MSTR Cat

Droit des trusts/Niveau IX · Trusts sur blockchain/9.1 Les actifs numériques dans un trust/Leçon 3

Multisig et planification successorale

Comment les dispositifs multisignature m sur n et les verrous temporels (time-locks) de la blockchain peuvent servir la planification successorale, ce qui peut mal tourner, et comment guider les héritiers sans révéler de secrets.

Ceci est une ressource éducative et non un conseil juridique. Le droit des trusts varie d'un pays à l'autre et d'un État à l'autre, et la structure appropriée dépend de votre situation personnelle. Tout document que vous signez doit être rédigé ou examiné par un avocat qualifié dans votre juridiction.

La voie la plus légère

La voie la moins chère, la moins imposée, la plus simple et la plus discrète que permet la loi, de la meilleure à la moins bonne. Chaque étape indique la règle sur laquelle elle repose et la condition qui la maintient dans la légalité.

  1. Démarrage sans frais : un multisig 2-sur-3 dont les clés sont détenues par le propriétaire, un proche de confiance et un emplacement de sauvegarde distinct signifie qu'une clé perdue ou volée ne bloque ni ne déplace les pièces. À noter : n'importe quels deux détenteurs de clés peuvent agir ensemble, il faut donc les choisir avec soin.
  2. Associez-le à une lettre de vœux gratuite (letter of wishes) énumérant les portefeuilles, les détenteurs de clés, le logiciel du portefeuille et les contacts, mais sans phrase de récupération (seed phrase). À noter : une lettre de vœux ne lie personne, donc le testament ou le trust doit désigner les mêmes personnes que celles qui détiennent les clés.
  3. Pour un mécanisme d'activation posthume (dead-man switch) à faire soi-même, un verrouillage temporel relatif (BIP 68 et BIP 112, actifs depuis juillet 2016) ouvre une voie de récupération pour les héritiers uniquement si les pièces restent immobiles. À noter : le propriétaire doit rafraîchir les pièces avant l'échéance, en payant des frais réseau à chaque fois.
  4. Conservez la configuration du portefeuille, les informations publiques de chaque clé et les règles de dépense avec les instructions, car restaurer un multisig nécessite plus que les clés. À noter : si trop peu de détenteurs de clés restent pour atteindre le seuil requis, aucun tribunal ne peut déplacer les pièces.

MatérielBIP 65 (OP_CHECKLOCKTIMEVERIFY), gratuit dans le dépôt bitcoin/bips sur GitHubUn schéma simple d’un dispositif multisig 2 sur 3, indiquant qui détient chaque cléLeçon 9.1.2, sur les clés et la conservation, et leçon 9.1.5, sur le RUFADAA

Curiosité

  1. Comment un multisig 2 sur 3 empêche-t-il un détenteur de clé de déplacer seul les fonds ?
  2. Comment un verrou temporel peut-il ouvrir une voie de récupération uniquement si le propriétaire cesse d’agir ?
  3. Comment indiquer aux héritiers ce qui existe et qui contacter sans révéler aucun secret ?

