Preuve de réserves vs auto-garde : ce que signifie réellement « not your keys » pour les traders

Sommaire

1. Le faux sentiment de sécurité d'un ratio sain
2. Ce que vérifie réellement la preuve de réserves
3. Trois modes de défaillance que la PoR ne peut pas détecter
4. Pourquoi les zk-SNARKs comblent certaines lacunes, mais pas toutes
5. Ce que signifie réellement « not your keys »
6. Le spectre de l'auto-garde
7. Le compromis honnête
8. Cinq questions auxquelles tout trader devrait répondre dès maintenant
9. Le fossé que la PoR n'a jamais été conçue pour combler
10. FAQ

La preuve de réserves (PoR) était censée résoudre le problème de confiance. Après l'effondrement de FTX en novembre 2022, les plateformes d'échange se sont précipitées pour publier des snapshots d'arbres de Merkle et des attestations tierces. Le message était clair : regardez, nous avons votre argent. Le problème est que FTX disposait également de snapshots de preuve de réserves qui semblaient corrects - jusqu'au moment où ils ne l'étaient plus.

La PoR n'est pas un mensonge. C'est un outil spécifique avec des limites spécifiques. La plupart des traders la traitent comme une garantie de solvabilité. Ce n'est pas le cas. Comprendre l'écart entre ce que la PoR prouve et ce qu'elle ne prouve pas fait toute la différence entre une gestion des risques éclairée et un faux sentiment de sécurité.

Le faux sentiment de sécurité d'un ratio sain

Les rapports de PoR récents semblent rassurants en apparence. Le snapshot de Kraken de mars 2026 affichait un ratio de collatéralisation BTC de 101,6 %. Phemex a publié des chiffres en avril 2026 montrant une surcollatéralisation de 131 %. L'audit Hacken de MEXC en mai 2026 faisait état de 293 % de réserves BTC par rapport aux passifs. Des chiffres sains.

Mais ces ratios ne répondent pas à la seule question qui compte : ces réserves sont-elles réellement présentes au moment où vous avez besoin de retirer vos fonds ?

Ce que vérifie réellement la preuve de réserves

Un audit PoR standard fonctionne ainsi : la plateforme prend un snapshot de ses portefeuilles on-chain à un moment précis. Un auditeur tiers construit un arbre de Merkle des soldes des clients, permettant aux traders de vérifier que leur propre solde est inclus dans le total. L'auditeur confirme que la plateforme contrôle les portefeuilles détenant ces actifs.

Les mathématiques vérifient deux choses : que la somme des soldes individuels correspond au total déclaré, et que la plateforme contrôle des portefeuilles contenant au moins ce montant on-chain.

Cela ne vérifie pas :

• Les passifs off-chain - prêts non divulgués, actifs réhypothéqués ou obligations de contrepartie qui n'apparaissent pas dans le snapshot
• La sécurité opérationnelle - si l'infrastructure de signature, la configuration multisig ou les contrôles internes de la plateforme sont robustes
• La continuité - si les réserves affichées au moment du snapshot sont toujours présentes une semaine, un jour ou une heure plus tard

Ce ne sont pas des cas isolés. Ce sont les modes de défaillance exacts à l'origine des plus grandes pertes de l'histoire des plateformes crypto.

Trois modes de défaillance que la PoR ne peut pas détecter

Prêts de garde et réhypothécation

FTX est l'exemple canonique. La plateforme aurait transféré environ 8 milliards USD de fonds clients vers Alameda Research, sa société de trading affiliée. Les snapshots de PoR pris pendant cette période montraient des ratios de réserve sains car la méthodologie ne capturait pas le côté passif de ce transfert. Les actifs apparaissaient on-chain dans les portefeuilles de la plateforme. Les prêts à Alameda n'apparaissaient pas dans l'audit.

La réhypothécation - utiliser les dépôts des clients comme garantie pour des emprunts au niveau de la plateforme - est structurellement invisible pour tout audit basé sur des snapshots. Les actifs peuvent être présents au moment du snapshot et avoir disparu au moment où vous demandez un retrait.

Défaillance de la sécurité opérationnelle

Bybit a perdu environ 1,5 milliard USD en février 2026 lors d'une attaque attribuée au Lazarus Group. Il ne s'agissait pas d'une faille de smart contract ou d'une primitive cryptographique brisée. Les attaquants ont compromis l'interface de signature utilisée par les signataires multisig de Bybit. Les signataires ont approuvé une transaction qui semblait légitime sur leurs écrans mais qui exécutait une charge utile différente. Les fonds avaient disparu avant que quiconque ne réalise ce qui s'était passé.

