Comment configurer un portefeuille multisig Monero 2026

En avril 2025, un contributeur historique de Monero a révélé publiquement qu'un seul ordinateur portable compromis avait failli coûter 47 XMR — environ 8 400 dollars à l'époque — à un projet financé par la communauté, simplement parce que toute la trésorerie reposait derrière une seule clé Spend sur un seul appareil. Ce qui a sauvé la mise, c'est un multisig 2-sur-3 configuré à la hâte la veille de l'intrusion. Cet incident, longuement débattu sur le subreddit Monero et dans le canal IRC #monero-dev, a fait passer le multisig du statut de « confort optionnel » à celui de standard évident pour quiconque détient des montants sérieux en XMR. Si vous avez déjà lu des choses sur le multisig sans jamais avoir parcouru la cérémonie tour par tour, ce guide est exactement celui que vous voudrez avoir ouvert dans un autre onglet pendant que vous le faites. Nous allons traverser ensemble la cryptographie, les choix de configuration et la séquence CLI exacte sur la dernière version 0.18.4.x — et nous expliquerons aussi où MoneroSwapper trouve sa place quand viendra le moment d'alimenter une adresse multisig fraîchement créée sans sacrifier votre confidentialité.

Pourquoi le multisig compte encore plus pour Monero que pour les autres cryptos

Le multisig Bitcoin est un problème résolu depuis longtemps : les portefeuilles matériels le proposent en standard, Sparrow et Specter vous guident pas à pas dans le flux PSBT, et les standards de script sont stables depuis près d'une décennie. Le multisig Monero, lui, est plus jeune, plus délicat et bien plus pénible à récupérer en cas de pépin — ce qui est précisément pourquoi le faire correctement importe autant. Le modèle de menace auquel les utilisateurs Monero font face est aussi sensiblement différent de celui d'un détenteur Bitcoin classique.

• Aucun graphe d'adresses public : comme chaque transaction utilise une adresse furtive et est masquée par des signatures en anneau combinées à RingCT, un voleur qui dérobe votre clé Spend ne peut être suivi sur aucun explorateur de blocs. Il n'y a pas de cabinet d'analyse on-chain à qui téléphoner. Une fois les fonds partis, ils sont partis pour de bon — le multisig est l'un des rares mécanismes qui empêche qu'une compromission de clé unique ne mette un point final à l'histoire.
• L'exposition d'une seed Mnemonic est catastrophique : une seed Mnemonic de 25 mots ayant fuité reconstruit rétroactivement l'intégralité de l'historique du portefeuille, parce que la clé View et la clé Spend dérivent toutes deux de cette racine. Répartir cette racine entre plusieurs signataires via multisig signifie qu'aucune fuite isolée n'est fatale.
• Héritage et trésoreries d'équipe : les caisses de dons, les séquestres de projet et les plans successoraux familiaux nécessitent tous des politiques M-sur-N où l'indisponibilité d'un seul détenteur ne fige pas les fonds. Les portefeuilles single-sig ne peuvent tout simplement pas exprimer cette contrainte.
• Le risque de garde n'a pas disparu : les plateformes centralisées continuent de délister Monero — Kraken a retiré le XMR pour ses clients européens fin 2024, et Binance avait fait de même un an plus tôt. Garder ses XMR sur une plateforme d'échange n'est plus une option à long terme pour les utilisateurs Monero, ce qui rend une auto-garde robuste indispensable.

Ajoutez à cela la pression réglementaire générale sur les cryptos confidentielles, visible à travers MiCA en Europe et les recommandations actualisées de l'AMF et de la DGFiP en 2025 sur les actifs numériques, et l'argument en faveur d'une auto-garde sophistiquée devient évident. Le multisig est la réponse pour quiconque détient plus de quelques centaines d'euros de XMR qu'il ne peut se permettre de perdre à cause d'une seule erreur.

Comment fonctionne réellement le multisig Monero sous le capot

Si vous n'avez utilisé que le multisig Bitcoin, l'approche Monero va vous sembler étrange. Il n'existe pas d'opcode Script du type OP_CHECKMULTISIG ; à la place, Monero s'appuie sur un protocole interactif d'échange de clés en plusieurs tours, construit autour du schéma de signature CLSAG. Les participants ne combinent pas simplement leurs clés publiques — ils construisent collaborativement des clés View et Spend partagées à travers plusieurs tours d'appels à prepare_multisig, make_multisig et (pour N > 2) exchange_multisig_keys.

