Un portefeuille n’est froid que si clés ou seed sont créés, conservés et utilisés dans une frontière de signature isolée. Appareil, backup, passphrase, descriptor, vérification et personnes forment le système. Être hors ligne réduit l’attaque distante, pas la perte, la coercition, le firmware malveillant ou l’erreur humaine.
Cold décrit l’exposition des clés, pas l’emplacement des coins : les UTXO restent publics. Un portable déconnecté pouvait être compromis avant ; une plaque métallique est un backup. Malware, vol, incendie, coercition, destruction, dépendance fournisseur et incapacité exigent des contrôles différents. Glacier sépare setup, dépôt, retrait, consultation et maintenance. [Glacier Protocol — About Glacier] [Glacier Protocol — Protocol Structure]
Le coordinateur en ligne conserve les données publiques—idéalement un descriptor avec checksum et origines—interroge un nœud, trouve les UTXO, dérive et construit. Le signer détient l’autorité. Une fuite xpub/descriptor révèle adresses et soldes ; un coordinateur compromis peut substituer adresse ou détails. [BIP 380 — Output Script Descriptors] [Bitcoin Core — Output Descriptors] [Bitcoin Optech — Output Script Descriptors]
Générez les secrets dans la frontière prévue, notez format/passphrase, exportez la configuration et vérifiez chaque signer. BIP129 définit deux tours multisig, enregistrement de policy et preuve de possession. Vérifiez l’adresse sur l’appareil, envoyez peu, confirmez watch-only, puis testez dépense et recovery avant un gros dépôt. [BIP 129 — Bitcoin Secure Multisig Setup] [COLDCARD — Address Explorer]
BIP174 définit PSBT par maps global/input/output et magic 0x70 0x73 0x62 0x74 0xff. Creator propose, updater ajoute UTXO/scripts/dérivations, signer signe et finalizer extrait. BIP370 définit v2 et BIP371 Taproot ; testez la compatibilité. Diffusez après combinaison des signatures. [BIP 174 — Partially Signed Bitcoin Transaction Format] [BIP 370 — PSBT Version 2] [BIP 371 — Taproot Fields for PSBT] [Bitcoin Core — PSBT Howto] [Bitcoin Core — Offline Signing Tutorial]
Sur écran fiable, comparez chaque destination, montant, fee/rate, inputs, sighash et change. Des métadonnées falsifiées peuvent déguiser une sortie hostile en change ; BIP174 impose d’en vérifier l’appartenance. Pour grosse valeur, second contrôleur et canal authentifié indépendant. [BIP 174 — Partially Signed Bitcoin Transaction Format] [COLDCARD — Address Explorer] [COLDCARD — QR Scanner and PSBT Signing]
Appareil et backup couvrent des pannes opposées. Mnemonic BIP39 + passphrase recrée tout ; ensemble, une seule cible, et passphrase oubliée crée un autre wallet valide. Shares SLIP39 sous threshold ne révèlent rien, mais trop de pertes bloquent recovery. Protégez feu/eau/corrosion/photo ; jamais sur web ou PC en ligne. [Trezor — Wallet Backups] [Trezor — Shamir Backup]
m-of-n répartit l’autorisation et tolère moins de pertes que threshold, mais seeds seuls peuvent manquer threshold, xpubs, ordre, paths ou script. Sauvegardez descriptor/BSMS séparément. La géographie n’aide que si un sinistre n’atteint pas threshold. Multisig doit réduire un risque concret malgré coûts, fees, privacy et héritage. [BIP 380 — Output Script Descriptors] [BIP 129 — Bitcoin Secure Multisig Setup] [Bitcoin Core — Output Descriptors]
Air gap retire les connexions courantes, pas les octets hostiles via QR, NFC ou microSD. PSBT malformé, parser, firmware ou affichage trompeur traversent la frontière. Firmware vérifié, formats standard et contrôles stricts. microSD ne nettoie pas le PC ; air-gapped décrit une topologie, pas un certificat. [BIP 174 — Partially Signed Bitcoin Transaction Format] [Bitcoin Core — Offline Signing Tutorial] [COLDCARD — QR Scanner and PSBT Signing]
Prévoyez cambriolage, copie, coercition, surveillance et héritiers. Ne concentrez pas threshold ou seed+passphrase+instructions. Un sceau révèle parfois l’accès sans empêcher la copie ; duress wallets ne garantissent rien. Documentez rôles sans secrets, limitez connaissance du solde/lieux et distinguez custody personnelle et dual control institutionnel. [Glacier Protocol — About Glacier] [Glacier Protocol — Protocol Structure] [Trezor — Wallet Backups]
Contrôlez watch-only, médias, instructions et compatibilité sans exposer le seed. Un drill doit reconstruire descriptor, retrouver UTXO receive/change et signer. Avant changement de firmware, appareil ou policy, petite dépense complète. En cas de soupçon, nouvelle policy indépendante puis sweep testé ; gardez l’ancien jusqu’à réception et dépense réussies. [Bitcoin Core — Offline Signing Tutorial] [Glacier Protocol — About Glacier] [Glacier Protocol — Protocol Structure]
Pour une vision complète, lisez aussi Hardware Wallet, Auto-garde, Air-gapped Wallet, PSBT, Seed Phrase, BIP 39. Cette entrée est également citée par Hardware Wallet, Watch-only Wallet, PSBT, Auto-garde.