Qu’est-ce que le risque de conservation ?

Avancé28 oct. 2026 · 8 min de lecture

Le risque de conservation (custody risk), c’est la chance de perdre l’accès à de la valeur — ou de ne jamais la récupérer — à cause de qui peut autoriser la dépense et de comment cette autorité est opérée. Le risque de conservation, ce n’est pas « des coins qui disparaissent de la chaîne ».

Définition

Le risque de conservation (custody risk), c’est la chance de perdre l’accès à de la valeur — ou de ne jamais la récupérer — à cause de qui peut autoriser la dépense et de comment cette autorité est opérée.

En clair :

Le risque de conservation, ce n’est pas « des coins qui disparaissent de la chaîne ». C’est le risque que la personne ou le système qui peut déplacer vos coins échoue, gèle, mente ou soit trompé — y compris quand cette personne, c’est vous.

Le prix et le levier reposent sur le placement. La conservation décide si la pile peut encore bouger quand vous en avez besoin. La seconde moitié de la définition, c’est le risque de parcours : le mark-to-market peut avoir l’air sain alors que la route hors plateforme est déjà cassée.

En trading

La vraie question de trading

Pour cette tranche, sur cet horizon, est-ce que je souscris une défaillance de livraison de contrepartie ou une défaillance d’opérateur irréversible — et la taille tient-elle encore si ce parcours se réalise ?

Répondez par tranche. Répondez à nouveau après les sauts de taille et après les quasi-accidents. Un slogan unique pour tout le patrimoine net, c’est le piège de la seule reconnaissance que cette page laisse derrière elle.

Deux pôles : des modes de défaillance opposés

	Surface dépositaire	Surface d’auto-conservation
Ce que vous détenez	Une créance sur le ledger d’un prestataire	Une autorité de dépense directe (ou le secret qui la reconstruit)
Qui peut bouger	Stack de clés du prestataire / contrôles internes	Vous (et quiconque obtient le secret ou une session live)
Famille de défaillance principale	Solvabilité, fraude, hack prestataire, freeze de politique, halt de retrait, mort par ticket ops	Perte de seed, phishing, mauvaise signature, envoi sur le mauvais réseau, restauration jamais testée, bus factor mono-humain
Après une défaillance dure	Souvent créancier dans un process, pas « ouvrir l’app et envoyer »	La chaîne peut encore montrer l’adresse ; le contrôle peut être parti pour toujours
Coût de second ordre	Manquer le hedge ou la sortie de la semaine alors que les soldes « s’affichent » encore	Pas de desk de chargeback pour une signature valide malveillante ou erronée

Aucun des deux pôles n’est sûr. Ils cassent sur des horloges différentes et laissent des résidus différents.

Horloges de stress (ce que « la perte » fait ressentir)

Parcours dépositaire. Signal → file d’attente alors que les soldes s’affichent encore → verrou / process de créance → mois ou années de forme de récupération qui peut ne pas restaurer le même chemin d’actifs dont vous aviez besoin pendant le mouvement manqué.

Parcours d’auto-conservation. Erreur d’action ou perte d’appareil → souvent un résultat on-chain irréversible en minutes → course que le support ne peut pas inverser si la signature était valide → perte permanente si le secret est parti.

Utilisez les horloges pour dimensionner les tranches. Ne notez pas seulement la réputation de marque.

Spectre de placement (où les vrais produits se situent)

La plupart des stacks ne sont pas un binaire pur. Le placement est une ligne :

Compte pleinement dépositaire → solde dépositaire faible en standing avec retraits externes routiniers → contrôle découpé par politique (multi-sig / règles de vault institutionnel) → place wallet-first (vous autorisez) → cold offline avec une restauration testée.