La structure des tours

Pour un portefeuille 2-sur-2 basique, la cérémonie est courte : chaque participant lance prepare_multisig, échange la chaîne MultisigxV2 résultante avec l'autre partie, puis exécute make_multisig avec la chaîne du partenaire, et le portefeuille est prêt. Pour un M-sur-N où N vaut trois ou plus, vous devez en plus exécuter exchange_multisig_keys pendant N − M + 1 tours. Un portefeuille 2-sur-3 demande donc deux tours supplémentaires ; un 3-sur-5 en demande trois. Chaque tour produit une chaîne de sortie qui doit être partagée avec les autres participants avant que le tour suivant puisse démarrer.

Signature des transactions

Une fois le portefeuille finalisé, le flux de signature est lui aussi interactif. L'initiateur appelle transfer comme d'habitude, ce qui produit un fichier de transaction non signée. Ce fichier est exporté, transmis à un co-signataire via un canal hors-bande (e-mail chiffré, clé USB, Signal — surtout pas le mempool classique), puis réimporté côté co-signataire. Ce dernier lance sign_multisig et produit un fichier de transaction signée, qui est ensuite soit soumis (si le seuil est atteint), soit transmis au signataire suivant. Comme chaque signataire doit également partager les sorties fraîches après chaque transaction via export_multisig_info et import_multisig_info, le flux de travail est volontairement bavard.

Ce qui change avec FCMP++ et Seraphis

La mise à niveau prochaine FCMP++ et la refonte d'adresses Seraphis / Jamtis à plus long terme touchent toutes deux à la surface du multisig. La bonne nouvelle est que la sémantique d'échange de clés multisig reste compatible — la nouvelle construction d'anneau et le nouveau format d'adresse ne modifient pas la manière dont les clés M-sur-N sont agrégées. La mauvaise nouvelle est que les portefeuilles multisig actuels devront être réinitialisés une fois que le réseau aura forké vers le nouveau schéma d'adresse, exactement de la même manière que les portefeuilles single-sig devront migrer. Toute personne configurant un multisig en 2026 devrait prévoir une nouvelle cérémonie post-fork plutôt que d'espérer une mise à niveau in-place.

Comparaison des configurations multisig

Le choix du M-sur-N n'a rien à voir avec la cryptographie et tout à voir avec le risque opérationnel. Voici la matrice que nous recommandons de parcourir avant d'ouvrir le moindre terminal.

La grande majorité des utilisateurs individuels devrait tourner en 2-sur-3. Cette configuration tolère exactement les modes de défaillance les plus fréquents dans la vraie vie — une sauvegarde perdue, un ordinateur portable volé, une passphrase oubliée — tout en gardant la cérémonie de signature gérable. Le reste de ce guide détaille pas à pas une configuration 2-sur-3, mais les mêmes commandes fonctionnent pour n'importe quel M-sur-N en ajustant le nombre de tours.

Pas à pas : construire un portefeuille multisig 2-sur-3

Vous aurez besoin de trois machines ou de trois instances de portefeuille indépendantes. Une vraie séparation géographique compte : un ordinateur portable dans votre cuisine et un autre sur votre bureau ne constituent pas « trois emplacements ». Visez au moins une machine hors ligne, idéalement une clé USB Tails air-gapped, et un signataire matériel si vous le pouvez. Les instructions ci-dessous supposent monero-wallet-cli en version 0.18.4.0 ou supérieure sur les trois machines.

