R7 — transformer une exposition ouverte en risque borné
Un pont inter-chaînes fonctionne en régime normal. La vraie question est ce qu’il perd lorsque ses hypothèses cessent d’être vraies.
Protocole, organisation, incidents et paramètres entièrement synthétiques. Simulation déterministe et reproductible.
100 000 années synthétiques par architecturePlan de lecture
Du problème à la décision
- 01
Suivre un transfert
Bloquer sur la chaîne de départ, transmettre une preuve, créer sur la chaîne d’arrivée.
- 02
Identifier les chemins de perte
Clés compromises, message rejoué, gouvernance trop rapide ou finalité insuffisante.
- 03
Borner l’exposition
Plafonds, délais, registre anti-rejeu et règles propres à chaque route.
- 04
Formuler la décision
Comparer les preuves obtenues aux conditions nécessaires avant un éventuel pilote.
01
Avant de commencer
Le problème
Une organisation reconstituée conçoit R7, une passerelle qui immobilise un actif sur une blockchain avant d’en créer une représentation sur une autre.
Cette étude porte sur une passerelle entre deux blockchains. Son rôle est de donner sur une chaîne une représentation d’un actif immobilisé sur une autre chaîne.
Le contrat installé sur la chaîne d’arrivée ne peut pas lire directement l’état de la chaîne de départ. Il doit donc faire confiance à une preuve transportée entre les deux réseaux : ici, un message signé par des clés autorisées. Les signatures prouvent que certaines clés ont approuvé le message ; elles ne prouvent pas, à elles seules, que ce qu’il affirme est vrai.
Le danger apparaît si la chaîne de destination crée un actif sans que l’actif d’origine soit réellement bloqué. Cela peut arriver si un faux message obtient assez de signatures compromises, si un dépôt observé trop tôt disparaît lors d’une réorganisation de la chaîne de départ, ou si la même preuve authentique est réutilisée plusieurs fois. Dans chacun de ces cas, le contrat d’arrivée peut exécuter exactement sa règle tout en partant d’une information fausse ou périmée.
Par exemple, si 100 unités sont immobilisées sur la chaîne A mais que deux messages identiques conduisent à créer deux fois 100 jetons sur la chaîne B, il existe 200 promesses de remboursement pour seulement 100 unités en réserve. La passerelle a alors fabriqué une dette non couverte.
02
Phase 1
Ce que l’organisation a construit
Nous commençons par comprendre le système tel qu’il est présenté, sans le caricaturer et sans encore proposer de correction.
Le transfert, étape par étape
Imaginons 100 unités déposées sur la chaîne A. Un contrat les place dans un coffre numérique. Des validateurs observent ce dépôt et signent un message. Un programme relais transporte ce message vers la chaîne B, qui crée alors 100 jetons représentatifs.
Ces jetons sur B ne sont valables que si les 100 unités restent immobilisées sur A. Lors du retour, les jetons représentatifs sont détruits sur B avant que les unités d’origine soient libérées sur A.
Cette égalité est la règle comptable essentielle : à tout instant, la quantité de jetons représentatifs encore en circulation ne doit pas dépasser la réserve effectivement immobilisée. Le protocole doit donc vérifier non seulement une signature, mais aussi l’existence, le montant, la finalité et l’unicité du dépôt annoncé.
Comment l’architecture initiale peut créer des jetons non couverts
La chaîne B ne voit pas le coffre de la chaîne A. Elle voit seulement un message disant, par exemple, « le dépôt numéro 42 a immobilisé 100 unités sur A ». Si trois clés volées ou contrôlées par le même attaquant signent cette phrase inventée, le contrat de B reconnaît trois signatures cryptographiquement valides et peut créer 100 jetons, alors qu’aucune réserve n’existe sur A. La cryptographie authentifie les signataires ; elle ne rend pas vraie une déclaration mensongère.
Même avec des signataires honnêtes, un dépôt peut être observé avant d’être définitif. Les clés signent, B crée les jetons, puis la chaîne A est réorganisée : les derniers blocs sont remplacés et le dépôt disparaît de l’historique retenu. Sans règle d’attente adaptée et sans procédure de mise en quarantaine, les jetons créés sur B ne disparaissent pas automatiquement.