Aller vers la droite coupe en général le risque classique d’IOU d’exchange et élève la barre sur votre process. Aller vers la gauche achète de la commodité et de l’exposition de contrepartie. Multi-sig et politiques de vault ne sont pas un halo : ils échangent le risque de clé unique contre un risque de cérémonie et de gouvernance. Wallet-first n’est pas zéro : il échange le risque créancier contre un risque de signature, phishing, session et contrat (taxonomie contrat → Qu’est-ce que le risque de smart contract ?).

Design de tranche (un job par maison)

Tranche	Job	Biais de maison	Casse d’abord quand…
Float de trading	Prochaines sessions seulement	Place ou hot wallet, délibérément plafonné	Freeze, file, phishing, mauvaise approval
Vault	Idle / multi-années	Cold ou auto-conservation étroitement contrôlée	Secret perdu, destruction mono-lieu, restauration jamais testée
Buffer de ramp	Fiat in/out	Souvent des rails dépositaires par nécessité	Hold compliance, trou de wire le week-end
Dépôt de protocole	Earn / exposition structurée	Contrats (+ parfois wrappers imbriqués)	Exploit, freeze de bridge, second custodian caché

L’hybride coupe la concentration. Il ajoute un problème de coordination : vault ok mais pas de fee token sur le hot ; place gelée mais chemin de refill jamais répété ; cold intact mais la seule personne qui peut restaurer est offline. Traitez la coordination comme une part du risque de conservation, pas comme une arrière-pensée ops.

Taille, horizon, maturité (les variables qui basculent l’arbitrage)

Variable	Comment elle change le calcul de conservation
Taille	Un solde d’apprentissage peut rationnellement souscrire un peu de risque de contrepartie. Une taille qui change la vie rend la file de faillite plus chère que la discipline de vault.
Horizon	L’intraday a besoin d’uptime du chemin de sortie. Le multi-années a besoin de durabilité de backup. Les semaines d’événement ont besoin d’une migration répétée avant l’événement.
Maturité de process	Une restauration jamais répétée signifie que vous n’avez pas de vault. Une seed partagée hot/vault signifie que le vault est hot dans le calcul de risque.

Recalculez quand une variable saute. Les défauts expirent.

Scènes travaillées (du jugement, pas des slogans)

A — Float d’apprentissage sur une place.

Taille plafonnée que vous pourriez survivre comme une longue créance. Rationnel. L’échec, c’est de scaler cette habitude sans changer la maison.

B — Stack idle qui change la vie encore derrière un login quotidien.

Pas de job de trading, horloge de contrepartie pleine. Le fix est un plan de migration calme et une répétition de restauration — pas un transfert de panique pendant un run.

C — Vault solide, float compromis.

Le cold ne sauve pas la semaine de trading sauf s’il existe un chemin de refill limité qui ne traîne jamais les clés de vault dans chaque session navigateur.

D — Float wallet-first signé par la seed du vault.

Le risque d’IOU a baissé ; le risque de ruine d’opérateur est revenu. L’architecture avait l’air auto-conservée ; le process n’était encore qu’à une invite d’une perte totale.

Surfaces résiduelles sur les places wallet-first

Les parcours d’auto-conservation / wallet-first (y compris des places comme edgeX) réduisent le risque « IOU de bilan d’entreprise » lorsque votre autorisation déplace les fonds. Des indicateurs résiduels comptent encore :

mauvais payload / blind sign
front-end cloné
approvals en standing et sessions périmées
pannes d’hôte ou d’UX de matching qui bloquent l’accès même quand les clés sont saines
mauvais réseau ou rail de bridge alors qu’une autre vue d’explorer a encore l’air « financée »
risque de protocole sur toute jambe de dépôt (passation : risque de smart contract)

Si votre checklist ne demande que « est-ce un CEX ? », vous êtes encore sur l’ancien indicateur.

Monitoring (ce qu’il faut falsifier)

Notez chaque tranche matérielle contre des faits que vous pouvez vérifier — pas des badges.

