Un multisig permet de répartir la capacité de signer entre plusieurs clés. Mais si toutes ces clés dépendent du même fabricant, du même firmware ou de la même méthode de génération, une vulnérabilité commune peut réduire le bénéfice attendu.
La diversité des constructeurs peut renforcer la résilience, à condition de ne pas transformer le dispositif en système inexploitable.
Pourquoi diversifier les signataires
Chaque fabricant choisit ses composants, son firmware, ses interfaces et ses procédures de génération. Utiliser plusieurs familles de matériels réduit la probabilité qu’un défaut unique affecte toutes les clés en même temps.
Cette logique ressemble à la diversification d’une infrastructure : elle évite qu’un seul fournisseur soit un point de défaillance commun.
Le quorum reste déterminant
Dans un 2-sur-3, deux clés saines suffisent pour agir. Si une seule clé est compromise, le dispositif peut rester protégé tant que l’attaquant ne contrôle pas une seconde clé.
Mais si deux signataires reposent sur le même défaut, le quorum peut devenir vulnérable. La diversité doit donc être pensée en fonction du seuil, pas seulement du nombre d’appareils.
Diversifier aussi les environnements
Trois marques utilisées sur le même ordinateur, conservées dans le même lieu et sauvegardées selon la même procédure restent exposées à des risques communs.
La résilience demande aussi de séparer les lieux, les systèmes hôtes, les canaux d’achat, les personnes responsables et les procédures de récupération.
La complexité opérationnelle
Un multisig multi-constructeurs implique plusieurs interfaces, formats d’export et rythmes de mise à jour. Il faut vérifier que chaque appareil comprend correctement la politique, affiche les informations critiques et peut participer à une récupération hors de l’outil habituel.
Le descripteur, les clés publiques étendues, les empreintes, les chemins de dérivation et l’ordre des cosignataires doivent être sauvegardés sans exposer les seeds.
Tester la récupération
Un multisig n’est pas prêt tant que sa récupération n’a pas été testée. Il faut vérifier qu’un quorum de secours peut reconstruire le wallet, afficher les bonnes adresses et signer une transaction.
Ces tests doivent être réalisés avec des montants limités et une procédure documentée.
Gouvernance et responsabilités
Dans une organisation, la diversité technique doit être associée à une diversité de contrôle. Les signataires ne doivent pas tous dépendre de la même personne ou du même poste de travail.
La page Multisig & Governance présente l’approche non-custodial de GLOV Secure pour structurer les rôles, seuils et scénarios d’incident.
Un outil, pas une garantie absolue
Le multisig réduit certains risques mais n’élimine ni le phishing, ni les erreurs de destination, ni les mauvaises sauvegardes. Il doit s’intégrer à une Custody Architecture cohérente.
Pour évaluer un dispositif existant ou préparer un nouveau quorum, demandez un audit ou contactez GLOV.