Enfin, un message authentique peut être présenté deux fois, ou présenté sur une autre route, si son identifiant n’est pas enregistré comme déjà consommé et si la signature ne nomme pas précisément les deux chaînes et les contrats concernés. Un seul dépôt de 100 peut alors autoriser plusieurs créations de 100. Un relais malveillant peut tenter ces soumissions ; il ne devrait réussir que si les vérifications du contrat sont incomplètes.
Un seul programme relais transporte les messages, toutes les routes attendent douze blocs et aucun plafond ne limite le montant total, le montant d’un transfert ou le débit horaire. Une même faute peut donc être répétée plusieurs fois avant que l’équipe la détecte et arrête le système.
Ce que signifie exactement « trois signatures sur cinq »
Le nombre cinq ne vient pas des blockchains A ou B. C’est un choix de l’architecture reconstituée : le contrat de B contient la liste de cinq clés publiques autorisées, idéalement détenues par cinq opérateurs et environnements techniques séparés. Chacune observe le même dépôt sur A et peut signer son identifiant, son montant et sa destination.
Le contrat accepte n’importe quel groupe composé de trois clés distinctes parmi ces cinq ; il ne s’agit pas de trois validateurs choisis à l’avance. Ce seuil maintient le service si une ou deux clés sont indisponibles, car il en reste au moins trois. Il empêche aussi une ou deux clés compromises de fabriquer seules une autorisation.
La contrepartie est précise : dès qu’un attaquant contrôle trois clés, il atteint lui-même le seuil et peut signer un faux dépôt. Le nombre de clés n’aide donc que si leurs opérateurs, logiciels, secrets et infrastructures sont réellement indépendants. Cinq clés conservées dans le même environnement peuvent subir une seule compromission corrélée. Le seuil trois sur cinq est ici une hypothèse de conception à évaluer, pas une garantie universelle.
Résumé de l’approche initiale
- Le prototype désigne cinq clés de signature propres à la passerelle ; le contrat d’arrivée accepte n’importe quel groupe de trois clés distinctes. Il continue donc avec deux clés indisponibles, mais trois clés compromises peuvent signer un dépôt inventé.
- Un seul programme transporte les messages entre les chaînes.
- Chaque paire de chaînes attend exactement douze confirmations, malgré des risques de réorganisation différents.
- Aucun registre global n’interdit explicitement de consommer la même preuve sur plusieurs routes.
- Aucune limite ne borne le montant total, un transfert isolé ou le débit horaire.
03
Phase 2
Ce que l’évaluation vérifie et propose
La deuxième phase reproduit le mécanisme, localise ce qui casse et transforme la critique en modification testable.
Réduire le risque d’une compromission commune
La refonte synthétique remplace les cinq clés et le seuil de trois par sept clés et un seuil de quatre. Elle exige surtout que les quatre signatures nécessaires proviennent d’environnements de défaillance séparés : opérateurs, secrets et infrastructures ne doivent pas partager le même point de compromission.
Avec ce seuil, trois clés indisponibles peuvent être tolérées et trois clés volées ne suffisent pas à fabriquer une autorisation ; quatre clés compromises le peuvent encore. Passer de cinq à sept ne constitue donc pas, à lui seul, une preuve de sécurité. L’indépendance réelle des détenteurs de clés doit être documentée, testée et auditée.
Séparer la vitesse de la création définitive
La proposition ne demande plus au contrat de création définitive d’être rapide. Un apporteur de liquidité peut avancer temporairement les fonds à l’utilisateur, à son propre risque, tandis que la création canonique attend la finalité de la chaîne source.
Chaque route reçoit un nombre de confirmations adapté à sa vitesse et à son profil de réorganisation. Le message inclut l’identité des chaînes, du contrat et de l’opération ; un registre global interdit de le consommer deux fois.
Transformer une perte ouverte en plafond
Trois limites se cumulent : 500 000 dollars par transfert, 750 000 dollars par heure et 5 millions de dollars par route. Un délai de 48 heures empêche une modification de gouvernance de devenir immédiatement exécutable.
La simulation mesure ensuite la fréquence des années avec perte, la perte moyenne et le percentile 99. Ce percentile n’est pas un maximum absolu : une année simulée sur cent environ est encore plus mauvaise.