Moniteur	Pass ressemble à	Fail ressemble à
Carte d’autorité de dépense	Vous pouvez nommer qui peut bouger cette tranche	« L’app peut, je suppose »
Drill de sortie	Petit envoi hors plateforme / restauration récente sur appareil propre	Jamais testé ; basé sur l’espoir
Lock vs free	Vous savez les holds après changements de sécurité	Solde visible = supposé liquide
PoR / marque / assurance	Traités comme de faibles signaux seulement	Traités comme un make-whole
Yield sur idle dépositaire	Vous savez ce que font les actifs	APY comme preuve de sécurité
Séparation des clés hot vs vault	Secrets différents, vault offline par défaut	Une seule seed pour tout
Surface d’approval / session	Révocation périodique ; moindre privilège	Allowances illimitées pour toujours
Politique / juridiction	Vous savez qu’un freeze est possible tout en restant solvable	« Solvable signifie que je peux retirer »
Bus factor	Cérémonie à deux personnes ou documentée là où la taille l’exige	Un voyageur, un laptop
Coordination	Buffer de fee token + ordre écrit des mouvements sous stress	Vault parfait, float inutilisable

Défauts conditionnels (partez d’ici, puis ajustez)

Si le solde ferait mal comme créance multi-années → ne le laissez pas en float dépositaire en standing.
Si la restauration n’a jamais été répétée → ne scalez pas la tranche vault.
Si hot et vault partagent une seed → prixez-les comme une seule surface hot.
Si le wallet-first a remplacé un IOU de CEX → ajoutez les moniteurs d’approval et de phishing la même semaine.
Si la taille a monté fortement → refaites le découpage même si les produits n’ont pas changé.
Si un seul humain peut bouger le capital vault à une taille qui change la vie → le bus factor est dans le prix du risque.

Gestes de design

Nommez le job de la tranche avant de choisir la maison.
Plafonnez chaque maison à une défaillance que vous pouvez survivre (histoire de créance vs histoire d’effacement).
Répétez la restauration et un petit retrait externe avant de scaler.
Gardez les clés de vault hors des invites de connect quotidiennes.
Préférez le wallet-first pour le capital de trading actif quand vous pouvez tenir l’hygiène de signature et que la place convient au style.
Gardez un buffer de ramp délibéré pour que la discipline de vault ne heurte pas des besoins fiat soudains.
Écrivez une fois, au calme, un court ordre d’opérations sous stress ; mettez à jour après incidents et changements de taille.

À ne pas confondre avec

Risque de prix — le mark peut bouger alors que le contrôle reste intact ; le contrôle peut mourir alors que le mark est sain.
Risque de smart contract — adjacent sur les dépôts de protocole ; indicateur différent.
Risque de liquidité — ne pas pouvoir sortir une taille dans le marché ≠ ne pas pouvoir autoriser un mouvement ; lié, pas identique.
KYC — politique d’accès ; peut interagir avec des freezes ; pas la définition de la conservation.
Badges PoR / assurance — signaux et contrats avec plafonds, pas une preuve de retrait personnel en temps utile.
Marketing « non dépositaire » — vérifiez si votre clé autorise encore la dépense, ou si un ledger interne s’interpose encore entre vous et le settlement.
Multi-sig / politique de vault — un design de conservation avec risque de cérémonie, pas une sécurité automatique.
Wallet-first — change quelle défaillance vous souscrivez ; ne supprime pas l’indicateur.

Articles associés

Prêt pour la suite ?

Passez à l’inscription ou au trading depuis cette page via les liens officiels.

Commencer à trader sur edgeX

Avertissement

Ce contenu est fourni à des fins éducatives uniquement et ne constitue pas un conseil en investissement. Le trading d'actifs numériques et de produits dérivés comporte des risques. Assurez-vous de comprendre les produits et tenez compte de votre situation avant de trader.

Glossaire

Qu’est-ce que le risque de conservation ?

Avancé28 oct. 2026 · 8 min de lecture

Définition

En clair :