Google présente un système de sécurité pour la garde des cryptomonnaies avant son lancement en 2027

Google a dévoilé ses plans pour un service de sécurité des cryptomonnaies qui répartit le contrôle des clés privées à travers des environnements informatiques distincts, visant une disponibilité commerciale début 2027 alors que les institutions financières recherchent une protection renforcée pour les actifs numériques.

Résumé

• Google prévisualise un service de sécurité des cryptomonnaies institutionnelles, avec une disponibilité commerciale prévue pour début 2027.
• Alphabet utiliserait apparemment la technologie pour sécuriser des actifs numériques non spécifiés sur Ethereum et Solana.
• MPC répartit l'autorité de signature des transactions à travers des environnements distincts au lieu de concentrer le contrôle sur une seule clé privée.
• Le service proposé par Google rivaliserait avec des fournisseurs de sécurité institutionnelle établis, tels que Fireblocks et Fordefi.
• Google prévoit de prendre en charge la signature ECDSA et Ed25519, tandis que les mises à niveau post-quantum n'ont pas de date de sortie annoncée.

Google Multi-Party Compute est en phase de test privé avec plusieurs grandes institutions financières avant sa présentation lors du premier symposium sur les actifs numériques de l'entreprise à New York, selon un rapport de CoinDesk. Alphabet, la société mère de Google, a commencé à utiliser la technologie pour sécuriser ses propres actifs numériques sur Ethereum et Solana.

Pendant ce temps, la société n'a pas nommé les institutions financières testant le service ni divulgué quels actifs Alphabet détient via le système. Les prix restent indisponibles, tandis que le lancement commercial prévu dépend de l'achèvement du programme de prévisualisation.

Google introduit la sécurité MPC pour la garde institutionnelle des cryptomonnaies

Google Multi-Party Compute utilise des techniques cryptographiques qui divisent le contrôle d'une clé privée entre plusieurs participants indépendants. Les parties autorisées coopèrent pour signer des transactions blockchain sans assembler l'intégralité de la clé privée à un seul endroit, réduisant ainsi la dépendance à un seul appareil ou administrateur.

Selon l'architecture proposée par Google, les institutions peuvent répartir les parts de signature entre leur propre équipement, Google Cloud et des fournisseurs de cloud concurrents. Une banque pourrait exiger des approbations de deux des trois participants ou de cinq des sept avant d'autoriser un transfert.

Le service comprend des politiques de transaction conçues pour vérifier les demandes avant le début de la signature. Les institutions peuvent restreindre les adresses de destination, imposer des limites de transfert ou exiger des approbations supplémentaires, ces vérifications fonctionnant à l'intérieur de l'environnement Confidential Space de Google.

Auparavant, Google avait publié des directives techniques en avril 2023 expliquant comment les organisations pouvaient construire des systèmes de signature distribuée utilisant Confidential Space. Le produit proposé combine des capacités similaires avec des politiques de signature et des outils de récupération dans un service dédié.

Les services existants de gestion des clés de Google Cloud et de Cloud HSM protègent déjà les clés cryptographiques. La nouvelle offre se concentre spécifiquement sur les exigences d'autorisation et de récupération des actifs numériques, où une transaction blockchain complétée ne peut généralement pas être annulée.

Les violations de clés privées exposent les faiblesses de l'infrastructure crypto

Le service prévu par Google arrive alors que les identifiants compromis restent une source persistante de pertes en cryptomonnaies. Chainalysis a estimé que les compromissions de clés privées représentaient 43,8 % des cryptomonnaies volées en 2024.

Un incident de juin impliquant Humanity Protocol a illustré comment plusieurs identifiants de signature peuvent devenir vulnérables par le biais d'un seul appareil compromis. Comme l'a rapporté crypto.news après l'enquête, un attaquant a obtenu sept clés privées stockées sur l'ordinateur d'un développeur et les a utilisées pour accéder aux contrôles administratifs.

Les identifiants volés ont permis des transactions non autorisées et des modifications de contrat sur Ethereum et BNB Smart Chain. Humanity Protocol a déclaré que l'attaque impliquait des signatures valides générées à l'aide de clés compromises, et non un défaut sous-jacent dans ses contrats blockchain.

L'approche de Google vise à limiter une telle concentration de l'autorité de signature. Sa sécurité dépend toujours de la manière dont les clients séparent leurs parts de clés, protègent les administrateurs et gèrent les politiques d'approbation.

Un examen d'octobre des contrôles de garde des cryptomonnaies institutionnelles a expliqué que la distribution des identifiants n'élimine pas le risque opérationnel si plusieurs participants à la signature partagent les mêmes privilèges administratifs ou systèmes de récupération.

Google entre sur le marché servi par des fournisseurs de garde spécialisés

Le service proposé rapproche l'infrastructure cloud de Google des fournisseurs de sécurité d'actifs numériques établis, notamment Fireblocks, Fordefi et BitGo. Les institutions utilisent déjà des plateformes spécialisées pour administrer des portefeuilles, contrôler les approbations de transactions et maintenir des enregistrements des mouvements d'actifs.

Google cible les banques qui souhaitent conserver un contrôle direct de leurs opérations de garde tout en utilisant une technologie externe. Son service fournirait une infrastructure de signature sans exiger qu'une institution financière transfère la propriété de ses clés privées à Google.

En septembre, UniCredit explorait l'infrastructure de garde et de courtage d'actifs numériques alors que les banques européennes développaient des services pour les cryptomonnaies et les titres tokenisés. Fireblocks a séparément fourni une technologie de portefeuille et de tokenisation au consortium bancaire Qivalis.

Google n'a pas divulgué de références de performance comparant son système proposé avec des produits commerciaux existants. L'identité de ses partenaires de test reste confidentielle, laissant l'échelle de la participation institutionnelle initiale inconnue.

Les menaces de l'IA soulèvent des questions sur la sécurité future des portefeuilles

Google positionne son service en partie contre les cyberattaques impliquant des outils d'IA de plus en plus performants. Chainalysis a rapporté que les escroqueries associées aux fournisseurs d'outils d'IA ont généré des recettes moyennes de 3,2 millions de dollars par opération en 2025, contre 719 000 dollars pour les escroqueries sans tels liens.

La comparaison mesure les recettes associées à différents groupes d'escroqueries. Elle n'établit pas que l'IA a causé les pertes plus élevées ou que le MPC aurait pu prévenir ces schémas.

Le chercheur Ethereum Justin Drake a averti des avancées possibles de l'IA qui pourraient éventuellement affaiblir les hypothèses cryptographiques protégeant les portefeuilles blockchain. Aucun système d'IA démontré publiquement ne peut actuellement dériver des clés privées ordinaires de Bitcoin ou d'Ethereum en brisant leurs algorithmes de signature sous-jacents.

Google a déclaré que le service proposé prendra en charge la signature ECDSA et Ed25519 lors de sa disponibilité générale. Son architecture est conçue pour accueillir de futures mises à niveau de cryptographie post-quantique, bien que la société n'ait pas annoncé de calendrier pour l'ajout de ces méthodes de signature.

L'entreprise n'a pas divulgué de date de sortie commerciale précise au-delà du début de 2027 ni identifié les premières institutions qui devraient adopter le service après les tests privés.