Igor Kulatov, ancien cofondateur et CTO de NAGA Group AG, revient sur les décisions d’ingénierie qui ont établi NAGA comme une référence pour l’ensemble du marché.

En tant que cofondateur et CTO de NAGA Group AG, Igor Kulatov a créé Swipestox, la plateforme de trading social qui a porté l’entreprise jusqu’à son introduction à la Bourse de Francfort en juillet 2017. Après l’IPO, il a dirigé le développement crypto de la société — comprenant un moteur d’appariement sur mesure, une architecture de conservation multi-chaînes et l’intégration de places de marché multi-actifs — qui a abouti la même année à l’offre initiale de jetons de NAGA, la vente du token NGC. L’année 2017 a été le pic mondial des ICO, avec des milliards levés à travers des centaines de ventes de tokens, mais très peu d’émetteurs opéraient au sein d’une structure de courtage réglementée et cotée en Bourse. Kulatov dirige aujourd’hui Aurora Borealis, une entreprise de commerce interentreprises autonome qui fonctionne en production alors que le reste de l’industrie définissait encore la catégorie. Les deux projets illustrent une même logique : construire avant que le marché ne comprenne pleinement la direction prise. Dans cet entretien, Kulatov explique comment il lit l’évolution des marchés, ce qui a guidé les choix d’ingénierie précis chez NAGA et ce qu’il a conservé dans son travail actuel.

Q1. Votre parcours suit un schéma distinct. Avant NAGA comme avant l’entreprise de commerce autonome, la plupart des ingénieurs autour de vous auraient eu besoin d’un ensemble d’hypothèses entièrement différent. Que regardez-vous lorsque vous essayez de déterminer où se situera un marché dans cinq ou sept ans ?

Je n’avais pas besoin de prédire l’avenir de la crypto. Ce que j’avais, c’était une vision opérationnelle de ce à quoi ressemble une place d’échange mature — j’avais construit des systèmes d’échange avant NAGA, et je savais quel était le standard du côté traditionnel. La plupart des plateformes crypto en 2016 et 2017 étaient construites par des équipes qui abordaient le problème dans le sens inverse — depuis la crypto vers l’extérieur, et non depuis la discipline des marchés organisés vers l’intérieur. En conséquence, il leur manquait des éléments qu’une place d’échange mature considère comme acquis : les performances d’un moteur d’appariement capables de traiter des flux institutionnels, une frontière de conservation qu’un régulateur peut évaluer clairement sur le papier, et une structure juridique capable de prendre en charge à la fois un carnet d’actions et de véritables actifs en cryptomonnaies.

Ma règle de travail était simple : construire pour le standard qui arrive, pas pour celui qui est pratique aujourd’hui. Dans la crypto en 2017, le standard pratique consistait à tout construire rapidement et à repousser les problèmes difficiles. Le standard à venir allait ressembler beaucoup plus à une place d’échange réglementée. J’ai donc construit en fonction de cela.

Q2. Prenons l’un de ces chiffres. En 2017, la référence open source en matière de moteur d’appariement était Liquibook, avec environ deux à deux millions et demi d’insertions par seconde. Vous avez construit un moteur atteignant environ huit millions de correspondances par seconde lors de tests synthétiques. Qu’est-ce qui indiquait que le plafond devait être aussi élevé ?

Cet écart est moins important qu’il n’y paraît — Liquibook publie un débit d’insertion, tandis que l’appariement est une opération plus lourde par événement. Le chiffre brut n’est pas ce qui a guidé la conception. Ce qui l’a guidée, c’est que nous construisions pour une catégorie de flux d’ordres que le secteur crypto n’avait pas encore rencontrée. Les traders institutionnels déploient des machines qui fonctionnent en continu. La différence entre un plafond d’un demi-million de correspondances par seconde et un plafond de huit millions, c’est la différence entre reconstruire votre moteur la troisième année et exploiter le même la huitième année.

Nous l’avons donc maîtrisé de bout en bout. Un moteur d’appariement est suffisamment compact pour que quelques milliers de lignes de code sur mesure surpassent une bibliothèque généraliste conçue pour rester sûre pour tous les utilisateurs. Binance a reconstruit son moteur d’appariement en juin 2020 — en le réécrivant de zéro dans un nouveau langage, ce qui a représenté environ deux ans de travail d’ingénierie et une amélioration des performances d’environ dix fois. Ce type de reconstruction n’est pas seulement un coût de développement. Il implique deux années pendant lesquelles le système fonctionne sous des charges pour lesquelles il n’a jamais été conçu — avec des files d’attente lors des pics de volatilité, des ordres retardés et des flux d’ordres qui migrent vers la place capable de les absorber. La raison pour laquelle nous n’avons pas eu besoin de le faire en 2020 est que nous avions déjà construit pour ce plafond en 2017.

Q3. Un schéma similaire est apparu du côté de la conservation. Vous avez adopté un modèle non dépositaire en 2017, avant que Fireblocks n’existe en tant que produit. Qu’est-ce qui indiquait que le modèle commercial dominant — une conservation dépositaire adossée à une assurance — serait la mauvaise approche ?

Mt. Gox était encore frais dans la mémoire de l’industrie, et Coincheck a été piraté au début de 2018 pour l’équivalent d’environ un demi-milliard de dollars. Le remède commercial vers lequel tout le monde se tournait était l’assurance derrière la conservation dépositaire : détenir les clés, payer une prime et espérer qu’aucun incident ne survienne. Cette approche présente une faille fondamentale. L’assurance ne répare pas un piratage ; elle ne fait que le monétiser. Si la cryptomonnaie d’un client est volée, le client a perdu l’actif, que la plateforme d’échange ait été remboursée ou non.