Aucun système de PoR ne détecte cela. Les réserves étaient réelles. L'infrastructure de signature était compromise. La preuve de réserves ne vous dit rien sur la sécurité réelle des personnes et des systèmes contrôlant ces réserves.

Manipulation de snapshot

L'analyse de Cobo et Web3.com Ventures a documenté une manipulation simple : les plateformes empruntent des réserves pour la période du snapshot et les rendent ensuite. Le snapshot montre une collatéralisation complète. Les actifs empruntés repartent immédiatement après la clôture de la fenêtre d'audit.

L'effondrement de Zondacrypto en 2026 en Pologne a illustré directement le problème de continuité. Les réserves des hot wallets ont chuté de 99,7 % entre deux rapports PoR consécutifs. Les snapshots eux-mêmes montraient des chiffres sains. Le problème résidait dans l'intervalle entre les rapports. Une surveillance continue l'aurait détecté. Les attestations périodiques ne l'ont pas fait.

Pourquoi les zk-SNARKs comblent certaines lacunes, mais pas toutes

Vitalik Buterin a proposé d'utiliser des preuves zk-SNARK pour améliorer la PoR standard. L'idée : prouver cryptographiquement que la somme de tous les soldes individuels est inférieure ou égale aux réserves totales, sans révéler les données de compte individuelles. Cela comble le fossé des passifs. Une plateforme ne peut pas cacher des obligations non divulguées si la preuve couvre tout le côté passif du bilan.

C'est une amélioration significative par rapport aux audits d'arbres de Merkle basés sur des snapshots. Mais cela ne résout toujours pas la sécurité opérationnelle. Une preuve zk-SNARK indiquant que les réserves correspondent aux passifs ne dit rien sur la probabilité que les signataires multisig de la plateforme approuvent une transaction malveillante demain. La preuve cryptographique de solvabilité et la preuve cryptographique de sécurité sont des problèmes différents.

Ce que signifie réellement « not your keys »

La phrase est tellement répétée qu'elle en devient du bruit. Voici le mécanisme.

Une clé privée est une autorité de dépense. Quiconque contrôle la clé privée contrôle l'actif. Lorsque vous déposez des fonds sur une plateforme centralisée, vous transférez cette autorité de dépense à la plateforme. Ce que vous recevez en retour est un crédit - une reconnaissance de dette (IOU). La plateforme vous doit l'actif. Vous ne le possédez pas on-chain.

Une reconnaissance de dette ne vaut que ce que vaut la contrepartie derrière elle. Si la plateforme est insolvable, compromise ou gelée par un régulateur, votre reconnaissance de dette peut valoir moins que l'actif sous-jacent qu'elle représente. Vous avez une créance. Vous n'avez pas les jetons.

Une enquête de 2026 auprès d'environ 3 000 détenteurs de crypto aux États-Unis a révélé que 66 % considèrent l'auto-garde comme importante et 46 % craignent spécifiquement des failles majeures des plateformes. Pourtant, 88 % stockent toujours la majorité de leurs avoirs sur des plateformes centralisées. La plupart des traders connaissent le risque. Ils l'acceptent quand même, généralement par commodité.

Le spectre de l'auto-garde

L'auto-garde n'est pas binaire. Il existe une gamme d'options, chacune avec des compromis différents entre sécurité et vitesse opérationnelle.

Le stockage à froid complet (cold storage) offre une sécurité maximale. Vos clés privées ne touchent jamais un appareil connecté à Internet. Le compromis est une vitesse de trading nulle. Vous ne pouvez pas ouvrir ou fermer une position en quelques secondes depuis un portefeuille matériel rangé dans un coffre.

Le hot wallet offre une vitesse maximale. Les clés sont accessibles. Le compromis est une exposition maximale - un appareil ou une extension de navigateur compromis signifie que les clés sont perdues.

La marge perpétuelle on-chain sur Hyperliquid se situe dans une catégorie différente. Votre marge vit on-chain, et non dans la base de données interne d'une plateforme. Elle n'est pas détenue par l'interface d'Hyperliquid, et elle n'est détenue par aucune interface que vous utilisez pour accéder au protocole. Vous pouvez vérifier votre solde on-chain à tout moment. Le matching, la marge, le financement et le règlement se produisent tous sur le carnet d'ordres central on-chain d'Hyperliquid.

Cette architecture comble le risque spécifique que la PoR tente souvent sans succès de traiter : le risque de contrepartie de garde. Vos fonds ne sont une reconnaissance de dette de personne.

