Google prévoit de présenter Google Multi-Party Compute (MPC), un système de protection et de transfert de cryptomonnaies et d'actifs tokenisés, lors du premier symposium de Google sur les actifs numériques à New York mercredi. Google a indiqué que plusieurs partenaires de conception et de grandes institutions financières testent le service en prévisualisation privée, mais n'a pas nommé les institutions. Alphabet, la société mère de Google, a commencé à sécuriser des actifs numériques sur Ethereum et Solana avec cette technologie, bien que Google n'ait pas identifié les actifs. Google prévoit de proposer ce service commercialement au début de l'année 2027 et n'a pas encore annoncé de prix.
Google a déclaré qu'il n'avait jamais précédemment proposé de produit dédié de custody MPC pour les actifs numériques. Les offres existantes de Google incluent le Google Cloud Key Management Service et Cloud HSM, tandis que le nouveau service combine la signature MPC, les politiques de transaction et la récupération des clés. Google a publié en 2023 des instructions pour construire des systèmes d'actifs numériques MPC avec l'infrastructure Confidential Space de Google. Les banques et autres entreprises financières explorent l'émission d'actifs, les paiements et la custody basés sur la blockchain, ce qui nécessite une autorisation sécurisée des transactions généralement irréversibles. Rich Widmann, directeur de la stratégie actifs numériques chez Google Cloud, a déclaré que l'adoption et la tokenisation ont atteint un point de bascule et que les institutions réglementées ont besoin d'une infrastructure évolutive et éprouvée pour protéger les actifs de leurs clients.
Chainalysis a attribué 43,8 % des cryptomonnaies volées en 2024 à des clés privées compromises. Les données de DeFiLlama indiquent que les pertes cumulées des projets blockchain dues à des piratages et exploitations s'élevaient à 16,69 milliards de dollars au mois de juin de cette année, dont environ 40 % étaient dues à des compromissions de clés privées. Une attaque en mars contre le protocole de stablecoin Resolv a extrait environ 25 millions de dollars grâce à une clé privée de compte privilégié compromise et à des faiblesses du système de création. Les attaquants ont volé plus de 32 millions de dollars à au moins 17 wallets en juin après avoir compromis la clé privée d'un membre de la fondation Humanity Protocol. La violation a également fait chuter le token de Humanity Protocol de plus de 80 %, illustrant des pertes au-delà des actifs directement volés.
MPC répartit le contrôle de la clé privée entre plusieurs parties ou ordinateurs et exige des morceaux distincts d'informations cryptographiques pour autoriser les transactions. Google a déclaré que la clé complète n'est jamais conservée en un seul endroit, réduisant ainsi le risque de vol d'actifs en cas de compromission d'une machine. Google a précisé que les clients contrôlent leur matériel de clé et que Google ne peut pas obtenir un accès non chiffré, même lorsque l'infrastructure Google détient des parts de clé. Google présente également ce service comme une réponse aux cyberattaques de plus en plus sophistiquées impliquant l'intelligence artificielle et l'informatique quantique.
Chainalysis a constaté que les arnaques liées aux fournisseurs d'outils IA ont généré en moyenne 3,2 millions de dollars par opération en 2025, contre 719 000 dollars pour les autres arnaques, soit environ 4,5 fois plus. Ces résultats suggèrent que l'IA pourrait faciliter des fraudes à plus grande échelle, mais la recherche ne prouve pas que l'IA a causé cette différence de montants perçus. Le chercheur en ethereum Justin Drake a averti que l'IA pourrait découvrir des raccourcis mathématiques capables de casser les signatures des wallets bitcoin et ethereum, potentiellement dans les mois à venir dans le pire des scénarios, avant l'arrivée d'ordinateurs quantiques suffisamment puissants. Aucun système d'IA n'a démontré cette capacité, bien que l'IA puisse révéler des failles dans des outils mal chiffrés, comme l'illustre l'incident de l'autorité de certification de la semaine dernière. Les protections MPC actuelles de Google ciblent les compromissions d'identifiants et les transferts non autorisés, et non une défaillance hypothétique de la cryptographie sous-jacente.
Le service peut vérifier les transactions par rapport aux politiques institutionnelles avant de les signer, bloquant potentiellement les transferts qui violent les limites ou les exigences d'approbation. Toutefois, les utilisateurs légitimes pourraient encore être trompés pour approuver des transactions malveillantes. L'informatique quantique représente un risque distinct et à plus long terme, et non une menace imminente. Des chercheurs de Google ont précédemment estimé qu'un ordinateur quantique suffisamment puissant dans le futur pourrait théoriquement calculer une clé privée bitcoin à partir d'une clé publique exposée en environ 9 minutes, à condition d'une préparation avancée. Aucun ordinateur quantique actuel ne peut effectuer cette attaque, mais environ 6,9 millions de bitcoin ont été signalés comme potentiellement vulnérables car leurs clés publiques sont exposées.
Google a déclaré que l'architecture peut accueillir des mises à jour futures de cryptographie post-quantique conçues pour protéger les signatures contre des ordinateurs quantiques suffisamment puissants. Google a indiqué que le service est conçu pour prendre en charge les algorithmes de signature conventionnels ECDSA et Ed25519 lors de sa disponibilité générale. Google n'a pas fourni de calendrier pour la signature post-quantique, mais a précisé que les mises à jour pourraient suivre l'adoption par la blockchain de la cryptographie nécessaire, sans nécessiter de redesigns systémiques institutionnels ni d'interruptions opérationnelles.
Une banque pourrait placer une part de clé de signature sur Google Cloud, une autre sur son matériel informatique et une troisième chez un autre fournisseur de cloud. Google a déclaré qu'un transfert proposé entre dans Confidential Space, où un moteur de politiques vérifie les règles institutionnelles avant le début de la signature. Les règles possibles couvrent les montants de transfert, les wallets de destination autorisés et les approbations provenant de plusieurs départements, avec des vérifications exécutées dans des environnements isolés matériellement conçus pour empêcher tout accès non autorisé aux informations. Google a indiqué que les seuils de signature peuvent varier, incluant une approbation conjointe de deux sur trois participants ou de cinq sur sept participants. Google a affirmé que les institutions peuvent répartir les identifiants entre leur matériel institutionnel, Google Cloud et des clouds concurrents, répondant ainsi au désir des banques de bénéficier de la commodité du cloud sans céder le contrôle total des identifiants à un seul fournisseur. Google a également affirmé des signatures rapides et une récupération rapide des clés, mais n'a fourni aucune comparaison de performance vérifiée indépendamment par rapport aux produits de garde existants.
L'offre prévue par Google concurrencerait plus directement les fournisseurs spécialisés en sécurité Fireblocks, Fordefi et BitGo, qui aident les institutions à protéger et à autoriser les transactions blockchain. Google affirme que les relations bancaires et l'expertise en sécurité offrent un avantage concurrentiel, et présente le service comme une infrastructure neutre pour les banques méfiantes à l'égard des fournisseurs qui concurrencent les mêmes clients. Les institutions devraient toujours évaluer les risques liés aux fournisseurs, car les banques pourraient rester dépendantes de Google pour le logiciel, les politiques de transaction et l'infrastructure opérationnelle, malgré la distribution des identifiants de signature. La sécurité dépend également de la configuration institutionnelle, de la protection des participants à la signature et du contrôle des modifications apportées aux règles d'approbation des transactions.