Qu'est-ce qu'une clé privée vs une seed phrase?

Une clé privée dans la crypto est un nombre aléatoire que seul son propriétaire connaît et qui signe des transactions. Le fabricant de portefeuilles Trezor la compare à la banque: « A private key, however, is like the password to your bank account » (Trezor). Une différence compte: un mot de passe bancaire peut être réinitialisé, une clé privée non.

Le sens est le même dans Bitcoin et Ethereum. Les deux utilisent la cryptographie sur courbes elliptiques avec la courbe secp256k1, et les clés font 256 bits. Une clé privée Ethereum, par exemple, s'écrit en 64 caractères hexadécimaux. La documentation d'Ethereum indique à quoi sert une clé privée dans les cryptomonnaies: « Your private key is what you use to sign transactions, so it grants you custody over the funds associated with your account » (ethereum.org).

La clé privée signe, la clé publique permet à d'autres de vérifier la signature. La clé publique est calculée à partir de la clé privée avec l'Elliptic Curve Digital Signature Algorithm, et l'adresse du portefeuille est calculée à partir de la clé publique. Le chemin ne va que dans un sens: « you cannot derive a private key from public keys », comme l'indique la documentation d'Ethereum. La clé publique et l'adresse peuvent être partagées; la clé privée doit rester secrète.

La seed phrase d'un portefeuille crypto est une phrase de mots courants qui encode l'aléa à partir duquel un portefeuille crée ses clés. La définition de BIP-39 est « a group of easy to remember words », et la norme en donne la raison: « The sentence could be written on paper or spoken over the telephone. »

La norme fonctionne en trois étapes. Le portefeuille tire de 128 à 256 bits d'aléa et ajoute une somme de contrôle. Il découpe les bits en groupes de 11, et chaque groupe choisit un mot dans une liste de 2 048. Une fonction appelée PBKDF2, exécutée 2 048 fois, transforme les mots en une seed de 512 bits. Une passphrase facultative modifie la seed, donc les mêmes mots avec une autre passphrase ouvrent un autre portefeuille. La page d'Ethereum sur les portefeuilles qualifie la phrase de « the only way you'll be able to recover your wallet » (ethereum.org).

Une seed phrase crée de nombreuses clés privées par l'arbre de clés de BIP-32, la norme des portefeuilles hiérarchiques déterministes. Elle décrit « a system for deriving a tree of keypairs from a single seed ». Connaître une clé haut placée dans l'arbre donne toutes les clés situées en dessous: « knowing an extended private key allows reconstruction of all descendant private keys and public keys ».

L'arbre sert aussi les auditeurs. Une entreprise peut remettre ses clés publiques étendues, ce qui permet à un auditeur de « see all transactions from and to the wallet, in all accounts, but not a single secret key ».

Une clé privée contrôle une adresse; la phrase de récupération contrôle tout le portefeuille.

Selon BIP-32, les clés privées sont dérivées de la seed phrase.

Une banque ou un gestionnaire d'actifs qui garde des clés privées ou des seed phrases pour des clients fournit un service de conservation selon MiCA, qui s'applique directement en Allemagne et en Autriche. La BaFin considère le stockage de supports physiques contenant des clés, « z. B. ein USB-Stick oder ein Blatt Papier », comme une garde (BaFin, 3 janvier 2025). Une seed phrase qu'une banque garde sur papier pour un client peut donc relever de la conservation. L'article 75(3) de MiCA exige une politique de conservation qui réduit au minimum le risque de perte des « means of access », et l'article 75(8) rend le conservateur responsable de leur perte quand l'incident lui est imputable.

DORA ajoute des règles pour les clés elles-mêmes. L'article 7 du règlement délégué (UE) 2024/1774 exige que des entités financières gèrent les clés cryptographiques « through their whole lifecycle », sauvegarde comprise, et disposent de méthodes pour remplacer des clés perdues ou compromises. La BaFin exerce la surveillance en Allemagne selon le KMAG, la FMA en Autriche.

La Suisse est hors de l'UE, donc MiCA et DORA ne s'y appliquent pas. La communication FINMA 08/2023 lie la protection des crypto-actifs des clients en cas de faillite d'un conservateur à une attribution claire à chaque client, par exemple par un registre interne. Cette information ne remplace pas un conseil juridique.

La DekaBank, basée à Francfort, a obtenu de la BaFin une licence de conservation de crypto-actifs, sous la surveillance de la Banque centrale européenne, et a lancé en février 2025 la négociation et la conservation de crypto-actifs pour des clients institutionnels (CoinDesk, 24 février 2025). Dans une conservation de ce type, la banque contrôle les clés privées pour ses clients.