Stacked Markets est un terminal d'interface construit sur le protocole d'Hyperliquid. Il détient zéro solde utilisateur et zéro clé de signature. Chaque ordre que vous passez est signé par votre portefeuille et acheminé directement vers le carnet d'ordres on-chain d'Hyperliquid. Si Stacked Markets disparaissait demain, vos fonds seraient toujours on-chain, accessibles via toute autre interface Hyperliquid ou directement via le protocole. Le portefeuille d'agent optionnel est une clé de signature locale basée sur le navigateur - elle n'atteint jamais les serveurs de Stacked. Vous pouvez vérifier la réclamation de garde on-chain.

Le compromis honnête

L'architecture non-custodial élimine le risque de contrepartie de garde. C'est une chose spécifique et significative. Ce n'est pas la même chose que d'éliminer tous les risques.

Les vulnérabilités des smart contracts, la manipulation des oracles et les attaques de gouvernance sont des risques réels dans les systèmes on-chain. Un oracle compromis peut déclencher des liquidations incorrectes. Une attaque de gouvernance peut modifier les paramètres du protocole. Ces risques existent sur Hyperliquid comme sur tout protocole on-chain.

La distinction est importante car la PoR est spécifiquement une réponse au risque de contrepartie de garde - le risque que la plateforme détenant vos fonds soit insolvable, malhonnête ou compromise. L'architecture non-custodial traite directement ce risque spécifique. Elle ne traite pas le risque lié aux smart contracts, et ne prétend pas le faire.

Passer d'une plateforme centralisée (CEX) à un DEX perpétuel on-chain est un échange : vous éliminez le risque qu'une plateforme détourne ou perde vos fonds, et vous acceptez les risques résiduels du système on-chain que vous utilisez à la place. Cet échange vaut la peine d'être fait dans la plupart des cas. Faites-le en toute connaissance de cause.

Cinq questions auxquelles tout trader devrait répondre dès maintenant

Avant de trader une nouvelle position, vous devriez être capable de répondre à ces questions sur l'endroit où se trouvent réellement vos fonds :

1. Qui contrôle les clés privées de votre marge de trading ? Si la réponse est « la plateforme », vos fonds sont une reconnaissance de dette.
2. Quand a eu lieu le dernier audit PoR de la plateforme détenant vos fonds, et quelle méthodologie a-t-il utilisée ? Les snapshots d'arbres de Merkle sont mieux que rien. Ils ne couvrent pas les passifs.
3. La plateforme publie-t-elle une surveillance continue des portefeuilles on-chain, ou seulement des snapshots périodiques ? L'effondrement de Zondacrypto s'est produit entre deux rapports.
4. Quelle est la structure multisig de la plateforme, et a-t-elle déjà été auditée publiquement ? L'attaque de Bybit a exploité l'interface de signature, pas la cryptographie.
5. Si la plateforme gelait les retraits demain, quelle serait votre créance légale, et combien de temps faudrait-il pour la résoudre ? C'est la question de la reconnaissance de dette en termes pratiques.

Si vous ne pouvez pas répondre aux cinq, vous portez un risque de garde que vous n'avez pas évalué.

Le fossé que la PoR n'a jamais été conçue pour combler

La preuve de réserves vérifie une chose spécifique : que les actifs on-chain d'une plateforme dépassaient ses passifs clients déclarés à un moment donné. C'est tout. Elle ne vérifie pas la sécurité opérationnelle. Elle ne vérifie pas l'absence de passifs non divulgués. Elle ne garantit pas que ces réserves seront là quand vous en aurez besoin.

« Not your keys » n'est pas un slogan. C'est une description de la façon dont l'autorité de dépense fonctionne sur une blockchain. Si vous ne contrôlez pas la clé privée, vous ne possédez pas l'actif - vous possédez une créance contre celui qui le possède. Cette créance n'est aussi sécurisée que la contrepartie derrière elle.

Le trading perpétuel on-chain sur Hyperliquid, accessible via une interface non-custodial, est l'une des rares architectures de trading où vous pouvez réellement vérifier la garde plutôt que de faire confiance à un snapshot. Votre marge est on-chain. Le règlement est on-chain. Le risque que vous prenez est un risque de protocole, pas un risque de contrepartie. Ce sont des risques différents et ils nécessitent une diligence raisonnable différente.

Les traders qui ont été lésés chez FTX, lors de la faille de Bybit et lors de l'effondrement de Zondacrypto n'étaient pas naïfs. Ils ont fait confiance aux rapports de PoR et à la réputation des plateformes. L'architecture leur a fait défaut, pas leur lecture des chiffres.

---

Testez vous-même l'architecture non-custodial avant d'engager du capital réel. Stacked Markets dispose d'un mode testnet avec une fonctionnalité de terminal complète et des badges réseau clairs.

stackedmarkets.com

FAQ