1. Créez trois portefeuilles standard frais. Sur chaque machine, lancez monero-wallet-cli --generate-new-wallet=signer1.keys (en variant le nom de fichier pour chaque signataire). Choisissez des passphrases solides. Notez chaque seed Mnemonic de 25 mots hors ligne, sur papier ou sur acier — ce ne sont pas vos sauvegardes multisig, mais vous en aurez besoin si vous devez un jour reconstruire un signataire.
2. Préparez chaque portefeuille. Ouvrez chaque portefeuille et lancez prepare_multisig. Le portefeuille produit une longue chaîne base58 commençant par MultisigxV2. Copiez cette chaîne depuis chacun des trois portefeuilles — vous aurez trois chaînes de préparation distinctes.
3. Premier tour d'échange. Sur chaque signataire, lancez make_multisig 2 <chaîne-du-signataire-A> <chaîne-du-signataire-B> en utilisant les chaînes des deux autres participants (pas la vôtre). Chaque signataire produit alors une chaîne de second tour. Partagez-les.
4. Deuxième tour d'échange. Sur chaque signataire, lancez exchange_multisig_keys <chaîne-tour2-A> <chaîne-tour2-B> en utilisant les chaînes du second tour des deux autres participants. Le portefeuille affiche alors « Multisig wallet has been successfully created » et affiche l'adresse partagée. Vérifiez que les trois signataires voient exactement la même adresse primaire — si un seul caractère diffère, la cérémonie a échoué et doit être recommencée.
5. Sauvegardez les fichiers du portefeuille multisig. Les fichiers .keys sur chaque machine représentent désormais la part de ce signataire. Sauvegardez-les sur un stockage hors ligne chiffré. Point critique : vous ne pouvez pas récupérer un portefeuille multisig 2-sur-3 à partir de la seule seed Mnemonic — il vous faut le fichier de clés multisig d'au moins deux des trois signataires. C'est de loin la cause la plus fréquente de perte totale.
6. Faites une transaction de test. Envoyez un petit montant — 0,05 XMR suffit largement — à l'adresse partagée et vérifiez que les trois signataires voient bien le solde entrant après environ vingt confirmations. Ne sautez pas cette étape. Une transaction de test qui échoue révèle les erreurs de configuration alors que seul un faible montant est en jeu.
7. Entraînez-vous à dépenser. Depuis un signataire, lancez transfer <destination> 0.01. Le portefeuille produit un fichier de transaction non signée dans ~/Monero/multisig_monero_tx. Déplacez ce fichier vers un second signataire (clé USB, pièce jointe chiffrée). Sur ce second signataire, lancez sign_multisig multisig_monero_tx. Soumettez le fichier signé résultant depuis n'importe quel signataire avec submit_multisig. Vérifiez que la transaction est bien inscrite sur la chaîne.
8. Documentez le plan de récupération. Rédigez un document d'une page décrivant où réside le fichier de clés de chaque signataire, qui détient chaque passphrase et la séquence exacte de commandes nécessaires pour dépenser. Confiez des copies de ce document à au moins deux parties de confiance (notaire, membre de la famille, cofondateur). N'incluez pas les passphrases dans le document — uniquement les emplacements et les procédures.

Un portefeuille multisig à partir duquel vous n'avez jamais dépensé est un portefeuille multisig que vous ne possédez pas vraiment. Effectuez toujours au moins une transaction de test aller-retour complète avant d'envoyer de vrais fonds à l'adresse.

Un exemple concret : succession avec séparation géographique

Imaginez une configuration successorale 2-sur-3 assez typique, du genre que l'on voit décrite par des membres de la communauté Monero sur /r/Monero tout au long de 2025. Le détenteur principal vit à Lyon. Il garde le signataire 1 sur un ordinateur portable du quotidien sous Whonix, le signataire 2 sur un vieux ThinkPad maintenu en permanence en mode avion dans un coffre chez ses parents à Marseille, et le signataire 3 sur un disque USB chiffré confié à un notaire à Bruxelles avec des instructions scellées à n'ouvrir qu'en cas de preuve de décès ou d'incapacité.

Les dépenses quotidiennes se font avec le signataire 1 plus le signataire 2 — le détenteur descend à Marseille tous les quelques mois pour co-signer des sorties groupées. Si le signataire 1 est un jour compromis (vol de portable, rançongiciel, divulgation de mot de passe sous contrainte), le voleur ne peut pas déplacer les fonds sans atteindre aussi le coffre marseillais ou le notaire bruxellois. Si le détenteur décède, le notaire à Bruxelles détient une clé, la famille à Marseille en détient une autre, et ensemble ils peuvent récupérer les fonds sans jamais avoir besoin de retrouver le mot de passe du défunt. La clé View du multisig est partagée avec le notaire sous forme lecture seule afin qu'il puisse vérifier le solde sans pouvoir dépenser.

Quand ce détenteur a besoin d'alimenter le multisig — par exemple après qu'un paiement de mission freelance soit arrivé sur un portefeuille single-sig — il utilise MoneroSwapper pour convertir directement ses paiements entrants en altcoins vers l'adresse multisig. Aucun KYC, aucun compte, aucune conservation de log au-delà de la finalisation du swap. La destination est une Subaddress fraîche dérivée de l'adresse multisig primaire partagée, ce qui préserve la confidentialité côté réception tout en alimentant la même trésorerie partagée. Financer un multisig depuis un atomic swap ou un service sans compte est l'une des manières les plus propres de maintenir l'inchaînabilité sur l'ensemble de la pile.

FAQ

Puis-je récupérer un portefeuille multisig Monero à partir de la seed Mnemonic de 25 mots ?

Non. La seed de 25 mots affichée à la création de chaque portefeuille signataire ne restaure que l'état pré-multisig de ce signataire. Les véritables clés multisig sont stockées dans le fichier .keys créé après l'aboutissement des tours d'échange. Vous devez sauvegarder ce fichier .keys pour au moins M des N signataires. Si vous n'avez que les seeds et aucun fichier .keys, le portefeuille est irrécupérable.

