La blockchain peut-elle renforcer la sécurité du système financier ?
Il peut être extrêmement difficile de modifier un paiement enregistré sur une blockchain. Cela ne signifie pas pour autant que le paiement ait été autorisé en bonne et due forme, que le logiciel ait fonctionné comme prévu ou que la personne contrôlant le compte soit bien celle qu’elle prétendait être.
Cette distinction revêt une importance croissante à mesure que les banques, les banques centrales et les infrastructures de marché dépassent le stade des expérimentations en matière de cryptomonnaies et commencent à tester la tokenisation des dépôts, des titres et des règlements de gros. La technologie des registres distribués peut fournir un registre partagé de la propriété, automatiser les transactions et réduire une partie des opérations de rapprochement nécessaires lorsque plusieurs institutions gèrent des bases de données distinctes. Elle peut également permettre aux actifs financiers et à la monnaie de circuler de concert, réduisant ainsi la période pendant laquelle l’une des parties à une transaction a déjà exécuté son obligation alors que l’autre ne l’a pas encore fait.
Pourtant, cette même technologie peut engendrer de nouveaux risques opérationnels. Une clé cryptographique volée peut permettre à un pirate d’approuver une transaction apparemment valide. Une faille dans un contrat intelligent peut automatiser un résultat erroné à la vitesse d’une machine. Un pont reliant deux réseaux peut devenir un point de défaillance unique. Une fois qu’une transaction erronée a été finalisée, la résistance du système à toute modification peut rendre la perte plus difficile à rattraper plutôt que plus facile.
La blockchain n'élimine donc pas la notion de confiance du monde de la finance. Elle la redistribue entre les développeurs de logiciels, les opérateurs de réseau, les dépositaires, les validateurs, les instances de gouvernance et les institutions contrôlant l'accès au système.
Pour les banques et les acteurs des marchés financiers, la question qui se pose désormais n’est plus de savoir si la blockchain est sécurisée en théorie. Il s’agit plutôt de déterminer si une mise en œuvre spécifique est plus sûre, plus résiliente et plus avantageuse sur le plan économique que l’infrastructure qu’elle est censée remplacer.
Le registre ne constitue qu'un élément du modèle de sécurité
Une blockchain protège les données grâce à la cryptographie, à la validation décentralisée et à des règles convenues pour la mise à jour du registre. Dans un réseau bien conçu, aucun participant ne peut modifier discrètement l'historique des transactions sans être détecté ou sans exercer un contrôle suffisant sur le système.
Cela peut améliorer l'intégrité des données. Plusieurs institutions peuvent s'appuyer sur un enregistrement commun plutôt que d'échanger des messages et de rapprocher des versions distinctes d'une même transaction. Les changements de propriété, les instructions de paiement et les conditions de conformité peuvent être consignés dans un ordre cohérent. Les auditeurs et les autorités de contrôle peuvent ainsi disposer d'un historique plus clair des événements survenus et de leur chronologie.
Mais la plupart des attaques réussies ne nécessitent pas que l'attaquant réécrive la blockchain.
Ils ciblent les points d'interaction entre les utilisateurs et les logiciels classiques. Les criminels volent des clés privées, compromettent des portefeuilles, exploitent des contrats intelligents mal programmés, manipulent des employés ou attaquent les systèmes utilisés pour valider et transmettre les instructions. Le registre sous-jacent peut continuer à fonctionner exactement comme prévu tout en enregistrant une transaction qui n'aurait jamais dû être autorisée.
On peut comparer cela à la base de données de paiement classique d’une banque qui traite fidèlement les instructions transmises via le compte d’un employé dont l’accès a été piraté. L’intégrité de la base de données ne prouve pas la légitimité de l’instruction.
Les établissements financiers devraient donc distinguer la sécurité du grand livre de celle des transactions de bout en bout. Cette dernière englobe l'identité, la gestion des accès, la conservation, le filtrage des transactions, le développement logiciel, la gouvernance du réseau, la gestion des incidents et la capacité juridique de corriger une erreur.
