Suite aux questions soulevées par l'arrêt du plus ancien "bitcoin exchange" (MTGOX), quelles mesures ont été mises en place chez Bitcoin Central ?

1) Après la refonte du site bitcoin-central.net déployée depuis Octobre 2013, les dépôts en bitcoins sont stockés "à froid" ( cold storage en anglais) à 100 % : Bitcoin Central ne conserve aucune clé privée sur des serveurs.
Chaque clé privée est découpée en n parts par un procédé cryptographique qui exige de rassembler p parmi n parts pour reconstituer la clé (p < n).
Les parts sont imprimées sur papier et placées dans des enveloppes scellées et étanches, stockées en lieux sûrs, dans des juridictions différentes. De cette façon, même si une ou plusieurs ( jusqu'à n-p) enveloppes disparaissaient ou devenaient inaccessibles, il serait toujours possible de reconstituer la clé privée avec les parts restantes.

2) Des procédures techniques et comptables rigoureuses ont été mises en place, avec une vérification manuelle des retraits avant exécution.
De cette manière, Bitcoin Central est protégé contre des tentatives d'exploiter une "malléabilité" des transactions bitcoin.
Des audits externes réguliers sont conduits par des spécialistes du protocole Bitcoin et de la sécurité informatique.

3) Une sensibilisation à la sécurité a été communiquée auprès de nos clients : utilisation d'un mot de passe unique, authentification à double facteur par yubikey ou Google Auth.

Comment préparer l'avenir ?

Nous avons désormais une approche proactive en terme de transparence, nous allons publier dès que possible un premier rapport de solvabilité périodique, probablement trimestriel dans un premier temps.
Ce niveau de transparence n'a jamais été atteints et ne sera jamais atteints par le système bancaire traditionnel car il est rendu possible par les propriétés de la technologie Bitcoin. Nous étudions plusieurs options dont certaines ont déjà fait l'objet de discussion sur les forums spécialisés.
Des solutions triviales comme la publication simultanée d'une adresse de "cold storage" et d'un message Bitcoin Central signé avec la clé privée correspondante doivent être écartées.
En effet, si une clé privée sort de son lieu de stockage sécurisé pour composer la signature d'un message, l'adresse correspondante cesse d'être une adresse de stockage à froid, par définition.
Tout en évaluant les différentes solutions possibles, nous cherchons aussi une solution qui permette à chaque client de vérifier la solvabilité de Bitcoin central tout en révélant seulement l'information strictement nécessaire à cette vérification.

Pierre Noizat
COO & Co-fondateur de Paymium SAS