Combien de temps prend la cérémonie de configuration en pratique ?

Pour un 2-sur-3, comptez entre 20 et 40 minutes si tous les participants sont en visio ensemble. Les configurations en solo, où vous contrôlez les trois signataires et faites circuler les données sur une clé USB, prennent généralement plus longtemps — plutôt une heure avec les étapes de vérification et la transaction de test. Prévoyez davantage de marge la première fois ; la seconde, ça file beaucoup plus vite parce que vous comprenez enfin ce que les sorties de chaque tour signifient vraiment.

Les portefeuilles matériels comme Trezor et Ledger supportent-ils le multisig Monero ?

Au début 2026, le support matériel du multisig Monero reste limité. Ledger et Trezor supportent tous deux les portefeuilles Monero single-sig standard, mais aucun ne s'intègre proprement à la cérémonie multisig aujourd'hui. La communauté y travaille activement — voir les discussions autour des flux multisig testés sur stagenet dans le dépôt officiel Monero GUI — mais l'approche la plus fiable à l'heure actuelle reste d'utiliser monero-wallet-cli avec un chiffrement complet du disque sur chaque machine signataire, plutôt que d'attendre un multisig adossé au matériel.

Que se passe-t-il si un signataire se désynchronise ?

C'est le problème opérationnel le plus fréquent. Après chaque transaction, chaque signataire doit lancer export_multisig_info et partager le fichier résultant avec les autres signataires, qui lancent alors import_multisig_info. Si un signataire saute cette étape, il verra des soldes périmés et construira potentiellement des transactions qui échoueront à la soumission. La correction consiste à refaire le cycle export/import depuis n'importe quel signataire à jour. Le fichier de log du portefeuille (--log-level 1) rend ce problème très visible si vous prenez la peine de le consulter.

Puis-je utiliser le multisig avec des subaddresses ?

Oui. Une fois le portefeuille multisig finalisé, vous pouvez générer des comptes Subaddress et leurs indices exactement comme dans un portefeuille single-sig avec address new. Chaque Subaddress est une adresse furtive dérivée de l'adresse multisig primaire partagée, donc les fonds reçus sur l'une quelconque d'entre elles restent dépensables avec le même seuil M-sur-N. C'est réellement utile pour les trésoreries qui veulent une adresse de réception fraîche par donateur ou par facture.

Le multisig est-il exagéré en dessous de 1 XMR ?

Cela dépend de ce que ce 1 XMR représente pour vous. Si c'est de l'argent de poche, un single-sig avec une seed gravée sur acier suffit largement. Si c'est une épargne de précaution dont la perte vous donnerait la nausée, l'investissement en temps dans un 2-sur-3 multisig se rentabilise dès la première fois où vous égarez une sauvegarde ou que l'on vous vole un portable. Le seuil en euros n'est pas la bonne question ; le seuil « est-ce que perdre ça ferait mal ? » l'est.

Comment la fiscalité française traite-t-elle un multisig Monero ?

Du point de vue de la DGFiP, la détention en multisig ne change rien à la qualification fiscale des actifs : ce sont toujours des actifs numériques au sens de l'article 150 VH bis du CGI, et le fait imposable reste la cession à titre onéreux contre monnaie ayant cours légal ou contre un bien ou service. Les transferts entre portefeuilles que vous possédez, y compris d'un single-sig vers une adresse multisig dont vous contrôlez les clés, ne déclenchent pas d'imposition. En revanche, la déclaration annuelle des comptes d'actifs numériques détenus à l'étranger (formulaire 3916-bis) peut s'appliquer selon les conditions de garde. En cas de doute sur une situation patrimoniale ou successorale, consultez un avocat fiscaliste plutôt que de vous fier à un fil de forum.

Conclusion

Le multisig Monero est l'une des mises à niveau de confidentialité et de sécurité au meilleur ratio effort/résultat que n'importe quel détenteur puisse entreprendre, et la cérémonie reste largement à la portée de quiconque a passé quelques heures avec la CLI. La configuration que presque tout le monde devrait adopter par défaut est un 2-sur-3 réparti sur des emplacements véritablement indépendants, avec un plan de récupération documenté et au moins une transaction de test avant que les vrais fonds n'arrivent. Quand vous serez prêt à alimenter cette adresse multisig fraîchement créée, MoneroSwapper rend le côté entrant facile : convertissez n'importe quel actif entrant en XMR sans compte, envoyez directement vers votre adresse multisig primaire ou vers une Subaddress fraîchement générée, et conservez intactes les propriétés de confidentialité de l'ensemble de la configuration, du swap au stockage. Configurez le portefeuille ce week-end, dormez mieux la semaine prochaine.