Votre propre bourse crypto : conserver les fonds des clients dans des portefeuilles chauds et froids, contrôler les retraits et respecter les règles de l'UE

Décidez comment les fonds des clients seront conservés avant de concevoir l'écran de trading. Gardez la plus grande partie des cryptos de vos clients dans des portefeuilles froids, dont les clés ne passent jamais par un ordinateur connecté à internet, et exigez l'approbation de plusieurs personnes pour chaque transfert qui en sort. Un petit portefeuille chaud paie les retraits du quotidien et il est réapprovisionné depuis le stockage à froid par des transferts planifiés plafonnés. Chaque retrait passe des contrôles avant que quiconque le signe. Dans l'UE, la bourse a aussi besoin d'un agrément au titre de MiCA et doit transmettre les informations sur l'expéditeur et le destinataire avec les transferts.

De quoi une bourse crypto a-t-elle besoin en plus du matching engine ?

Le matching engine apparie les ordres d'achat et de vente. Autour de lui, une bourse fait tourner plusieurs autres systèmes :

• Un registre interne qui indique combien chaque client possède de chaque crypto et qui change à chaque transaction, dépôt et retrait
• Le traitement des dépôts : une adresse pour chaque client et un logiciel qui surveille chaque blockchain et crédite un dépôt dès qu'il a assez de confirmations
• Les portefeuilles qui contiennent les cryptos elles-mêmes : chauds, tièdes et froids, expliqués plus bas
• Le traitement des retraits : les contrôles, la signature et l'envoi de chaque transfert au réseau
• Les contrôles d'identité et de lutte contre le blanchiment sur les clients et sur les adresses vers lesquelles ils envoient et dont ils reçoivent

Une transaction entre deux clients ne modifie que le registre interne. Les cryptos ne bougent sur une blockchain que lorsqu'un client dépose ou retire. Les cryptos présentes sur les adresses de la bourse doivent donc couvrir ce que, selon le registre, possèdent les clients. Demandez à celui qui construit la bourse comment cette comparaison se fait chaque jour et ce qui se passe quand les chiffres ne concordent pas.

Combien garder dans les portefeuilles chauds, et combien dans les froids ?

Un portefeuille chaud garde ses clés sur un serveur connecté à internet, il peut donc signer des retraits sans intervention humaine. Cette rapidité fait aussi son risque : quiconque prend le contrôle du serveur peut signer lui aussi. Un portefeuille froid garde ses clés hors ligne, et un transfert exige en général l'approbation de plusieurs personnes. Un portefeuille tiède se situe entre les deux : dans une configuration courante, il est en ligne, mais une personne approuve chaque transfert.

Ne gardez dans le portefeuille chaud que ce qu'exige une journée normale de retraits, et réapprovisionnez-le depuis le stockage à froid par des transferts planifiés avec un plafond fixe. Aucun ratio ne convient à toutes les bourses. Il dépend de ce que retirent les clients et de la vitesse à laquelle ils attendent leurs cryptos, demandez donc à celui qui construit la bourse de le calculer à partir de vos volumes prévus.

MiCA est le règlement de l'UE sur les crypto-actifs : le règlement (UE) 2023/1114, consulté le 27 octobre 2026 comme les autres sources de cet article. Il fixe l'objectif et laisse la méthode à chaque société. Son article 75 demande à la société qui conserve les crypto-actifs de ses clients d'avoir une politique de conservation. Cette politique doit « réduire au minimum le risque de perte des crypto-actifs des clients, des droits liés à ces crypto-actifs ou des moyens d'accès aux crypto-actifs en raison d'une fraude, de cybermenaces ou d'une négligence ». Le même article exige que, « dans le registre distribué, les crypto-actifs de leurs clients soient détenus séparément de leurs propres crypto-actifs ». Les cryptos propres de la bourse et celles de ses clients se trouvent donc sur des adresses différentes.

Qu'a montré le vol chez Bybit à propos des portefeuilles froids ?

Le 21 février 2025, la bourse crypto Bybit a effectué ce qu'elle a appelé « un transfert de routine depuis l'un de nos portefeuilles froids multisig Ethereum vers un portefeuille tiède ». Un portefeuille multisig a besoin de plusieurs clés pour approuver un transfert. Les approbateurs ont signé ce qui ressemblait à un transfert normal, mais la transaction a modifié la logique même du portefeuille et en a donné le contrôle aux attaquants. Bybit a estimé la perte à 1,46 milliard de dollars. Le FBI l'a estimée à environ 1,5 milliard de dollars et a attribué le vol à la Corée du Nord.