Évaluation
- Sous les hypothèses publiées, l’approche initiale produit une perte annuelle moyenne de 931 583 USD ; 99 % des pertes simulées restent sous 26,06 millions USD, mais 1 % les dépassent.
- La chaîne d’arrivée ne voit pas directement le dépôt d’origine : elle agit sur un message. Un faux message signé par trois clés compromises, un dépôt supprimé par une réorganisation ou une preuve authentique rejouée peuvent donc créer plus de jetons que d’actifs immobilisés.
- L’attente uniforme et une gouvernance immédiatement exécutable aggravent cette exposition, qui n’est plafonnée par aucune limite de montant ou de débit.
- Ces chiffres décrivent le comportement d’un modèle synthétique, pas celui d’un protocole déployé.
Correction proposée
- La refonte propose sept clés, quatre signatures obligatoires et quatre environnements de défaillance indépendants ; quatre clés compromises peuvent encore atteindre le seuil, ce qui doit être audité.
- Chaque message nomme précisément ses chaînes, son contrat et son opération ; un registre global interdit de le consommer deux fois.
- Le nombre de confirmations est adapté à chaque paire de chaînes.
- Toute modification de gouvernance attend 48 heures ; le pouvoir d’urgence permet seulement une pause.
- Les plafonds sont fixés à 5 millions USD par route, 500 000 USD par transfert et 750 000 USD par heure.
- Un apporteur de liquidité peut avancer les fonds, tandis que la création définitive attend la finalité.
04
Notions et équations
Aucun symbole sans définition
Les mêmes fiches s’ouvrent depuis les liens « ? » placés dans le corps de l’article.
05
Résultats chiffrés
Ce que les nombres mesurent réellement
Les montants ci-dessous viennent d’un monde simulé. Ils servent à comparer deux architectures sous les mêmes règles de lecture, pas à prédire une perte réelle.
années simulées avec perte
Fréquence des années où au moins une perte survient.
perte annuelle moyenne
Moyenne sur 100 000 années synthétiques par architecture.
percentile 99 de la perte
99 % des pertes simulées sont inférieures ; 1 % sont pires.
borne opérationnelle d’incident
Plafond issu des limites de transfert, de débit et de réaction.
06 · Voir les preuves
Lire les graphiques pas à pas
Chaque figure indique d’abord comment lire ses axes et ses couleurs, puis ce qu’elle permet — ou non — de conclure.
Distributions de perte initiale et refondue
Le graphique comporte deux panneaux. Dans les deux, le corail représente l’architecture initiale et le vert-bleu la refonte R7 ; aucune série n’est bleue. À gauche, l’axe horizontal est un seuil de perte économique annuelle en dollars : plus on va vers la droite, plus le montant est élevé. L’axe vertical donne la probabilité qu’une année perde au moins ce montant : plus la courbe est haute, plus ce dépassement est fréquent. Les deux axes sont logarithmiques, si bien qu’un même espace correspond à une multiplication par dix, et non à l’ajout d’un montant constant. À droite, l’axe horizontal énumère la moyenne puis les percentiles 95, 99 et 99,9 ; l’axe vertical donne leur montant en dollars sur une échelle qui compacte les très grands écarts. La barre vert-bleu du percentile 95 reste à zéro et paraît donc absente : ce n’est pas une donnée manquante, mais la conséquence du fait que moins de 5 % des années refondues subissent une perte.
La courbe corail reste au-dessus de la courbe vert-bleu et s’étend beaucoup plus loin vers la droite : dans cette simulation, l’approche initiale produit des pertes à la fois plus fréquentes et beaucoup plus graves. Le panneau de droite confirme l’écart pour la moyenne et pour les années défavorables. Cette lecture compare deux mondes synthétiques de 100 000 années ; elle ne mesure aucune fréquence d’incident observée et ne garantit pas que les événements extrêmes réels suivent ces courbes.
Comparaison des scénarios d’attaque
L’axe vertical ne mesure pas un nombre : il énumère six scénarios de stress, de la panne du relais unique à la compromission corrélée des validateurs et à la mise à jour malveillante de la gouvernance. Pour chaque ligne, la barre corail est la conséquence calculée pour l’approche initiale et la barre vert-bleu celle de la refonte. L’axe horizontal donne la perte déterministe en dollars si le scénario se produit ; une barre plus longue vers la droite signifie donc une conséquence plus coûteuse. Cet axe est logarithmique : passer de 100 000 à 1 million de dollars occupe le même espace que passer de 1 à 10 millions. Il faut comparer les deux couleurs sur une même ligne, et non la longueur visuelle de catégories éloignées sans tenir compte de cette échelle.
