Google a dévoilé des projets pour un service de sécurité crypto qui répartit le contrôle des clés privées entre différents environnements informatiques, visant une disponibilité commerciale au début de 2027, alors que les institutions financières cherchent une protection renforcée pour les actifs numériques.
Résumé
- Google présente en avant-première un service de sécurité crypto institutionnel, avec une disponibilité commerciale visée pour le début de 2027.
- Alphabet utiliserait la technologie pour sécuriser des actifs numériques non spécifiés sur Ethereum et Solana.
- Le MPC répartit l'autorité de signature des transactions entre différents environnements au lieu de concentrer le contrôle dans une seule clé privée.
- Le service proposé par Google concurrencerait les fournisseurs de sécurité institutionnels établis, notamment Fireblocks et Fordefi.
- Google prévoit la prise en charge de la signature ECDSA et Ed25519, tandis que les mises à niveau post-quantiques n'ont pas de date de sortie annoncée.
Google Multi-Party Compute est en cours de test privé avec plusieurs grandes institutions financières avant sa présentation au premier symposium sur les actifs numériques de l'entreprise à New York, selon un rapport de CoinDesk. Alphabet, la société mère de Google, a commencé à utiliser la technologie pour sécuriser ses propres actifs numériques sur Ethereum et Solana.
Par ailleurs, l'entreprise n'a pas nommé les institutions financières qui testent le service ni divulgué quels actifs Alphabet détient via le système. La tarification reste indisponible, tandis que le lancement commercial prévu dépend de l'achèvement du programme d'avant-première.
Google introduit la sécurité MPC pour la garde crypto institutionnelle
Google Multi-Party Compute utilise des techniques cryptographiques qui divisent le contrôle d'une clé privée entre plusieurs participants indépendants. Les parties autorisées coopèrent pour signer des transactions blockchain sans assembler la clé privée complète en un seul endroit, réduisant ainsi la dépendance à un seul appareil ou administrateur.
Selon l'architecture proposée par Google, les institutions peuvent répartir les parts de signature entre leurs propres équipements, Google Cloud et des fournisseurs cloud concurrents. Une banque pourrait exiger les approbations de deux participants sur trois ou de cinq sur sept avant d'autoriser un transfert.
Le service comprend des politiques de transaction conçues pour vérifier les demandes avant le début de la signature. Les institutions peuvent restreindre les adresses de destination, imposer des limites de transfert ou exiger des approbations supplémentaires, ces contrôles s'exécutant dans l'environnement Google Confidential Space.
Auparavant, Google avait publié des conseils techniques en avril 2023 expliquant comment les organisations pouvaient construire des systèmes de signature distribuée à l'aide de Confidential Space. Le produit proposé combine des capacités similaires avec des politiques de signature et des outils de récupération dans un service dédié.
Les produits existants Google Cloud Key Management Service et Cloud HSM protègent déjà les clés cryptographiques. La nouvelle offre se concentre spécifiquement sur les exigences d'autorisation et de récupération des actifs numériques, où une transaction blockchain finalisée ne peut généralement pas être annulée.
Les violations de clés privées exposent les faiblesses de l'infrastructure crypto
Le service prévu par Google arrive alors que les identifiants compromis restent une source persistante de pertes de cryptomonnaies. Chainalysis a estimé que les compromissions de clés privées représentaient 43,8 % des cryptomonnaies volées en 2024.
Un incident survenu en juin impliquant Humanity Protocol a illustré comment plusieurs identifiants de signature peuvent devenir vulnérables via un seul appareil compromis. Comme crypto.news l'a rapporté après l'enquête, un attaquant a obtenu sept clés privées stockées sur l'ordinateur d'un développeur et les a utilisées pour accéder aux contrôles administratifs.
Les identifiants volés ont permis des transactions non autorisées et des modifications de contrats sur Ethereum et BNB Smart Chain. Humanity Protocol a déclaré que l'attaque impliquait des signatures valides générées à l'aide de clés compromises, et non une faille sous-jacente dans ses contrats blockchain.
L'approche de Google vise à limiter une telle concentration de l'autorité de signature. Sa sécurité dépend toutefois de la manière dont les clients séparent leurs parts de clés, protègent les administrateurs et gèrent les politiques d'approbation.
Un examen d'octobre des contrôles institutionnels de conservation des crypto-monnaies a expliqué que la distribution d'identifiants n'élimine pas le risque opérationnel si plusieurs participants à la signature partagent les mêmes privilèges administratifs ou systèmes de récupération.
Google entre sur un marché desservi par des fournisseurs de conservation spécialisés
Le service proposé rapproche l'infrastructure cloud de Google des fournisseurs établis de sécurité des actifs numériques, notamment Fireblocks, Fordefi et BitGo. Les institutions utilisent déjà des plateformes spécialisées pour administrer les portefeuilles, contrôler les approbations de transactions et tenir des registres des mouvements d'actifs.
Google cible les banques qui souhaitent conserver le contrôle direct de leurs opérations de conservation tout en utilisant une technologie externe. Son service fournirait une infrastructure de signature sans exiger qu'une institution financière transfère la propriété de ses clés privées à Google.
En septembre, UniCredit explorait la conservation d'actifs numériques et l'infrastructure de courtage alors que les banques européennes développaient des services pour les crypto-monnaies et les titres tokenisés. Fireblocks a par ailleurs fourni une technologie de portefeuille et de tokenisation au consortium bancaire Qivalis.
Google n'a pas divulgué de benchmarks de performance comparant son système proposé aux produits commerciaux existants. L'identité de ses partenaires de test reste confidentielle, laissant inconnue l'ampleur de la participation institutionnelle initiale.
Les menaces liées à l'IA soulèvent des questions sur la sécurité future des portefeuilles
Google positionne en partie son service contre les cyberattaques impliquant des outils d'IA de plus en plus performants. Chainalysis a rapporté que les escroqueries associées à des fournisseurs d'outils d'IA ont généré des produits moyens de 3,2 millions de dollars par opération en 2025, contre 719 000 dollars pour les escroqueries sans de tels liens.
La comparaison mesure les produits associés à différents groupes d'escroqueries. Elle n'établit pas que l'IA a causé les pertes plus élevées ni que le MPC aurait pu empêcher ces stratagèmes.
Le chercheur sur Ethereum Justin Drake a averti de possibles avancées de l'IA qui pourraient à terme affaiblir les hypothèses cryptographiques protégeant les portefeuilles blockchain. Aucun système d'IA démontré publiquement ne peut actuellement dériver des clés privées ordinaires de Bitcoin ou d'Ethereum en cassant leurs algorithmes de signature sous-jacents.
Google a déclaré que le service proposé prendra en charge la signature ECDSA et Ed25519 lors de sa disponibilité générale. Son architecture est conçue pour accueillir de futures mises à niveau de cryptographie post-quantique, bien que l'entreprise n'ait pas annoncé de calendrier pour l'ajout de ces méthodes de signature.
L'entreprise n'a pas divulgué de date de sortie commerciale précise au-delà du début 2027 ni identifié les premières institutions censées adopter le service après les tests privés.