Une institution qui met principalement l'accent sur l'immuabilité du registre peut ainsi sécuriser la partie du système que les attaquants sont le moins susceptibles de cibler.
Les réseaux privés et publics présentent des risques différents
Le terme « blockchain » recouvre des systèmes dont les dispositifs de sécurité et de gouvernance présentent des différences substantielles.
Les blockchains publiques permettent généralement à un large éventail de participants de consulter les transactions, d'enregistrer des opérations et, selon le protocole, de participer à la validation. Leur résilience tire parti de vastes réseaux distribués, de l'examen minutieux de la communauté open source et de l'absence d'un opérateur unique capable de modifier unilatéralement les enregistrements.
Cette ouverture pose des difficultés au secteur financier réglementé. Les banques doivent savoir qui sont leurs contreparties, empêcher toute activité interdite, protéger les informations confidentielles et se conformer aux règles relatives aux sanctions, au blanchiment d'argent et à la protection des données. Les frais de transaction et la capacité du réseau peuvent également varier en fonction de la demande.
Les réseaux autorisés limitent la participation aux institutions agréées. Il est ainsi possible de contrôler les validateurs, les utilisateurs et l'accès aux données, ce qui facilite l'adaptation du système aux exigences réglementaires et commerciales. La plateforme Kinexys de J.P. Morgan, par exemple, utilise une infrastructure autorisée pour prendre en charge les paiements institutionnels, les actifs tokenisés et le règlement programmable.
Un réseau autorisé n'offre pas le même degré de décentralisation qu'une grande blockchain publique. Le contrôle peut être concentré entre les mains d'un petit nombre d'opérateurs, et les participants doivent s'en remettre à la gouvernance, à la pérennité et à la compétence technique de l'institution qui gère la plateforme.
Ce n'est pas nécessairement un défaut. Un réseau géré par des banques peut offrir une plus grande responsabilité, une meilleure diligence raisonnable vis-à-vis des clients et des voies de recours juridiques plus solides qu'un protocole ouvert. Le fait est que sa sécurité découle en partie des institutions réglementées et de la gouvernance contractuelle, et non de la seule décentralisation.
Les entreprises du secteur financier devraient déterminer qui est habilité à modifier les logiciels, à approuver les participants, à annuler ou à suspendre des activités, à accéder à des données confidentielles et à définir la manière dont le réseau réagit en cas de défaillance. Un système qualifié de « distribué » peut tout de même dépendre, sur le plan opérationnel, d’un petit nombre d’administrateurs, de fournisseurs de services cloud ou de fournisseurs de technologies.
La tokenisation peut réduire le risque de règlement
L'une des applications financières les plus prometteuses de la technologie des registres distribués ne réside pas dans le remplacement de la monnaie par des cryptomonnaies sans contrepartie. Il s'agit plutôt de la tokenisation de créances existantes, telles que les dépôts bancaires, les obligations d'État, les parts de fonds d'investissement et d'autres actifs réglementés.
Les opérations sur titres classiques peuvent impliquer toute une chaîne d'intermédiaires, de dépositaires, de dépositaires centraux de titres, de chambres de compensation et de systèmes de paiement. Chaque institution enregistre et communique une partie de l'opération. Les divergences entre ces enregistrements doivent être rapprochées, tandis que le règlement peut intervenir après la conclusion de la transaction.
Une plateforme tokenisée peut regrouper des informations sur l'actif, sa propriété et les règles régissant son transfert. La programmabilité permet d'intégrer le paiement et la livraison au sein d'une même transaction.
Cela est important car une transaction financière comporte deux obligations. L'acheteur doit verser de l'argent et le vendeur doit livrer l'actif. Lorsque ces mouvements ne sont pas synchronisés, il peut arriver qu'une partie s'acquitte de son obligation tandis que l'autre ne le fait pas. Les accords de « livraison contre paiement » sont conçus pour réduire ce risque principal.
