Le registre de Solana peut désormais masquer combien d'argent a circulé entre deux parties — mais pas qui sont ces parties. C'est le compromis central des Privacy Rings, le système de transferts confidentiels annoncé le 10 novembre par Helius, fournisseur d'infrastructure Solana, dans son billet de lancement.

Le Ring par défaut, sans permission, fonctionne comme un pool blindé : les soldes chiffrés résident sur le registre même de Solana, les transferts se règlent via des transactions Solana ordinaires, et des preuves à divulgation nulle vérifient chaque mouvement. Trois produits l'ont déjà adopté — Decrypt, qui utilise les transferts confidentiels dans son compte monétaire ; l'application de minage et de staking Ore ; et Aurora Intents, qui achemine des actifs d'autres chaînes directement vers un solde confidentiel.

Pour les portefeuilles qui n'adhèrent pas, rien ne change. Une adresse Solana existante conserve son historique public, et la confidentialité ne commence que lorsque des fonds sont déplacés vers un solde privé — et même dans ce cas, uniquement pour les champs que le Ring est conçu pour chiffrer. L'identité de ces champs, et les personnes qui peuvent encore les lire, déterminent le niveau de protection réellement offert par le système.

Les paiements vers des destinataires non préparés passent par la voie publique

Le détail le plus susceptible de surprendre une équipe de paie ou de trésorerie figure dans la FAQ produit d'Helius : lorsque le destinataire d'un paiement ne dispose pas de portefeuille privé (Private Wallet), l'API Privacy transforme le paiement en retrait vers l'adresse publique du destinataire. L'argent arrive, mais par la voie publique, où l'actif et le montant sont visibles de tous.

Le guide de transfert d'Helius explique pourquoi cette solution de repli existe. Un transfert privé est adressé à une adresse blindée — un ensemble de clés de signature, de nullificateur et d'observation que le destinataire publie dans un enregistrement de registre — et la sortie chiffrée est verrouillée sur la clé d'observation de ce destinataire. Une personne qui n'en a jamais enregistrée ne possède aucun solde privé où les fonds puissent atterrir. La page d'accueil d'Helius est exacte lorsqu'elle indique que les destinataires n'ont pas besoin d'un portefeuille particulier pour recevoir des fonds ; c'est la confidentialité de cette réception, et non la réception elle-même, qui dépend de la configuration.

Pour une application, cela fait du statut du destinataire une partie de l'écran de paiement. Un expéditeur qui voit une adresse Solana familière et suppose que le montant sera chiffré pourrait approuver un transfert public. La conception sensée consiste à afficher la voie qui sera exécutée avant la demande de signature, et à faire de la voie publique un choix explicite plutôt qu'un repli silencieux. Helius construit précisément pour cette raison un portefeuille privé embarqué qui gère les deux types de soldes, et indique que Backpack, Squads, Jupiter, DFlow et Titan figurent parmi les équipes travaillant sur des intégrations. Tant que le portefeuille d'un destinataire ne prend pas en charge la réception privée, la solution de repli reste la voie empruntée par ses paiements — ce qui fait du déploiement de ces intégrations le verrou pratique déterminant la part d'un flux de paiement pouvant rester sur la voie chiffrée.

Ce que la chaîne montre toujours sur la voie privée

Même lorsque les deux parties sont pleinement configurées, le Ring par défaut est confidentiel plutôt qu'anonyme. Les guides d'Helius détaillent la visibilité de chaque étape, et le schéma est celui qu'attendrait un analyste de blockchain : les extrémités du parcours sont publiques, le milieu est chiffré.

• Dépôt — public : adresse déposante, actif, montant ; chiffré : le solde privé qui en résulte.
• Transfert privé — public : adresses de l'expéditeur et du destinataire, payeur des frais ; chiffré : actif, montant, mémo facultatif.
• Retrait — public : adresse de retrait, destination, actif, montant ; chiffré : le solde privé restant.

Ce détail s'appuie sur les guides de dépôt, de transfert et de retrait d'Helius pour le Ring par défaut, et couvre uniquement la visibilité directe sur la chaîne ; les déductions à partir d'autres enregistrements sont une question distincte.

