurs sauvegardes de graines, plusieurs emplacements sécurisés et plusieurs codes PIN à ne jamais oublier. Si vous recommandez cette solution à des utilisateurs lambda, vous perdrez plus d'argent à cause d'erreurs humaines et de blocages d'accès qu'à cause des pirates informatiques.

La garde collaborative (Casa, Bitkey) est à la fois sécurisée et simple. Casa a rendu la technologie multisignature accessible au grand public. Bitkey est allé plus loin : pas de phrase de récupération, des dépenses par téléphone uniquement jusqu’à une certaine limite. Le hic, c’est le modèle de confiance. Le fournisseur détient une clé de cosignature et contrôle le canal de mise à jour de l’application mobile qui contient l’une de vos clés. Une seule mise à jour malveillante suffit pour qu’il détienne deux des trois clés. Ce sont certes des entreprises réputées. Mais comme le souligne Childs, leurs employés n’iront pas en prison pour protéger votre infrastructure dans le cadre d’une saisie de type « 6102 », et vous ne devriez pas vous attendre à ce qu’ils le fassent.

Anzen : un coffre-fort, pas un portefeuille

Anzen est la tentative de Childs de concilier ces trois aspects : sécurité, absence de confiance et simplicité. Il s'agit d'une architecture de type ’ coffre-fort » reposant sur deux clés, votre téléphone et un portefeuille matériel, et utilisant des transactions présignées à délai de déblocage. Pas de tiers. Pas de serveurs. Pas de soft fork. Ce système fonctionne dès aujourd'hui avec le bitcoin, et son fonctionnement est garanti par les règles de consensus.

Le script de la chambre forte est simple :

• Téléphone + portefeuille matériel : dépensez immédiatement
• Téléphone seul : amorti au bout de 14 mois
• Portefeuille matériel seul : utilisation possible après 15 mois

De plus, Anzen prend en charge les allocations mensuelles : il s'agit d'un montant fixe que votre téléphone peut transférer automatiquement, chaque mois, de votre portefeuille de stockage à froid vers votre portefeuille actif. Vous pouvez voir cela comme un virement automatique de votre compte d'épargne vers votre compte courant le 1er de chaque mois.

Il y a ensuite l’accès d’urgence : un retrait plus important, prédéfini, que votre téléphone peut déclencher à tout moment, qui s’active après un délai d’une semaine et peut être annulé au cours de cette semaine. Un voleur qui s’empare de votre téléphone et déclenche cette fonction ne fait que lancer un compte à rebours d’une semaine que vous pouvez désactiver.

Toute autorisation préalable peut également être révoquée instantanément en transférant les fonds vers un stockage hors ligne.

C'est cette routine qui rend le système pratique : une fois par an, vous validez à nouveau la politique du coffre-fort sur votre portefeuille matériel. Une simple pression sur un bouton permet de présigner toutes les transactions de l'année. Le téléphone gère le coffre-fort les 364 autres jours. Votre portefeuille matériel retourne alors dans le tiroir.

Pourquoi c'est important pour devenir votre propre banque

C'est précisément la thèse sur laquelle repose ce site : le délai est la caractéristique qui rend la gestion autonome des actifs sûre pour le grand public. Un « timelock » transforme la panique en patience. Il protège contre le vol, la contrainte, les tentatives d'hameçonnage et même la mort, le tout grâce à un seul mécanisme.

Anzen pousse ce concept plus loin que n’importe quelle solution actuellement disponible sur le marché. Il offre le niveau de sécurité d’une signature multiple « 2 sur 3 » (un pirate doit compromettre les deux clés, totalement indépendantes l’une de l’autre, stockées sur deux appareils totalement indépendants), il résiste à la perte de l’une ou l’autre des clés, et il est moins contraignant au quotidien qu’un portefeuille matériel à signature unique, qui nécessite que vous ayez l’appareil en main pour chaque dépense.

Mises en garde sincères

Anzen est en avance sur son temps. Il existe un prototype fonctionnel tournant sur le réseau principal avec de véritables fonds ; il est open source et sous licence MIT, et le dépôt est public. Mais il s'agit d'une interface en ligne de commande (CLI), et non d'un produit. Childs précise clairement qu'il n'est pas encore prêt pour une utilisation en production.

Le principal écart réside au niveau du matériel. À l'heure actuelle, aucun portefeuille matériel ne prend correctement en charge ce type de conception, car ils sont tous conçus autour d'une seule fonction de base : « signer cette transaction ». Anzen a besoin d'une fonction de base différente : « approuver cette politique ». Votre téléphone élabore le projet, le portefeuille matériel vous présente l’ensemble en langage clair, et un simple bouton suffit pour approuver le projet annuel. Tant que les fabricants de matériel n’auront pas mis au point cet écran, Anzen restera un prototype reposant sur une excellente idée.

Mais c'est l'idée qui compte. Qu’il s’agisse d’Anzen, d’un mode « souverain » intégré à Bitkey ou d’une combinaison Ledger et téléphone, la direction à suivre est claire : les coffres-forts à délai d’accès représentent l’avenir de l’auto-custode. Le secteur vient de recevoir une leçon à $130 millions sur les raisons pour lesquelles la signature unique ne suffit pas.

Lisez l'article complet de Childs ici : Résoudre le trilemme de l'auto-conservation du Bitcoin. Le code est disponible sur GitHub : github.com/lukechilds/anzen.

Trouvez la configuration qui vous convient

Anzen, c'est l'avenir. Pour l'instant, un système multisignature bien conçu constitue la meilleure protection que la plupart des utilisateurs de Bitcoin puissent réellement mettre en place. Répondez à quelques questions et obtenez la configuration qui vous est recommandée en 2 minutes : neverlosebitcoin.com/wizard/. Si vous possédez déjà des portefeuilles matériels, vérifiez qu’ils sont compatibles avec notre Vérificateur de compatibilité. For choosing the right wallets, see our guide to the le meilleur portefeuille Bitcoin pour la garde par soi-même.