La tokenisation de la monnaie et des actifs pourrait rendre ce règlement plus immédiat et programmable. Les garanties pourraient également être transférées ou libérées selon des conditions prédéfinies, ce qui permettrait de réduire les interventions manuelles et donnerait aux institutions la possibilité d'utiliser leurs liquidités de manière plus efficace.
La Banque centrale européenne est déjà passée du stade de la réflexion théorique à celui de l’action. Les travaux exploratoires de l’Eurosystème ont mobilisé 64 acteurs du marché et donné lieu à plus de 50 essais et expériences portant sur le règlement des transactions sur registres distribués en monnaie de banque centrale. Elle a depuis approuvé un programme à deux volets visant à relier l’activité sur registres distribués à l’infrastructure de règlement TARGET existante et à explorer une solution intégrée à plus long terme.
La Banque des règlements internationaux a également fait valoir que la tokenisation des réserves des banques centrales, de la monnaie des banques commerciales et des actifs financiers pourrait favoriser la mise en place d'un système monétaire plus intégré.
Ces initiatives ne constituent pas pour autant un soutien inconditionnel à tous les modèles de blockchain. Elles montrent que les banques centrales reconnaissent la valeur potentielle de la programmabilité et des registres partagés, tout en insistant pour que le règlement reste ancré dans une monnaie réglementée et une gouvernance saine.
Un règlement plus rapide peut entraîner de nouvelles pressions sur la liquidité
Le règlement quasi instantané est généralement présenté comme une avancée incontestable. Dans la pratique, cette rapidité modifie la manière dont les établissements financiers gèrent leur liquidité.
Dans le cadre d'un cycle de règlement différé, les entreprises disposent du temps nécessaire pour organiser leur financement, compenser leurs obligations et résoudre les écarts. Le règlement en temps réel ou quasi-temps réel peut réduire l'exposition au risque de contrepartie, mais il peut nécessiter que les fonds ou les titres soient disponibles au moment précis où la transaction est traitée.
Cela peut accroître les besoins de liquidité intrajournaliers. Un participant qui, auparavant, réglait son obligation nette à la fin d'un cycle pourrait désormais être amené à financer des transactions individuelles tout au long de la journée.
La programmabilité peut faciliter la coordination des paiements et la libération de liquidités selon des conditions prédéfinies. Elle peut également accélérer la propagation des défaillances lorsque les conditions ne sont pas réunies. Une erreur de codage ou une source de données externe peu fiable pourrait empêcher la finalisation d’une chaîne de transactions liées.
Les institutions devraient donc modéliser les conséquences en termes de liquidité et sur le plan opérationnel, plutôt que de partir du principe qu’une exécution plus rapide est toujours synonyme de plus de sécurité. Une conception appropriée pourrait allier une exécution rapide à des mécanismes de mise en file d’attente, de compensation, de préservation de la liquidité et d’intervention contrôlée.
Le système doit également garantir le caractère définitif du règlement : c'est-à-dire le moment, reconnu juridiquement, où un transfert devient irrévocable et inconditionnel. Une confirmation technique dans un registre ne suffit pas si le droit de l'insolvabilité, le droit des biens ou la législation en matière de paiements ne reconnaissent pas ce même résultat.
Les contrats intelligents automatisent à la fois les contrôles et les erreurs
Les contrats intelligents sont des programmes qui exécutent des actions prédéfinies lorsque certaines conditions sont remplies. Dans le domaine financier, ils permettent d'automatiser le paiement des intérêts, les mouvements de garanties, les opérations sur titres, les restrictions de conformité ou encore les échanges d'actifs et d'argent.
Leur attrait réside dans leur cohérence. Un programme bien conçu peut appliquer la même règle à plusieurs reprises sans avoir à attendre une intervention manuelle. Il peut également intégrer des contrôles directement dans un actif, empêchant ainsi les transferts vers des destinataires non autorisés ou exigeant des autorisations spécifiques.
