#GateLaunchesPoSECProofOfSecurity

J’ai lu la note de lancement le 5 novembre et ma première pensée n’a pas été « sympa, une nouvelle fonctionnalité ». Ça a été « pourquoi maintenant ? ». Et la réponse est assez claire si vous suivez ce marché depuis quelques semaines. Des portefeuilles chauds ont été piratés ailleurs, les gens ont commencé à se demander « mon argent est-il en sécurité ? », et les preuves de réserves habituelles ont soudain paru bien minces. Les réserves totales semblent solides sur le papier, mais personne ne demandait où se trouvaient ces réserves.

PoSEC pose précisément cette question.

Son nom complet est Proof of Security. Le lancement a eu lieu le 5 novembre. Le premier instantané a été pris le 4 novembre à 00:00 UTC. Il affichait un taux de couverture par le stockage à froid de 104,58 %.

Je vais l’expliquer simplement, car ce ratio peut facilement être mal interprété.

Couverture par le stockage à froid = actifs en stockage à froid / actifs totaux des utilisateurs.

Le stockage à froid désigne les actifs conservés hors ligne, à l’écart des systèmes connectés à Internet. Les portefeuilles chauds désignent les actifs conservés en ligne pour les opérations quotidiennes et les retraits. Le stockage à chaud, c’est rapide, mais aussi exposé.

Dans l’instantané du 4 novembre :
• Stockage à froid : 88,26 % du total des actifs
• Portefeuilles chauds : 11,74 % du total des actifs
• Couverture par le stockage à froid : 104,58 %
104,58 % signifie que le stockage à froid, à lui seul, couvre plus de 100 % des sommes dues aux utilisateurs. Même si tous les portefeuilles chauds étaient vidés lors d’une brèche, le stockage à froid suffirait à couvrir les soldes des utilisateurs, avec une petite marge restante.

C’est différent de l’autre chiffre que les gens citent. Au 18 octobre, les réserves totales s’élevaient à environ 8,688 milliards de dollars, avec un taux de réserve global de 118,49 %. Les réserves totales comprennent à la fois les actifs à froid et à chaud. PoSEC exclut la partie à chaud et pose la question suivante : la partie à froid suffit-elle à elle seule ?

Pour moi, c’est la question la plus honnête. Les portefeuilles chauds sont ceux qui sont attaqués. Le stockage à froid est censé résister aux attaques. Dire « nous avons 118 % de réserves au total » alors que la majeure partie est conservée à chaud ne me rassurerait pas. Dire « nous avons 104 % en stockage à froid à lui seul », oui, au moins pour cet instantané.

Mais je ne vais pas prétendre que PoSEC résout tout. Ce n’est pas le cas.

Cela ne prouve pas comment les clés sont conservées. Cela ne prouve pas qui peut déplacer les actifs à froid, combien d’approbations sont nécessaires ni comment les accès sont contrôlés. Cela ne prouve pas l’efficacité des contrôles internes, la gestion des accès du personnel ou les risques liés aux fournisseurs. Cela ne prouve pas qu’une plateforme peut continuer à fonctionner en temps de crise, seulement que les actifs à froid peuvent couvrir les soldes des utilisateurs sur le papier.

C’est également un instantané, pas un flux en temps réel. Un instantané pris le 4 novembre à 00:00 UTC indique la situation à cette minute-là. Il ne dit rien de la situation du lendemain. La valeur de PoSEC dépendra de la fréquence à laquelle les instantanés seront renouvelés et de la vérification de ceux-ci par un audit indépendant. Les notes de lancement mentionnent un audit indépendant des chiffres. C’est cette partie que je vais suivre. Un ratio autodéclaré sans audit récent reste une affirmation. Un ratio vérifié récemment et de façon indépendante constitue une preuve.

Alors, comment est-ce que j’interprète les 104,58 % ?

Premièrement, dépasser 100 % est le seuil de réussite. Être sous les 100 % signifierait que le stockage à froid ne suffit pas à lui seul. À 104,58 %, le seuil est franchi, mais la marge est mince : 4,58 points au-dessus de la couverture intégrale. C’est une réussite, pas une forteresse.

Deuxièmement, la répartition compte autant que le ratio. 88,26 % à froid / 11,74 % à chaud signifie que la plupart des actifs sont hors ligne. Si la part à chaud était de 30 % ou 40 %, il serait plus difficile de maintenir le même taux de couverture de 104,58 %, car davantage d’actifs se trouveraient dans la couche exposée.

Troisièmement, la tendance compte davantage qu’une seule mesure. Un instantané à 104,58 %, c’est un début. Deux, trois, quatre instantanés qui restent au-dessus de 100 % témoigneraient d’une certaine rigueur. Un seul instantané sous les 100 % signalerait une tension, même si les réserves totales semblaient toujours solides.

Je ne juge pas cela le jour du lancement. Je le jugerai dans la durée.

Ce qui renforcerait ma confiance : un taux de couverture supérieur à 100 % sur plusieurs instantanés, une part à froid qui reste élevée, une part à chaud qui reste faible, des notes d’audit récentes et précises, pas vagues.

Ce qui entamerait ma confiance : un taux de couverture qui passe sous les 100 %, même une seule fois, une hausse rapide de la part à chaud sans raison claire, l’arrêt des instantanés ou des formulations d’audit qui deviennent vagues.

PoSEC ne promet pas qu’aucun piratage ne pourra avoir lieu. Il promet que, si la couche à chaud est touchée, la couche à froid pourra encore couvrir les utilisateurs à elle seule. À 104,58 % le 4 novembre, cette promesse a été tenue. Les prochains instantanés montreront si elle continue de l’être.

#WCTCS9
#ShareWeekly