Explorer

  1. Les bitcoins contrôlés par une seule clé se transmettent avec cette clé : quiconque la détient peut les déplacer, et si personne ne la détient, ils ne peuvent plus être déplacés. La planification successorale de tels actifs a donc deux volets. Le volet juridique, un testament ou un trust, indique qui doit recevoir les actifs (la leçon 9.1.5 traite de l’accès des fiduciaires aux États-Unis). Le volet technique détermine qui peut effectivement signer. Le multisig et les verrous temporels sont deux moyens de façonner le volet technique. Cette leçon explique ces notions de manière générale, ne fournit aucun code et ne recommande aucun produit ni prestataire.
  2. Un dispositif multisignature (multisig) exige m signatures sur n clés, noté m-of-n (m sur n), pour déplacer des fonds. Dans un dispositif 2 sur 3, deux quelconques des trois clés peuvent signer, de sorte qu’une clé perdue ne bloque pas les fonds et qu’une clé volée ne peut pas les déplacer. En matière successorale, les clés peuvent être réparties entre le propriétaire, un membre de la famille ou un trustee, et un agent de clés professionnel. Ce schéma implique des compromis : deux détenteurs de clés quelconques peuvent déplacer ensemble les fonds sans le troisième, et si deux clés sont perdues, les fonds sont bloqués. Depuis Taproot (2021), certaines dépenses multisig coopératives peuvent ressembler à des dépenses à signature unique.
  3. Un verrou temporel rend des fonds indépensables jusqu’à une hauteur de bloc ou une date déterminée. Chaque transaction Bitcoin comporte un champ nLockTime, qui empêche cette transaction d’être minée avant le point indiqué ; mais il ne lie que cette transaction, de sorte que les bitcoins peuvent encore être dépensés autrement auparavant. OP_CHECKLOCKTIMEVERIFY (CLTV), proposé dans le BIP 65 et activé en décembre 2015, inscrit un verrou temporel absolu dans le script de verrouillage des bitcoins eux-mêmes. Les verrous temporels relatifs (BIP 68 et BIP 112, activés en juillet 2016) se comptent à partir de la confirmation des bitcoins. Ce sont des règles de consensus appliquées par le réseau, et non par une entreprise.
  4. Les verrous temporels peuvent fonctionner comme un dispositif d’homme mort. Un portefeuille peut être configuré de sorte que le propriétaire puisse dépenser à tout moment, tandis qu’une voie de récupération, comme les clés des héritiers ou un groupe 2 sur 3, ne devient utilisable qu’à l’expiration d’un verrou temporel relatif. De son vivant, le propriétaire maintient la voie de récupération fermée en déplaçant les bitcoins vers une nouvelle sortie (output) avant l’expiration du verrou, ce qui relance le compte à rebours. S’il décède ou perd ses facultés et cesse de le faire, le verrou expire et les clés de récupération peuvent signer. Des erreurs de configuration peuvent ouvrir la voie trop tôt ou bloquer les fonds plus longtemps que prévu.
  5. Chaque schéma comporte des risques. Les détenteurs de clés peuvent décéder, perdre leurs facultés ou perdre leurs clés, et s’il en reste trop peu pour atteindre le seuil, les fonds sont bloqués. Les détenteurs de clés peuvent s’entendre : dans un dispositif 2 sur 3, deux d’entre eux quelconques peuvent déplacer les fonds sans le troisième. Un agent de clés professionnel peut cesser son activité. Les héritiers peuvent ignorer l’existence du dispositif, ou quels logiciel de portefeuille et paramètres sont nécessaires pour le reconstituer. Restaurer un portefeuille multisig exige généralement plus que les clés : les informations publiques relatives à chaque clé et les règles de dépense doivent aussi être conservées.
  6. Une lettre d’instructions peut guider un trustee ou des héritiers sans révéler de secrets. Elle peut indiquer quels actifs et portefeuilles existent, quel type de dispositif les protège, qui détient chaque clé ou appareil, quels professionnels contacter et où se trouve le testament ou le trust, sans consigner aucune clé privée ni phrase de récupération. Un testament peut devenir public après l’homologation (probate) ; c’est donc un mauvais endroit pour des secrets. Si les documents juridiques et le dispositif technique désignent des personnes différentes, ceux qui peuvent signer ne seront pas forcément ceux qui ont droit aux actifs, ce qui peut entraîner des litiges.

Faits clés

  • Dans un dispositif multisig m sur n, m signatures sur n clés sont nécessaires pour déplacer des fonds ; dans un dispositif 2 sur 3, deux quelconques des trois clés peuvent signer.
  • Dans un dispositif 2 sur 3, une clé perdue ne bloque pas les fonds, mais deux détenteurs de clés quelconques peuvent les déplacer sans le troisième.
  • nLockTime empêche une transaction donnée d’être minée avant une hauteur de bloc ou une date déterminée, mais ne lie que cette transaction.
  • OP_CHECKLOCKTIMEVERIFY (BIP 65), activé en décembre 2015, impose un verrou temporel absolu dans le script de verrouillage des bitcoins.
  • Un verrou temporel relatif peut n’ouvrir une voie de récupération que si le propriétaire n’a pas déplacé les bitcoins pendant une période déterminée, fonctionnant comme un dispositif d’homme mort.
  • Une lettre d’instructions peut indiquer ce qui existe et qui contacter sans consigner aucune clé privée ni phrase de récupération.

Exercice neuf, six, trois, un

9RassemblerÉnumérez jusqu’à 9 éléments ou risques d’un dispositif successoral reposant sur le multisig ou un verrou temporel décrits dans cette leçon ou dans une source que vous lisez (certaines sources en donnent moins), par exemple le seuil de clés, le détenteur de chaque clé, un verrou temporel, une clé perdue ou une instruction manquante.
6RegrouperClassez-les en 6 catégories : les seuils de clés, les détenteurs de clés, les verrous temporels, le décès ou l’incapacité d’un détenteur de clé, la collusion, et les instructions et registres.
3DistillerRéduisez les 6 catégories en 3 groupes : ce qui permet aux bonnes personnes de signer, ce qui pourrait empêcher quiconque de signer, et ce qui pourrait permettre aux mauvaises personnes de signer.
1CristalliserRédigez 1 phrase expliquant, avec vos propres mots, comment un verrou temporel peut fonctionner comme un dispositif d’homme mort (dead-man switch) en matière successorale.

Vérification des faits

Les dates, les chiffres et les affirmations ont été vérifiés à l’aide des sources publiées listées ci-dessous.

Ouvrir dans l'académie interactive →

EN PT ES ZH JA KO RU DE MS