La Proof of reserves (PoR) regroupe des procédures destinées à documenter les réserves d’un dépositaire à un instant donné. Selon la méthode, elles peuvent vérifier le contrôle d’adresses et les soldes clients. Le périmètre exact compte : prouver une partie ne constitue ni un audit de toute l’entreprise ni une garantie de solvabilité, c’est-à-dire de capacité à couvrir tous ses engagements.
Un pourcentage élevé sur le site de la plateforme peut rassurer Jeanne. Elle devrait pourtant commencer par chercher la date de l’instantané, les entités juridiques couvertes — les sociétés précises du groupe — ainsi que les actifs et comptes inclus. La PoR n’est pas une certification uniforme au périmètre identique partout. Kraken précise par exemple les actifs et soldes de produits couverts par sa méthode. Un tel rapport ne documente pas automatiquement toutes les dettes du groupe. Il faut lire le résultat avec ce qui a été vérifié et ce qui est resté en dehors. [1] [3]
Un dépositaire peut signer un message de vérification avec la clé d’une adresse et montrer qu’il contrôle cette clé à cet instant. La chaîne publique de Bitcoin permet ensuite de vérifier le solde correspondant. La signature seule ne prouve ni la propriété juridique sans nantissement ni l’absence d’emprunt destiné à réussir le contrôle. Elle ne démontre pas non plus la possession exclusive de la clé, dont une autre copie peut exister. Jeanne obtient un élément sur le contrôle d’actifs choisis, pas un tableau complet de leur situation juridique et économique. Une simple liste d’adresses sans preuve de contrôle en dit encore moins. [1] [3]
Imaginons des soldes clients reliés dans un Merkle tree. Cette structure transforme les données en empreintes cryptographiques, puis les rassemble dans une racine commune, empreinte de tout le jeu de données inclus. Jeanne reçoit des éléments pour vérifier que son solde correspondant appartient à cet ensemble sans disposer de la liste complète des autres clients. C’est utile, mais cela prouve l’inclusion, pas l’exhaustivité. Une vérification réussie de son enregistrement ne démontre pas à elle seule que tous les autres comptes et toutes les dettes de l’entreprise ont été inclus. [3]
Le trading à crédit peut créer des soldes clients négatifs. Les déduire simplement des soldes positifs d’autres personnes pourrait réduire artificiellement la dette déclarée envers les clients. Dans un article de 2022, Kraken explique les exclure de sa méthode de PoR de l’époque pour cette raison. Ce n’est pas une règle universelle applicable à tous les rapports. Jeanne doit regarder comment le contrôle traite les prêts, les opérations sur marge et la compensation, c’est-à-dire la déduction réciproque de créances et de dettes. Une somme simple ne dit pas forcément ce que l’entreprise doit réellement. [4]
Voici notre exemple, pas les chiffres d’une plateforme : un dépositaire déclare 110 BTC de réserves face à 100 BTC de dettes incluses, soit ce qu’il doit selon le jeu de données. Le ratio atteint 110 %. Mais si le rapport omet encore 40 BTC de dettes, ces réserves doivent couvrir un total de 140 BTC. La couverture tombe alors à environ 78,6 %. Les dettes constituent le dénominateur, le bas de la fraction. Un calcul sur des données incomplètes peut être arithmétiquement juste tout en induisant en erreur. Jeanne doit connaître non seulement les réserves en haut, mais aussi ce qui a été compté en bas. [2]
La PoR décrit un moment précis. Ensuite, les fonds peuvent partir, de nouveaux emprunts apparaître ou l’accès aux clés être perdu. Des instantanés plus fréquents apportent davantage de points de contrôle, sans supprimer à eux seuls cet intervalle d’incertitude : la situation peut changer entre deux vérifications. Même un ratio élevé ne dit pas à Jeanne sous quel délai elle peut retirer ni quelles restrictions contractuelles s’appliquent. Elle lit donc le rapport avec les conditions du service et les informations sur la disponibilité réelle, sans les remplacer par lui. [1] [3]
Le PCAOB Investor Advocate, un service de protection des investisseurs au sein du superviseur américain des audits, a exposé les limites de la PoR en mars 2023. Des services du régulateur boursier américain, la SEC, les ont aussi présentées en juillet 2023. Un rapport de réserves n’est pas un audit des états financiers, qui examine une image financière plus large. L’enregistrement du cabinet auprès du PCAOB ne place pas automatiquement cette mission sous ses normes d’audit et son inspection. Jeanne doit lire les procédures réellement effectuées et la conclusion : un logo connu n’élargit pas les travaux. [1] [2]
Jeanne part de la méthode vérifiée du rapport concerné, de sa date, de la racine publiée et de son identifiant de feuille — l’identifiant de son enregistrement dans l’arbre. Elle compare le bon actif et le solde à la date de l’instantané ; une opération ultérieure peut ne pas y figurer. Elle suit ensuite la procédure du fournisseur pour vérifier le chemin de son enregistrement à la racine commune. Un écart appelle une explication, pas un oubli. Une réussite est un contrôle partiel au sens précis : cet enregistrement est inclus. Les comptes exclus et les autres limites restent à lire, car cela ne démontre pas seul l’exhaustivité des réserves et des dettes. [3]
Pour une vision complète, lisez aussi Counterparty risk, Collateral, Liabilities, Auto-garde. Cette entrée est également citée par Custodial Exchange, Bank Bitcoin custody, Counterparty risk, Liabilities.