Google a révélé un programme de service de sécurité cryptographique visant à répartir le contrôle des clés privées sur plusieurs environnements de calcul indépendants, avec pour objectif de le commercialiser début 2027. Alors que les institutions financières cherchent à renforcer la protection de leurs actifs numériques, ce service est actuellement en phase de test privé.
Selon CoinDesk, Google Multi-Party Compute (MPC) est actuellement en phase de test privé avec plusieurs grandes institutions financières et sera démontré lors du premier séminaire sur les actifs numériques de l'entreprise à New York. Alphabet, la maison mère de Google, a déjà commencé à utiliser cette technologie pour protéger ses propres actifs numériques sur Ethereum et Solana.
Dans le même temps, l'entreprise n'a pas encore révélé les noms des institutions financières participant au test, ni les actifs détenus par Alphabet via ce système. Les prix ne sont pas encore publiés, et le lancement commercial prévu dépend de la finalisation du projet en prévisualisation.
Google lance une solution de sécurité MPC pour le stockage cryptographique institutionnel
Google Multi-Party Compute utilise des technologies de chiffrement pour répartir le contrôle de la clé privée entre plusieurs parties indépendantes. Les parties autorisées signent conjointement les transactions blockchain sans avoir à regrouper la clé privée complète en un seul endroit, réduisant ainsi la dépendance à un seul appareil ou administrateur.
Selon l'architecture proposée par Google, les institutions peuvent répartir les parts de signature entre leurs propres appareils, Google Cloud et d'autres fournisseurs de services cloud. Les banques peuvent définir des règles d'approbation telles que 2 sur 3 ou 5 sur 7 avant d'autoriser un virement.
Ce service inclut également des stratégies de transaction permettant de vérifier les demandes avant le début de la signature. Les institutions peuvent limiter les adresses de réception, fixer des plafonds de transfert ou exiger une approbation supplémentaire, toutes ces vérifications étant exécutées dans l'environnement Confidential Space de Google.
Précédemment, Google avait publié en avril 2023 un guide technique expliquant comment les organisations pouvaient utiliser Confidential Space pour construire un système de signature distribuée. Le produit proposé aujourd'hui intègre ces capacités similaires dans un service dédié, associé à des stratégies de signature et des outils de récupération.
Les produits existants de Google Cloud Key Management Service et Cloud HSM protègent déjà les clés cryptographiques. Le nouveau service se concentre spécifiquement sur les besoins d'autorisation et de récupération des actifs numériques, car les transactions blockchain sont généralement irréversibles une fois effectuées.
La fuite de la clé privée met en lumière les faiblesses de l'infrastructure cryptographique
Au moment où Google prévoit de lancer ses services, le vol de credentials reste une source persistante de pertes en cryptomonnaies. Chainalysis estime que 43,8 % des cryptomonnaies volées en 2024 sont liées à une fuite de clés privées.
Un événement impliquant Humanity Protocol en juin de cette année a révélé que des informations d'authentification à signature multiple pourraient également être exposées en raison d'un appareil compromis. Selon un rapport publié par crypto.news après enquête, les attaquants ont obtenu 7 clés privées à partir de l'ordinateur d'un développeur et les ont utilisées pour accéder au contrôle administratif.
Les identifiants volés ont permis aux attaquants d'effectuer des transactions non autorisées et des modifications de contrats sur Ethereum et BNB Smart Chain. Humanity Protocol a indiqué que cette attaque utilisait des signatures valides générées à partir de clés compromises, et non une faille dans les contrats blockchain eux-mêmes.
La démarche de Google vise à limiter la concentration excessive de ces droits de signature. Toutefois, sa sécurité dépend toujours de la manière dont les clients séparent les parts de clé, protègent les administrateurs et gèrent les stratégies d'approbation.
Une analyse d'octobre sur le contrôle de la conservation cryptographique institutionnelle indique que, même si les identifiants sont dispersés, le risque opérationnel ne peut être éliminé si plusieurs parties signataires partagent les mêmes droits d'administration ou le même système de récupération.
Google entre sur un marché dominé par des fournisseurs de services de gestion professionnels
Ce service proposé permettra de rapprocher l'infrastructure cloud de Google des fournisseurs matures de sécurité d'actifs numériques tels que Fireblocks, Fordefi et BitGo. Les institutions utilisent déjà ces plateformes spécialisées pour gérer les portefeuilles, contrôler l'approbation des transactions et enregistrer les flux d'actifs.
Google cible les banques qui souhaitent conserver le contrôle direct de leurs activités hébergées tout en utilisant des technologies externes. Ce service fournira une infrastructure de signature sans que les institutions financières aient à transférer la propriété de leurs clés privées à Google.
En septembre, UniCredit explore l'infrastructure de custody et de courtage d'actifs numériques, tandis que les banques européennes développent des services liés aux cryptomonnaies et aux titres tokenisés. Fireblocks a également fourni des technologies de portefeuille et de tokenisation à l'alliance bancaire Qivalis.
Google n'a pas encore divulgué les indicateurs de performance de son système proposé par rapport aux produits commerciaux existants. L'identité des partenaires de test reste confidentielle, donc l'échelle initiale de la participation institutionnelle n'est pas claire.
Les menaces liées à l'IA soulèvent des questions sur la sécurité des portefeuilles futurs
Google positionne ce service, dans une certaine mesure, comme une réponse aux cyberattaques issues des outils IA de plus en plus puissants. Selon le rapport de Chainalysis, les escroqueries liées aux fournisseurs d'outils IA ont généré en moyenne 3,2 millions de dollars de bénéfices par incident en 2025, contre 719 000 dollars pour les escroqueries sans ce lien.
Cette comparaison mesure les revenus provenant de différents types d'escroqueries, mais ne prouve pas que l'IA a causé des pertes plus élevées, ni que le MPC aurait pu empêcher ces arnaques.
Le chercheur en Ethereum Justin Drake a averti que l'IA pourrait à l'avenir progresser au point de remettre en cause les hypothèses cryptographiques protégeant les portefeuilles blockchain. Pour l'instant, les systèmes d'IA présentés publiquement ne sont pas capables de déduire les clés privées ordinaires de Bitcoin ou d'Ethereum en cassant les algorithmes de signature sous-jacents.
Google indique que ce service proposé prendra en charge les signatures ECDSA et Ed25519 à son lancement officiel. Son architecture est également conçue pour être compatible avec les futures mises à niveau en cryptographie post-quantique, bien que l'entreprise n'ait pas encore publié de calendrier pour l'ajout de ces méthodes de signature.
En dehors de la date de début 2027, l'entreprise n'a pas divulgué de date de mise sur le marché plus précise, ni indiqué quelles institutions adopteront en premier ce service après le test privé.