Diviser une seed ou utiliser le multisig : Shamir, SLIP-39 et SSKR comparés

« Il faut plusieurs morceaux pour déplacer les fonds » décrit deux configurations très différentes. La première est une seed divisée : un secret unique découpé en parts grâce au partage de secret de Shamir ou à un standard qui s'en inspire, comme SLIP-39 ou SSKR. La seconde est le multisig : plusieurs clés indépendantes, et c'est la blockchain elle-même qui refuse de déplacer les fonds tant que suffisamment d'entre elles n'ont pas signé.

Les deux répartissent le risque, mais elles ne protègent pas contre les mêmes choses, et les confondre mène à des configurations plus fragiles qu'elles n'en ont l'air.

Comment fonctionne le partage de secret de Shamir

Le partage de secret de Shamir, publié par Adi Shamir en 1979, divise un secret en n parts de sorte que n'importe quelles t d'entre elles permettent de le reconstituer, tandis que moins de t ne révèlent absolument rien. Dans un partage 2 sur 3, deux parts quelconques reconstituent le secret, et une seule part n'apprend littéralement rien à un attaquant.

Deux standards courants s'appuient dessus :

• SLIP-39, de SatoshiLabs, encode chaque part sous forme de phrase de 20 ou 33 mots et prend en charge les groupes (par exemple « deux de mes trois parts, ou une de ma famille et une de mon avocat »). C'est lui qu'utilise la sauvegarde Shamir de Trezor.
• SSKR (Sharded Secret Key Reconstruction), de Blockchain Commons, fait la même chose avec son propre encodage et est utilisé par certains signataires hors ligne.

Les parts SLIP-39 ne sont pas interchangeables avec une phrase BIP-39 ordinaire. Les portefeuilles compatibles SLIP-39 ne peuvent généralement pas convertir une phrase de 24 mots existante en parts ; la sauvegarde doit être créée ainsi dès le départ.

Le piège : la clé se reforme pour signer

Shamir est une technique de sauvegarde. Les parts protègent le secret tant qu'il est stocké. Mais une part ne peut rien signer. Pour dépenser, on combine les parts et on reconstitue la clé complète — sur un seul appareil, d'un seul tenant.

Au moment de signer, un portefeuille sauvegardé avec Shamir est donc un portefeuille à clé unique. Si cet appareil est compromis, ou si la personne qui reconstitue la clé subit une contrainte, la division ne sert à rien. Souvent, la clé est reconstituée une fois puis réside sur un seul portefeuille matériel.

Le multisig fonctionne à l'inverse. Chaque signataire possède sa propre clé, générée séparément, et les clés ne se rencontrent jamais. Chacune signe sur son propre appareil, et la blockchain vérifie qu'il y a assez de signatures valides. À aucun moment un appareil ne détient tout. Portefeuilles MPC ou multisig présente une troisième approche, où les clés sont divisées par la cryptographie plutôt que la règle imposée par la chaîne.

Ne coupez pas vos 24 mots en trois

Une version maison tentante consiste à écrire les huit premiers mots sur une carte, les huit suivants sur une autre et les huit derniers sur une troisième. Ce n'est pas du Shamir, et cela pose deux problèmes.

D'abord, ce n'est pas un schéma à seuil. Il vous faut les trois morceaux : perdre une seule carte, c'est perdre le portefeuille.

Ensuite, chaque morceau divulgue une partie du secret. Chaque mot BIP-39 porte 11 bits ; une phrase de 24 mots contient 256 bits d'aléa plus une somme de contrôle de 8 bits. Une carte de huit mots révèle 88 de ces 256 bits. Quelqu'un qui détient une carte doit encore deviner 168 bits, ce qui reste hors de portée — mais quelqu'un qui en détient deux n'a plus que 80 bits à deviner, bien en dessous de la marge prévue pour la phrase. Avec une phrase de 12 mots (128 bits), deux morceaux de quatre mots sur trois ne laissent que 40 bits, qu'on peut trouver par force brute avec du matériel ordinaire.

Avec un vrai Shamir, une part sous le seuil ne divulgue rien. Avec une phrase découpée, chaque morceau facilite le travail de l'attaquant. Si vous voulez diviser une seed, utilisez un vrai standard ; les bonnes pratiques pour la phrase de récupération couvrent les options plus courantes : sauvegardes en métal et emplacements séparés.

Les compromis : visibilité et chaînes

Chaque approche a de vrais avantages :

• Empreinte on-chain. Shamir est invisible sur la chaîne : le portefeuille ressemble à n'importe quel portefeuille à clé unique et se comporte comme tel, sur toutes les chaînes. Le multisig est visible : une dépense multisig sur Bitcoin révèle son script, et sur les chaînes à comptes, le coffre est un contrat intelligent ou un programme que chacun peut inspecter.
• Prise en charge des chaînes. Shamir fonctionne avec toutes les chaînes prises en charge par votre portefeuille, car il ne touche que la sauvegarde. Le multisig est propre à chaque chaîne : Bitcoin utilise des scripts, les chaînes EVM des comptes à contrat intelligent, Solana un programme, chacun avec ses frais et ses limites.
• Ce qui est protégé. Shamir protège la sauvegarde contre la perte et le vol. Le multisig protège chaque transaction, car aucun appareil ne peut signer seul.

Les deux ne s'excluent pas ; l'essentiel est de savoir quel risque chacun couvre.

Où se situe SSP

SSP est un multisig 2 sur 2. SSP Wallet, l'extension de navigateur, et SSP Key, l'application mobile, génèrent chacune leur propre phrase de récupération de 24 mots. Sur les chaînes UTXO comme Bitcoin, l'adresse du coffre est construite à partir d'un script multisig 2 sur 2 contenant une clé publique de chacune, et chaque transaction exige les deux signatures. Les deux clés ne sont jamais réunies sur un même appareil.

SSP n'implémente ni Shamir, ni SLIP-39, ni SSKR. Vous sauvegardez deux phrases ordinaires de 24 mots, et restaurer le coffre de zéro nécessite les deux : les deux sauvegardes comptent donc autant l'une que l'autre. 2 sur 2, 2 sur 3 ou M sur N explique ce compromis, et succession et accès d'urgence explique comment faire en sorte qu'une autre personne puisse récupérer les fonds si nécessaire.

Le résumé honnête

Diviser une seed et utiliser le multisig demandent tous deux plusieurs morceaux, mais à des moments différents. Les standards basés sur Shamir, comme SLIP-39 et SSKR, protègent une sauvegarde : les parts sous le seuil ne divulguent rien, et le portefeuille reste invisible et indépendant de la chaîne. Mais la clé complète est reconstituée pour signer, si bien que la signature conserve un point de défaillance unique. Le multisig garde des clés séparées qui ne se rencontrent jamais et fait appliquer la règle par la chaîne, au prix d'une visibilité on-chain et d'une mise en œuvre propre à chaque chaîne.

Évitez de découper une phrase à la main : il faut chaque morceau, et chacun divulgue des bits du secret. SSP utilise un multisig 2 sur 2 avec deux phrases de 24 mots distinctes et ne propose pas de division de seed — gardez donc bien les deux sauvegardes.