La chronologie de l'incident publiée par Bybit cite des rapports préliminaires de Sygnia Labs et de Verichains. Ils ont pointé « du code JavaScript malveillant sur la plateforme de Safe{Wallet} », le service externe qu'utilisaient ses signataires, et n'ont trouvé aucune vulnérabilité dans l'infrastructure propre de Bybit. Les approbations n'ont pas empêché le vol, parce que ce qu'on montrait aux signataires n'était pas ce qu'ils signaient.

Pour une nouvelle bourse, la leçon porte sur la façon dont fonctionnent les approbations, pas seulement sur leur nombre :

• Chaque approbateur vérifie les détails d'un transfert sur un appareil que l'interface web ne contrôle pas, comme l'écran d'un appareil de signature matériel
• Un transfert depuis le stockage à froid est plafonné, si bien qu'une seule transaction approuvée ne peut pas vider tout un portefeuille
• Quelqu'un surveille les portefeuilles froids en permanence et peut suspendre les retraits

Comment contrôler un retrait avant de le signer ?

Une demande de retrait doit passer des contrôles logiciels avant qu'une clé ne la signe :

• Le solde du client dans le registre interne couvre le montant et les frais de réseau
• Le montant respecte la limite journalière du client et la limite par transfert
• L'adresse figure dans la liste des adresses enregistrées du client, ou un délai d'attente s'applique à une nouvelle adresse
• L'adresse est comparée à des listes d'adresses sanctionnées et à haut risque
• Les informations exigées par les règles sur les transferts sont recueillies et envoyées avec le transfert

Les petits retraits qui passent tous les contrôles peuvent être signés automatiquement par le portefeuille chaud. Les plus gros vont à des personnes qui les approuvent depuis le portefeuille tiède ou froid. Une fois le transfert envoyé, le système attend les confirmations sur le réseau et seulement ensuite marque le retrait comme terminé dans le registre interne.

Qu'exige la Travel Rule de l'UE d'une bourse ?

Le règlement (UE) 2023/1113, souvent appelé Travel Rule, s'applique « à partir du 30 décembre 2024 ». Il exige que la bourse du client qui envoie des cryptos transmette les informations sur les deux parties. Pour l'expéditeur, elles comprennent « le nom du donneur d'ordre » ainsi que son adresse sur la blockchain et son numéro de compte. Elles comprennent aussi « l'adresse du donneur d'ordre, y compris le nom du pays, le numéro du document personnel officiel et le numéro d'identification du client ou, à défaut, la date et le lieu de naissance du donneur d'ordre ». Pour le destinataire, elles comprennent le nom, l'adresse sur la blockchain et le numéro de compte.

Les informations doivent être transmises « avant le transfert de crypto-actifs, ou simultanément ou concomitamment à celui-ci », mais elles n'ont pas à figurer dans la transaction blockchain elle-même. Les bourses se les échangent par des services de messagerie distincts, celui qui construit la vôtre doit donc la raccorder à ces services.

Les retraits vers un portefeuille que le client contrôle lui-même, que le règlement appelle une adresse auto-hébergée, obéissent à une règle de plus. Elle vise « un transfert d'un montant supérieur à 1 000 EUR vers une adresse auto-hébergée ». Pour un tel transfert, la bourse doit « prendre des mesures appropriées pour évaluer si cette adresse appartient au donneur d'ordre ou est contrôlée par lui ». Une méthode courante consiste à demander au client de prouver qu'il contrôle l'adresse, par exemple en signant un court message avec elle.

De quelle licence une bourse crypto a-t-elle besoin dans l'UE ?

Selon MiCA, l'exploitation d'une plateforme de négociation de crypto-actifs est un service sur crypto-actifs, et la société a besoin d'un agrément comme prestataire de services sur crypto-actifs. Ce service relève de la plus élevée des trois catégories de capital de l'annexe IV du règlement, avec une exigence de capital minimal de 150 000 EUR.

