Custodial ou non-custodial : qui tient vraiment ton argent ?

Quand Mt. Gox a gelé les retraits en février 2014, environ 850 000 bitcoins ont été déclarés disparus. Quand FTX a déposé le bilan en novembre 2022, le trou dans les comptes clients avoisinait 8 milliards de dollars. Dans les deux cas, l’argent n’a pas disparu d’une blockchain. Il a disparu d’une entreprise qui le détenait pour le compte de ses clients. C’est tout le sujet de cet article : qui tient la clé, et tout ce qui découle de la réponse.

Non-custodial, ça veut dire quoi exactement ?

Non-custodial veut dire que le service ne détient jamais ton argent. Tes fonds sont dans un wallet dont toi seul peux signer, et l’app que tu utilises peut préparer un paiement, l’afficher, même le relayer au réseau, mais elle ne peut pas bouger un centime sans ta signature. Le contraire, c’est custodial: tu confies ton argent à une entreprise, elle le garde sur des comptes qu’elle contrôle, et tu gardes une créance dessus, comme un solde bancaire est une créance sur la banque.

Le mot compte parce qu’il tranche trois choses d’un coup : ce qui peut mal tourner (sécurité), ce que tu dois faire toi-même (expérience), et à quel règlement l’entreprise répond (conformité). La garde est une place dans la chaîne de ceux qui peuvent perdre ton argent.

Custodial contre non-custodial, ou un spectre ?

Un spectre. En pratique il y a quatre niveaux, et l’essentiel de la discussion utile se joue dans les deux du milieu.

Le niveau 3 est le plus récent, et c’est lui qui a sorti ce débat de la théorie. Une infrastructure de wallet comme Privy coupe une clé en deux parts : l’une chiffrée dans un environnement d’exécution de confiance (une boîte de calcul scellée que même l’opérateur ne peut pas lire), l’autre libérée uniquement contre ton identifiant. Les deux sont nécessaires pour signer ; aucune part seule ne révèle quoi que ce soit, un schéma connu sous le nom de partage de secret de Shamir. Résultat : un wallet qui se comporte comme un compte d’app (connexion Google, pas de phrase à noter) tout en restant, cryptographiquement, le tien : le prestataire ne peut pas signer à ta place, et tu peux exporter la clé et partir.

Qu’est-ce qui change pour la sécurité ?

La garde concentre le risque ; la non-garde le répartit. Un dépositaire qui tient les soldes d’un million de clients, c’est un seul coffre avec un seul jeu de clés : une cible pour ceux de l’extérieur, une tentation pour ceux de l’intérieur. Mt. Gox a perdu ses bitcoins par vol étalé sur des années et l’a remarqué trop tard ; FTX a prêté les dépôts de ses clients à une société de trading sœur. Ces deux échecs n’ont été possibles que parce qu’une seule entreprise pouvait déplacer l’argent de tout le monde d’un coup.

Le non-custodial retourne le modèle de menace. Il n’y a pas de pot central à vider, donc un attaquant doit compromettre les wallets un par un, et une faillite d’entreprise ne touche pas ton solde : si l’app disparaît demain, tes fonds sont toujours sur le réseau, toujours à toi. Ce que tu prends en échange, c’est la responsabilité de l’accès. Au niveau 4, ça veut dire une phrase de récupération, et une phrase perdue est un solde perdu, sans personne à appeler. Au niveau 3, la responsabilité se réduit à garder ton identifiant (Google, Apple, e-mail) et, idéalement, à sauvegarder un export une fois. C’est un travail bien plus petit, mais il reste le tien.

• Custodial :ton risque, c’est l’entreprise. Fraude, insolvabilité, piratage de ses systèmes, compte gelé.
• Non-custodial :ton risque, c’est ton accès. Hameçonnage, appareil perdu sans sauvegarde, signature approuvée sans la lire.

Qu’est-ce qui change pour l’expérience ?

C’est là que les produits custodial gagnaient haut la main, et là que l’écart s’est refermé. Un solde custodial ressemble à n’importe quelle app : mot de passe oublié, on le réinitialise ; paiement contesté, le support peut parfois l’annuler ; l’argent bouge dans les livres de l’entreprise, instantanément et gratuitement, tant que les deux parties sont ses clients. Le prix, c’est que tout se passe entre ses murs, et que partir revient à demander la permission de retirer.

L’auto-garde classique, le niveau 4, demandait d’écrire douze mots, de comprendre les frais réseau, et d’accepter qu’un mauvais clic soit définitif. C’est un bon marché pour un wallet matériel qui garde une épargne, et un très mauvais pour un paiement au restaurant. Le niveau 3 existe pour supprimer ce compromis : le wallet est créé à la connexion, les frais peuvent être payés à la place de l’utilisateur par un relayer, et l’argent bouge quand même sur un réseau public, en quelques secondes, vers n’importe qui, dans n’importe quel pays. Ce qui reste différent d’une app custodial est honnête et petit : aucun agent du support ne peut déplacer tes fonds à ta place, dans un sens comme dans l’autre.

Qu’est-ce qui change pour la conformité ?

Détenir l’argent des autres est une activité agréée ; écrire un logiciel qui permet aux gens de détenir le leur ne l’est, presque partout, pas. La distinction est écrite dans les textes, pas seulement dans le marketing.