Le problème, c'est que les obligations juridiques et financières sont rarement aussi claires que le suppose un logiciel.
Un contrat peut devoir tenir compte de l'insolvabilité, de la fraude, d'un cas de force majeure, de données contestées ou d'une décision réglementaire. Un fournisseur de données externe peut communiquer un prix ou un événement erroné. Le code peut ne pas transposer parfaitement l'accord écrit. Deux logiciels fonctionnant correctement peuvent interagir de manière inattendue.
L'établissement financier doit déterminer quelle source fait autorité lorsque le code, les documents contractuels et les obligations légales aboutissent à des conclusions divergentes.
La sécurité des contrats intelligents devrait donc aller au-delà d’un simple audit technique avant leur lancement. Les institutions ont besoin de tests formels, de mises à jour contrôlées, d’une surveillance, d’une séparation des tâches et d’un mécanisme permettant de suspendre l’activité en cas de comportement anormal. Toute modification du code critique devrait nécessiter une validation indépendante, et l’organisation devrait savoir quelle version du programme régissait chaque transaction.
L'automatisation réduit le temps disponible pour détecter une erreur. Plus la programmabilité est poussée, plus il devient important de définir à l'avance les pouvoirs d'urgence et la responsabilité humaine.
L'interopérabilité pourrait bien devenir le maillon faible
Il est peu probable que le système financier fonctionne sur la base d'un registre unique et universel. Les banques, les banques centrales, les bourses, les dépositaires et les entreprises technologiques développent actuellement différents réseaux à des fins diverses.
La valeur devra donc circuler entre les blockchains, ainsi qu’entre les registres distribués et les systèmes traditionnels. Cela pose un problème d’interopérabilité.
Une couche de passerelle ou de messagerie peut verrouiller un actif sur un système et le représenter sur un autre. Si le mécanisme de connexion est compromis, un attaquant pourrait être en mesure de créer des actifs sans la garantie correspondante ou d'empêcher les propriétaires légitimes de récupérer leurs biens.
L'interopérabilité peut également être source d'insécurité juridique. Un actif peut être reconnu selon les règles d'un réseau, mais pas selon celles d'un autre. Les transactions peuvent transiter par des juridictions ayant des approches différentes en matière de données, de droits de propriété et de caractère définitif du règlement.
Plus un établissement financier se connecte à un grand nombre de réseaux, plus sa surface d'attaque s'étend. Un registre interne hautement sécurisé ne protège pas l'établissement contre les failles d'une passerelle externe, d'un fournisseur de portefeuille ou d'un flux de données.
L'évaluation de la sécurité doit donc porter sur l'ensemble du parcours de la transaction. La direction doit savoir quels tiers sont impliqués, quels systèmes contiennent les données faisant autorité et ce qui se passe en cas de divergence entre deux réseaux.
L'immuabilité peut entrer en conflit avec la correction et la confidentialité
L'impossibilité de modifier les données historiques est souvent présentée comme l'atout majeur de la blockchain en matière de sécurité. Les systèmes financiers ont toutefois parfois besoin de corriger des erreurs, d'appliquer des décisions de justice et de protéger les données à caractère personnel.
Un paiement frauduleux peut devoir être gelé. Un transfert d'actifs erroné peut devoir être annulé. Un tribunal peut ordonner un changement de propriété. Les règles relatives à la protection des données peuvent imposer des restrictions quant à la manière dont les informations à caractère personnel sont stockées ou conservées.
Les institutions peuvent y remédier en conservant les informations sensibles hors chaîne et en n'enregistrant dans le registre que des références ou des preuves cryptographiques. Les systèmes à accès autorisé peuvent également conférer aux parties habilitées le pouvoir de suspendre des transactions ou de corriger certaines erreurs définies.
