Ce qu'est la crypto — et ce qu'elle n'est pas

Partez du registre, pas de la pièce

Un cryptoactif est une écriture numérique régie par un logiciel et par un réseau ou un émetteur. Rien n'est stocké dans votre téléphone. Ce que détient un portefeuille, c'est le pouvoir de demander des modifications à un registre que d'autres ordinateurs tiennent et contrôlent. Si toutes les copies de ce registre disparaissaient, l'application sur votre téléphone n'aurait plus rien à afficher.

C'est pourquoi les métaphores physiques habituelles induisent en erreur. Un portefeuille n'est pas un porte-monnaie contenant des objets ; il ressemble davantage à une clé de signature pour un compte que vous n'hébergez pas. Comprendre cette phrase explique l'essentiel de la suite du cours : pourquoi exposer une phrase de récupération est si dangereux, pourquoi une transaction ne se rappelle pas, et pourquoi « la plateforme détient mes pièces » décrit un arrangement très différent de « mon portefeuille les contrôle ».

Les blockchains publiques permettent à de nombreux observateurs indépendants de vérifier le même historique. C'est une propriété réelle et peu commune. Cela ne rend pas pour autant chaque jeton décentralisé, chaque utilisateur anonyme ni chaque transaction réversible : ce sont des affirmations distinctes, à vérifier séparément.

Trois familles de propriété

Presque tout ce qui est vendu comme crypto entre dans l'une de trois familles, et la famille détermine ce qui peut mal tourner. Une pièce native de réseau, comme l'actif utilisé pour payer les frais sur son propre réseau, existe parce que les règles du protocole la créent. Aucune entreprise à qui la demander, aucune entreprise qui puisse la retenir.

Un jeton émis vit dans un contrat intelligent sur le réseau de quelqu'un d'autre. L'auteur du contrat décide du nombre d'unités et peut conserver la capacité d'émettre, de suspendre, de geler ou de mettre à jour. Le réseau enregistre fidèlement le jeton, mais il n'est la source ni de sa valeur ni de ses règles.

Un solde détenu par un prestataire est une créance sur une entreprise. Quand un service affiche un solde, ce nombre est généralement une écriture dans sa propre base de données, pas un enregistrement réseau que vous contrôlez. L'entreprise vous doit l'actif. Que vous le receviez dépend de sa sécurité, de sa solvabilité et de ses politiques — les mêmes questions que pour n'importe quel établissement financier.

• Est-ce une pièce native de réseau, un jeton émis par contrat ou la promesse d'une entreprise ?
• Si c'est un jeton, quel réseau l'enregistre et qui a déployé le contrat ?
• Si c'est un solde chez un service, quelle entité juridique vous le doit ?

La décentralisation est un continuum, pas un badge

Les projets se disent décentralisés bien plus souvent que cette description ne résiste à l'examen. La décentralisation n'est pas une propriété mais plusieurs, et un projet peut obtenir des résultats très différents sur chacune. Qui peut faire tourner un nœud et vérifier de façon indépendante ? Qui peut modifier les règles du protocole, et par quel processus ? Quelqu'un détient-il des clés d'administration permettant de suspendre, mettre à jour ou émettre ? Qui exploite le site dont dépendent la plupart des utilisateurs, et qui contrôle ce nom de domaine ?

Un projet peut régler ses transactions sur un réseau réellement ouvert tandis que chaque décision importante sur le jeton est prise par une poignée de personnes. Ce n'est en soi ni une contradiction ni un scandale — beaucoup de produits utiles fonctionnent ainsi — mais cela signifie que le profil de risque ressemble davantage à faire confiance à une entreprise qu'à un protocole. La défaillance à anticiper est celle qui correspond à la structure de contrôle réelle, pas à celle que suggère le marketing.

Public ne veut pas dire anonyme

Sur la plupart des réseaux, chaque transaction reste visible en permanence par n'importe qui. Les adresses sont pseudonymes : elles ne portent pas votre nom, mais le pseudonymat est fragile. Réutiliser une adresse, déplacer des fonds entre un compte de plateforme qui a vérifié votre identité et un portefeuille personnel, ou publier une adresse : chacune de ces actions peut relier les deux.

Inversez l'hypothèse instinctive : supposez que tout ce que vous faites sur un réseau public pourra à terme vous être relié, et traitez les exceptions comme quelque chose à concevoir délibérément. Cela compte pour la sécurité quotidienne autant que pour la confidentialité : une adresse dont on sait qu'elle détient de la valeur est une adresse qui vaut la peine d'être ciblée.

Posez quatre questions avant tout le reste

Avant d'étudier le prix, la communauté ou la feuille de route, répondez à quatre questions. Qui peut modifier les règles ? Qui valide les transactions ? Qui peut geler, mettre à jour ou émettre davantage d'unités ? Que se passe-t-il si telle entreprise ou tel site disparaît demain ?

Ces questions sont utiles précisément parce qu'elles sont ennuyeuses. On n'y répond pas avec de l'enthousiasme, et les réponses figurent rarement sur une page d'accueil. Là où vous ne trouvez pas de réponse, cette absence est en soi le résultat : notez-la comme inconnue explicite au lieu de supposer la version rassurante.

• Identifiez le réseau et, s'il y en a un, l'émetteur de l'actif.
• Identifiez qui contrôle le pouvoir de signature.
• Identifiez tout administrateur, dépositaire ou gestionnaire de réserves.
• Supposez que les adresses publiques sont pseudonymes, pas automatiquement privées.

L'erreur classique du débutant

Ne prenez pas le vocabulaire technique pour une preuve de sécurité. Un projet peut utiliser une blockchain, publier un livre blanc, afficher un audit et néanmoins présenter un contrôle concentré, une sécurité faible, un marketing trompeur ou aucune raison d'exister. Les mots décrivent la mécanique, pas les intentions de ceux qui l'exploitent.

L'erreur inverse est courante aussi : tout rejeter parce qu'une partie relève de la fraude. La posture utile n'est ni la foi ni le cynisme, mais l'habitude de demander ce qui est précisément affirmé, par qui, et comment on pourrait le vérifier.