• Dans l’Union européenne, MiCAtraite la « conservation et administration de crypto-actifs pour le compte de clients » comme un service régulé. L’article 75 impose au dépositaire de séparer les actifs des clients de son propre patrimoine, pour que ses créanciers n’y aient aucun recours en cas d’insolvabilité, et le rend responsable des pertes qui lui sont imputables, dans la limite de la valeur de marché de l’actif au moment de la perte. Ce cantonnement, c’est exactement ce que les clients de Mt. Gox et de FTX n’avaient pas.
• Aux États-Unis, le bulletin SAB 121 de la SEC (2022) obligeait les entreprises qui gardaient les cryptos de leurs clients à inscrire la valeur totale au passif de leur propre bilan, ce qui a tenu la plupart des banques à l’écart de la garde. Il a été abrogé par le SAB 122 en janvier 2025. La règle existait parce que la garde est un événement de bilan ; une app non-custodial n’a rien à inscrire, parce qu’elle ne détient rien.
• À l’échelle mondiale, les lignes directrices 2021 du GAFI disent que les fournisseurs de wallets « non hébergés » et d’autres logiciels annexes ne répondent normalement pas à la définition de prestataire de services sur actifs virtuels, parce que les obligations anti-blanchiment pèsent sur les intermédiaires, pas sur le logiciel que les gens utilisent pour se payer.
• La frontière est surveillée là où les deux mondes se touchent. Sous le règlement européen sur les transferts de fonds, un prestataire agréé qui envoie plus de 1 000 EUR vers un wallet auto-hébergé doit vérifier que ce wallet appartient bien à son client. Les contrôles d’identité se font à l’entrée et à la sortie, là où l’argent devient crypto et inversement, pas à l’intérieur de chaque paiement entre deux personnes.

Conséquence pratique pour un utilisateur : un prestataire custodial doit savoir qui tu es avant de tenir ton solde, et peut le geler sur décision légale, parce que c’est lui qui le tient. Une app non-custodial ne connaît que ce dont elle a besoin pour fonctionner, et ne peut pas geler ce qu’elle ne détient pas. Que ce soit une vertu ou un trou dépend de ce que tu essaies de faire.

Garde totale contre non-custodial, côte à côte

Lequel veux-tu vraiment ?

Ça dépend du travail à faire, et prétendre le contraire est la façon dont les deux camps trompent leur monde. Si tu trades avec effet de levier, si tu as besoin d’un courtier pour compenser des positions, ou si tu veux un humain capable de défaire une erreur, la garde est le bon outil et la garde régulée en est la bonne version. Si ce que tu veux, c’est un solde qui est à toi, qu’aucune faillite d’entreprise ne peut toucher, et qui peut aller vers n’importe qui dans le monde en quelques secondes, alors le non-custodial est le bon outil, et la version à clés embarquées est la première qui n’exige pas une phrase de récupération en échange.

Notre avis, puisqu’on construit dans cette seconde catégorie : pour l’argent de tous les jours entre personnes, le niveau 3 est le juste milieu honnête. Il garde les deux choses qui comptent vraiment pour les utilisateurs, « c’est à moi » et « ça marche », et il enlève la chose qu’ils n’ont jamais demandée, une entreprise assise entre eux et leur solde. C’est le modèle derrière Spliz: les soldes d’un groupe se règlent en USDCen une transaction, les fonds restent dans le wallet de chaque membre jusqu’à sa signature, et on ne les détient jamais. Pour la version courte, centrée sur le partage de dépenses, on l’a écrite ici.

Pourquoi ça compte

Tous les quelques ans, le secteur réapprend que « ton solde » sur une plateforme custodial est une promesse, et que les promesses cassent en série. Que les régulateurs écrivent des règles pour les dépositaires était attendu depuis longtemps. La nouvelle des deux dernières années, c’est que la technologie a enfin rendu la non-garde utilisable par des gens qui ne prononceront jamais le mot. Quand un wallet se crée en se connectant avec Google et que le prestataire ne peut toujours pas dépenser dessus, la garde cesse d’être un choix entre sécurité et confort. Ça devient un choix sur qui tu veux voir capable de perdre ton argent : toi, ou quelqu’un d’autre.

Celui qui peut bouger ton argent sans te demander est ton dépositaire. Le reste, c’est du stockage.

Sources

• Mt. Gox, gel des retraits le 7 février 2014, dépôt de bilan le 28 février 2014, environ 850 000 bitcoins déclarés perdus (chiffre ramené à 650 000 ensuite).
• FTX, dépôt de bilan (Chapter 11) le 11 novembre 2022 et trou d’environ 8 milliards de dollars dans les fonds clients.
• Règlement (UE) 2023/1114 (MiCA), article 75, conservation et administration de crypto-actifs pour le compte de clients : ségrégation et responsabilité.
• Règlement (UE) 2023/1113, transferts de fonds et de certains crypto-actifs, seuil de 1 000 EUR pour les adresses auto-hébergées.
• SEC, Staff Accounting Bulletin n° 122, janvier 2025, abrogeant le SAB 121 sur les obligations de garde des crypto-actifs.
• GAFI, lignes directrices actualisées sur l’approche fondée sur les risques pour les actifs virtuels et les PSAV, octobre 2021, sur les wallets non hébergés et les fournisseurs de logiciels annexes.
• Privy, architecture de l’infrastructure de wallets, parts de clé 2 sur 2, environnements d’exécution de confiance et export de clé.