Ces choix remettent en cause l'affirmation simpliste selon laquelle le système serait totalement immuable, mais ils pourraient le rendre plus adapté à la finance réglementée. Une plateforme dépourvue de tout mécanisme d'intervention légale peut s'avérer moins sûre pour les clients qu'une plateforme dotée de pouvoirs administratifs soigneusement encadrés.
La question qui se pose n'est pas de savoir s'il y a intervention. Il s'agit plutôt de déterminer qui est habilité à intervenir, dans quelles conditions, sous quel contrôle, et si chaque action fait l'objet d'un enregistrement vérifiable.
Ce que les établissements financiers devraient tester avant la mise en service
Une proposition crédible en matière de blockchain doit commencer par définir le problème qu'elle vise à résoudre. Si l'infrastructure existante assure déjà un règlement sécurisé et efficace, la remplacer par un registre distribué pourrait entraîner des coûts supplémentaires sans apporter de valeur ajoutée significative.
L'établissement doit déterminer quels sont les processus de rapprochement, les retards, les expositions vis-à-vis des contreparties ou les opérations manuelles que le nouveau système permettra d'éliminer. Il doit ensuite comparer cet avantage au coût lié à l'intégration, à la cybersécurité, à l'analyse juridique, à la gouvernance, à la formation et au maintien en service des systèmes existants.
Les tests de sécurité doivent porter aussi bien sur le registre que sur les portefeuilles, les clés, les interfaces d'application, les contrats intelligents et les données externes. L'organisation doit tester le comportement de la plateforme dans les cas suivants : lorsqu'un participant est compromis, lorsqu'un validateur devient indisponible, lorsque des informations erronées sont introduites dans le système ou lorsque deux réseaux connectés cessent de communiquer entre eux.
La gestion des clés mérite une attention particulière. Les institutions doivent mettre en place des contrôles portant sur la manière dont les clés sont créées, stockées, sauvegardées, renouvelées et restaurées. Les transactions de grande valeur peuvent nécessiter plusieurs validations indépendantes, plutôt que de confier l'autorité unilatérale à une seule personne ou à un seul système.
Les conseils d'administration devraient également se demander qui est responsable en cas d'incident. Un réseau regroupant des banques, des fournisseurs de technologies et des infrastructures de marché peut entraîner une fragmentation des responsabilités. Les contrats et les règles de fonctionnement devraient préciser qui détecte l'incident, qui est habilité à suspendre le système, comment les clients sont informés et comment les pertes sont réparties.
Enfin, l'établissement doit déterminer si le système reste utilisable en cas de défaillance du composant « blockchain ». Les infrastructures financières nécessitent des dispositifs de continuité ; on ne peut pas partir du principe que l'architecture distribuée rend toute interruption impossible.
La sécurité repose sur l'ensemble du système
La blockchain peut renforcer l'intégrité des registres financiers et réduire certains des risques liés à la fragmentation des bases de données, aux retards de règlement et au rapprochement manuel. La tokenisation pourrait également permettre à l'argent, aux titres et aux conditions contractuelles de fonctionner sur une même infrastructure programmable.
Tout cela ne fait toutefois pas de la blockchain un rempart universel contre la cybercriminalité.
Cette technologie permet d'empêcher une forme de manipulation des données, mais expose les institutions au vol de clés, aux erreurs de codage, aux défaillances de gouvernance du réseau et à une dépendance vis-à-vis de tiers peu connus. Son caractère permanent peut renforcer la traçabilité tout en rendant les erreurs plus difficiles à corriger. Sa capacité de règlement immédiat peut réduire l'exposition au risque de contrepartie tout en augmentant la liquidité et les exigences opérationnelles.
Les applications financières les plus performantes seront donc celles qui recourront de manière sélective aux registres distribués, dans le cadre d'un dispositif juridique et institutionnel capable de gérer les risques qui y sont associés.
Un système financier sécurisé ne se crée pas simplement en enregistrant des transactions sur une blockchain. Il se crée lorsque le registre, les logiciels, la monnaie, les institutions et les règles permettant de remédier aux défaillances fonctionnent de concert.