La refonte réduit la conséquence modélisée dans les six scénarios, mais elle ne la supprime pas. La finalité mal calibrée baisse relativement peu, tandis que la gouvernance malveillante et la compromission de plusieurs clés conservent des pertes de plusieurs centaines de milliers de dollars : ce sont des risques résiduels à traiter. Les barres décrivent une perte conditionnelle à un scénario de stress fixé ; elles ne disent ni à quelle fréquence le scénario surviendra, ni que ces montants sont des maximums absolus.
Surface du budget de risque
L’axe horizontal mesure, en heures, le temps écoulé entre le début d’un incident, sa détection et l’exécution effective de la pause. L’axe vertical mesure la capacité maximale autorisée sur la route, en millions de dollars. La couleur de chaque point donne le budget conservateur de perte, lui aussi en millions de dollars : les teintes claires correspondent aux montants les plus faibles et les teintes orange foncé aux plus élevés. Le calcul publié est « capacité autorisée + 750 000 dollars par heure × temps de confinement ». Les pointillés repèrent le choix de la refonte, soit 5 millions de dollars de capacité et environ 0,75 heure de réaction ; leur intersection donne 5,562 millions de dollars, valeur rappelée par l’étoile de légende.
Monter dans le graphique augmente le montant déjà exposé ; aller vers la droite laisse davantage de valeur traverser avant la pause. Réduire l’un ou l’autre abaisse donc mécaniquement la borne calculée. Ce visuel est une règle de dimensionnement, pas une distribution statistique : il suppose que le débit de 750 000 dollars par heure est respecté, que la pause fonctionne au délai indiqué et qu’aucun autre chemin de perte ne contourne les plafonds.
Matrice d’adéquation des applications
Ici, les lignes jouent le rôle d’un axe vertical catégoriel : chacune correspond à un usage possible, comme le rééquilibrage de trésorerie, l’apport de collatéral ou la gouvernance inter-chaînes. Les colonnes jouent le rôle de l’axe horizontal : sécurité, compatibilité avec la latence, économie, clarté juridique, exploitabilité, puis score pondéré. Le nombre inscrit dans chaque case va de 1, faible, à 5, fort. La couleur répète cette information : rouge et orange pour les notes faibles, jaune pour les notes intermédiaires, vert pour les notes fortes. Le dernier score combine les cinq critères avec les poids publiés sous le graphique ; la mention à droite traduit ensuite ce score en « sous limites », « sous conditions », « pilote uniquement » ou « refus ».
Le rééquilibrage de trésorerie sous plafonds reçoit le meilleur score, tandis que la gouvernance inter-chaînes et la messagerie universelle restent refusées. Le règlement d’actifs tokenisés n’est présenté que comme un pilote, notamment parce que la clarté juridique est notée plus bas. Les notes et les poids sont des jugements explicitement construits pour cette étude ; ils ne constituent ni une mesure de terrain, ni un avis juridique, ni une certification de sécurité.
Arbitrage finalité, délai et coût
Les trois panneaux correspondent à trois routes synthétiques ayant des vitesses et des risques de réorganisation différents. Dans chaque panneau, l’axe horizontal mesure le délai de règlement en minutes : davantage de confirmations déplacent le point vers la droite. L’axe vertical mesure le coût économique total en dollars et utilise une échelle logarithmique. La courbe bleue additionne le coût attendu d’une réorganisation, le relais, l’immobilisation du capital et l’attente ; elle descend d’abord quand les confirmations réduisent fortement le risque, puis remonte légèrement quand le coût du délai domine. Le carré corail montre la règle initiale fixe de douze confirmations. Le cercle vert-bleu montre le premier nombre de confirmations satisfaisant la politique de risque de la route ; l’annotation donne ce nombre et la probabilité résiduelle synthétique de réorganisation.
Les nombres retenus diffèrent nettement : 19 confirmations pour la route A, 14 pour B et 43 pour C. Douze confirmations sont donc trop peu sûres pour certaines routes, tandis qu’ajouter indéfiniment des confirmations ne réduit plus assez le risque pour compenser le délai. Les courbes reposent sur des probabilités de réorganisation inventées pour la démonstration ; elles montrent comment poser l’arbitrage, pas quels nombres employer sur une chaîne réelle.