Nous avons donc construit l’architecture la plus difficile. Sur chaque chaîne prise en charge, la plateforme détenait une part de signature et le client détenait l’autre, et aucune des deux parties ne pouvait déplacer les fonds unilatéralement. Ce modèle de conservation était lui-même proposé sur option — les clients pouvaient conserver leurs cryptomonnaies dans leurs propres portefeuilles externes et déposer ou retirer directement vers ou depuis la plateforme d’échange, en assumant eux-mêmes l’ensemble du risque de conservation. Si notre base de données avait été compromise, un attaquant n’aurait obtenu que les parts de la plateforme — aucun solde, aucune identité et aucune capacité à signer des transactions.

Ce que nous avons combiné n’était pas constitué de nouvelles primitives cryptographiques ; nous avons simplement choisi de les intégrer dans la structure d’un courtier réglementé en 2017, alors que l’option la plus confortable consistait à conserver toutes les clés nous-mêmes et à acheter une police d’assurance.

Q4. eToro a choisi la voie des dérivés avec les CFD crypto. Interactive Brokers a ensuite opté pour les contrats à terme. Vous vous êtes engagé sur le comptant — la pièce réelle détenue sur le même compte que les titres conventionnels. Qu’est-ce qui indiquait que la voie des dérivés ne définirait pas l’avenir ?

Les deux alternatives étaient commercialement plus simples et attiraient moins l’attention des régulateurs, et toutes deux offraient aux clients quelque chose qui ressemblait à une exposition à la crypto sans leur livrer l’actif réel. Un CFD ou un contrat à terme suit l’évolution du prix. Il ne place pas une cryptomonnaie entre les mains du client. Si le client souhaite envoyer la pièce ailleurs, la retirer vers un portefeuille personnel ou l’utiliser en dehors de la plateforme, un instrument dérivé ne le permet pas. Vous vendez une exposition, pas une propriété.

La cryptomonnaie au comptant détenue sur le même compte que les titres réglementés du client lui donne l’actif réel, avec le cadre réglementaire du groupe autour de celui-ci. Cela ne revient pas à affirmer que l’activité crypto elle-même était licenciée — aucune juridiction ne disposait d’un cadre pour cela en 2017 — mais elle opérait au sein de la même entité juridique qu’un courtier réglementé. Cette combinaison était rare, car elle obligeait à résoudre soi-même le problème de la conservation. C’était la seule approche qui traitait la cryptomonnaie comme un véritable instrument financier, et non comme une construction synthétique superposée à l’un d’eux.

Le cadre réglementaire européen a rattrapé son retard en 2024 avec MiCA, et chaque courtier de détail ayant ajouté la crypto au comptant après 2020 — Trade Republic en Allemagne, Robinhood aux États-Unis et Revolut lors de sa mise en service — est arrivé au même modèle d’intégration que celui que nous avions livré en 2017.

Q5. Certaines de ces décisions ont maintenant sept ou huit ans. Qu’est-ce qui confirme qu’elles restent aujourd’hui structurantes, plutôt que de simples artefacts historiques ?

Elles sont structurantes, et c’est le test décisif. Une architecture bien conçue est celle vers laquelle les autres convergent indépendamment — non pas parce qu’ils l’ont copiée, mais parce que le problème sous-jacent impose la même solution. Le moteur d’appariement que j’ai décrit fonctionne encore en production aujourd’hui. Avant son lancement, il a fait l’objet de plus de deux ans de tests bêta, et une société indépendante de tenue de marché a réalisé des tests de charge externes. Si le pari de conception avait été mauvais, nous l’aurions découvert maintenant.

TCP/IP a été conçu dans les années 1970 et fait toujours fonctionner Internet. SQL a cinquante ans et reste dominant. Les bons paris architecturaux ne paraissent historiques qu’avec le recul. Ce qui s’est transmis à ce que je construis depuis 2020, c’est le principe de travail derrière ces décisions : construire pour le standard qui arrive, pas pour celui qui est pratique. Le travail actuel porte sur le commerce interentreprises autonome, et la discussion réglementaire dans ce domaine est encore en cours de formation. La même discipline s’applique.

Q6. Si quelqu’un commençait aujourd’hui au même croisement — finance réglementée, véritable cryptomonnaie et flux d’ordres pilotés par des machines — quels conseils lui donneriez-vous ?

Trois principes, dont aucun n’est nouveau. Premièrement, faire de l’architecture de licence la décision principale — on ne peut pas compenser par l’ingénierie une erreur de conformité à grande échelle, et le nombre de choix de conception qui découlent de la structure de licence est plus élevé que ne l’imaginent au départ la plupart des équipes techniques. Deuxièmement, traiter la conservation comme une préoccupation architecturale de premier ordre, et non comme un simple complément de sécurité — si vous pouvez placer la frontière de conservation dans vos propres systèmes et la décrire précisément à un régulateur, vous évitez une catégorie d’incidents que d’autres passeront la prochaine décennie à régler devant les tribunaux. Troisièmement, l’ingénierie disciplinée l’emporte dans la bataille du débit. En 2017, il y avait beaucoup de discussions autour de structures de données ingénieuses et de matériel exotique, mais les plateformes qui ont atteint de vrais niveaux de performance sont celles qui ont pris avec constance des décisions peu spectaculaires. Cela n’a pas changé.