Les sociétés qui fournissaient de tels services selon le droit national avant le 30 décembre 2024 pouvaient continuer sous un régime transitoire. Il durait « jusqu'au 1er juillet 2026 ou jusqu'à ce qu'elles obtiennent ou se voient refuser un agrément », selon la date la plus proche. Cette date est passée. Une bourse qui veut des clients dans l'UE doit prévoir l'agrément dès le départ.

MiCA façonne aussi le logiciel. L'article 75 exige :

• Un accord de conservation avec chaque client
• Un registre des positions de chaque client
• Un relevé des positions « au moins une fois tous les trois mois »
• Des procédures pour restituer aux clients leurs crypto-actifs « dans les meilleurs délais »

La société est responsable des pertes dues à des incidents qui lui sont imputables, une responsabilité « plafonnée à la valeur de marché du crypto-actif perdu au moment où la perte s'est produite ». L'article 70 ajoute une règle sur l'argent des clients en euros ou dans d'autres monnaies. Sauf si la société est elle-même une banque, un établissement de paiement ou un établissement de monnaie électronique, cet argent doit être placé « auprès d'un établissement de crédit ou d'une banque centrale » avant la fin du jour ouvrable suivant.

Hors de l'UE, les règles dépendent du pays, et cet article n'est pas un conseil juridique. Consultez un avocat dans chaque marché que vous comptez servir avant de décider où vous enregistrer.

Vos propres portefeuilles ou un prestataire de conservation ?

Il existe trois configurations courantes :

• Vos propres portefeuilles : vous contrôlez chaque étape et chaque coût, et vous assumez tout le risque, les audits et les personnes qui gardent les clés
• Un prestataire de conservation : garder les clés et signer, c'est son métier, mais chaque retrait dépend de ses systèmes et de ses frais
• Les deux : des portefeuilles chauds en interne pour la rapidité, et le stockage à froid chez un prestataire pour la plus grande partie des fonds des clients

Selon MiCA, un prestataire qui conserve les crypto-actifs des clients pour le compte d'une bourse doit lui-même être agréé. L'article 75 ne permet à une société de recourir qu'à des prestataires « agréés conformément à l'article 59 », et la société doit informer ses clients qu'elle en utilise un.

Avec une bourse en marque blanche, demandez quelle configuration le prestataire utilise et qui détient les clés. Si c'est le prestataire, les cryptos de vos clients dépendent d'une entreprise que vous ne contrôlez pas.

Que demander à une société qui construit les portefeuilles d'une bourse ?

• Où les clés sont-elles créées et conservées, et combien de personnes approuvent un transfert depuis chaque portefeuille ?
• Comment chaque approbateur vérifie-t-il ce qu'il signe sans dépendre de l'interface web ?
• Comment le registre interne est-il rapproché des soldes sur chaque blockchain, et à quelle fréquence ?
• Que deviennent les soldes des clients quand une blockchain se scinde ou qu'un jeton est remplacé par une nouvelle version ?
• Comment les informations de la Travel Rule parviennent-elles aux autres bourses, et que se passe-t-il quand elles manquent ?
• Pouvez-vous montrer le parcours d'un retrait dans un système qui fonctionne aujourd'hui ?

La question des scissions de blockchain compte à cause de MiCA. Les clients ont droit à tout crypto-actif nouvellement créé par un tel changement, au prorata de leurs positions, sauf si leur accord avec la bourse en dispose autrement.

Où se situe amBrain ?

amBrain, qui publie ce blog, décrit cette partie de son travail en une ligne : « amBrain construit des bourses crypto : moteur d'appariement, portefeuilles, dépôts et retraits. » amBrain développe des logiciels depuis 2019 et travaille en trois formats : la prestation complète, une équipe dédiée ou des ingénieurs intégrés à votre équipe. Sur la propriété, sa formule est : « Le client conserve la pleine propriété du produit et du code, à l'exception de nos composants réutilisables. »

Cet article n'est pas une étude de cas et ne décrit aucun travail pour un client. Il ne dit pas quelles bourses amBrain a construites, pour qui, ni comment leurs portefeuilles sont organisés, et il ne donne ni prix ni délais. Ce n'est pas non plus un conseil juridique. Si amBrain figure sur votre liste restreinte, posez-lui les mêmes questions qu'à n'importe quelle autre société.