Couverture économique des frais
Chaque panneau représente une route. L’axe horizontal donne la valeur du transfert en dollars, de 25 000 à 500 000. L’axe vertical donne un ratio sans unité : frais facturés divisés par le coût économique modélisé, comprenant exploitation, capital, liquidité et sécurité attendue. La ligne pointillée à 1 est le point d’équilibre : au-dessus, le tarif facture plus que le coût estimé ; en dessous, il ne le couvre pas. Les carrés corail représentent le forfait initial de 12 dollars et les cercles vert-bleu le tarif proportionné au risque. L’échelle verticale est logarithmique, ce qui rend comparables les ratios très inférieurs et très supérieurs à 1.
Le forfait corail surcouvre les petits transferts puis sous-finance les gros, avec un écart qui varie aussi d’une route à l’autre. Le tarif vert-bleu reste légèrement au-dessus de 1, environ 1,06 à 1,10, parce qu’il est construit à partir du coût de chaque transfert. Cela illustre les subventions cachées d’un forfait ; cela ne démontre pas que le coût modélisé, la marge retenue ou la demande réelle sont correctement estimés.
Maturité des contrôles spécifiés et modélisés
L’axe vertical énumère neuf familles de contrôle : intégrité des messages, limites d’exposition, disponibilité des relais, séparation du règlement, gouvernance, finalité, modèle économique, compatibilité des actifs et indépendance des validateurs. L’axe horizontal est une note synthétique de maturité de la spécification, de 1 à 5 ; plus un point est à droite, plus le contrôle est décrit et modélisé précisément dans le dossier. Pour chaque ligne, le point corail est l’approche initiale, le point vert-bleu la refonte et le segment gris matérialise l’écart entre les deux. Le « relais » est le programme qui soumet un message d’une chaîne à l’autre. Il n’y a ni unité physique ni fréquence observée sur cet axe : ce sont des notes de revue.
Toutes les familles se déplacent vers la droite, surtout l’intégrité des messages, les plafonds et la disponibilité des relais, qui partaient d’une spécification presque absente. L’indépendance des validateurs atteint seulement une description plus mûre ; le graphique ne prouve pas que les sept opérateurs sont effectivement indépendants. Une spécification mieux notée peut encore contenir une erreur d’implémentation : ce visuel ne remplace ni code exécutable, ni test d’incident, ni audit indépendant.
07 · Protocole d’analyse
Comment l’analyse a été conduite
Protocole d’analyse
- Deux simulations de 100 000 années, initialisées par les graines aléatoires 7173 et 7174.
- Six familles d’incident ; leurs fréquences, gravités et montants exposés sont entièrement paramétrés.
- 2 352 combinaisons de plafonds, de débit et de temps de réaction.
- 192 règles d’attente et 12 scénarios de frais.
- Le déroulement d’un transfert est représenté par quinze états successifs.
Limites à ne pas oublier
- Toutes les probabilités et gravités sont des hypothèses de démonstration.
- Les gains de la refonte dépendent en partie d’hypothèses améliorées par construction.
- Les deux simulations n’emploient pas exactement les mêmes tirages aléatoires année par année.
- Aucun contrat exécutable, réseau de test, audit ni preuve mathématique exhaustive du code.
08 · Sources & provenance
D’où viennent les faits
09 · Décision
NO-GONO-GO initial — pilote plafonné uniquement après refonte et audit indépendant du code.
- 1
L’architecture initiale permet à une erreur ou à trois clés compromises de créer une exposition sans plafond : elle est refusée.
- 2
La refonte réduit fortement les pertes simulées grâce à des plafonds et des délais explicites. Une partie de l’amélioration vient toutefois des hypothèses choisies pour la refonte.
- 3
Avant un pilote, il faut encore du code exécutable, des tests sur réseau de test, une vérification des invariants et un audit indépendant.
Étape suivante : La version initiale est refusée. Sous les seules hypothèses du modèle, la refonte ramène la perte annuelle moyenne à 2 079 USD et son percentile 99 à 20 122 USD. Un pilote reste conditionné à un audit indépendant du code.