Prenons une entreprise qui finance sa paie depuis un portefeuille de trésorerie déjà associé à son nom. Le déplacement de 30 000 USDC vers un solde privé publie ce chiffre lors du dépôt. Les virements de salaire qui suivent masquent chaque montant, de sorte que personne ne peut lire un salaire individuel sur le registre. Ce qu'ils peuvent lire, c'est la forme : une adresse d'entreprise connue versant à la même douzaine d'adresses le même jour de chaque mois. Si l'un de ces destinataires a déjà été relié à une personne, le montant chiffré est la seule chose séparant ce schéma d'une estimation de salaire — et l'estimation se précise dès qu'un employé retire des fonds vers un solde public, car le montant retiré est visible. Un destinataire récurrent pourrait tout aussi bien être un fournisseur, la chaîne ne prouve donc jamais un lien salarial, mais la réduction des possibilités est précisément ce que vendent les sociétés d'analyse. Coindoo a tracé la même piste d'identité dans sa couverture de l'approche de COTI en matière de paiements privés.

Deux détails plus mineurs précisent le tableau. Le payeur des frais d'un transfert privé est une adresse Solana publique, et Helius permet à un sponsor de gaz de les couvrir — ce qui signifie qu'une entreprise sponsorisant les frais de son personnel appose son nom sur chaque transaction, même lorsqu'elle n'est pas l'expéditrice. Le champ mémo, s'il est utilisé, est chiffré avec le montant, de sorte qu'une référence de facture voyage de manière confidentielle alors que les deux adresses qui l'échangent ne le sont pas.

Qui peut lire le montant outre la chaîne

Chiffrer un champ sur la chaîne règle ce que le public voit. Cela ne dit rien de qui l'utilisateur a admis. La documentation de chiffrement d'Helius décompose la question en couches, et la couche qu'une entreprise négocie réellement est celle du milieu : l'accès délégué.

• Contrepartie — voit la transaction dont elle a fait partie ; recevoir un paiement n'ouvre rien d'autre dans le portefeuille de l'expéditeur.
• Clé d'observation déléguée — un prestataire autorisé par l'utilisateur peut lire les soldes et l'historique, mais ne peut pas déplacer les fonds.
• Clé d'observation de transaction — ne divulgue qu'une seule transaction, par exemple une facture à un auditeur sans le reste du registre.
• Prestataire de rampe — une rampe fiat d'entrée ou de sortie garde le segment sur chaîne chiffré, mais traite le volet bancaire et en connaît les détails.

Par défaut, la clé d'observation reste sur l'appareil de l'utilisateur et le déchiffrement s'effectue localement ; Helius génère des preuves et relaie les transactions mais ne détient jamais de clés. La délégation est le moment où le comptable d'une entreprise, son logiciel de trésorerie ou son service de rapprochement reçoit une copie de cette clé. La conséquence pratique est une séparation plus nette que celle qu'obtiennent la plupart des équipes financières auprès d'une banque : un comptable peut se voir accorder un accès en lecture complet à un registre privé sans aucune capacité d'approuver un paiement, et une contrepartie peut n'en voir qu'une seule ligne. La contrepartie de cela, c'est que chaque délégation est une divulgation permanente : une entreprise qui remet des clés d'observation à plusieurs prestataires a discrètement reconstitué le cercle de lecteurs qu'elle cherchait à réduire.

En quoi cela diffère des transferts confidentiels existants de Solana

Solana propose déjà le masquage des montants via l'extension de transfert confidentiel des Token Extensions, la question de l'apport des Rings est donc légitime. L'extension fonctionne par jeton : un émetteur l'active sur un mint, et les détenteurs de ce mint peuvent blinder leurs soldes et transférer des montants, tandis que le jeton lui-même et les contreparties restent visibles. Les Rings fonctionnent comme un pool acceptant les actifs SOL, SPL et Token-2022 sans intervention de l'émetteur, chiffrent l'actif ainsi que le montant, et exposent les soldes privés à d'autres programmes via des invocations inter-programmes — le mécanisme qu'Helius propose pour les séquestres privés, les swaps et le collatéral. Les deux approches laissent les deux adresses au grand jour ; les Rings élargissent ce qui se situe entre elles.

Les Custom Rings et les audits

L'anonymat au niveau des adresses figure sur la feuille de route, pas sur le mainnet. La documentation Custom Rings d'Helius décrit des Rings gérés par des institutions, configurables comme confidentiels, comme celui par défaut, ou anonymes, avec l'expéditeur et le destinataire chiffrés et les transferts soumis via un relais. Chacun ajoute une clé d'auditeur avec accès en lecture selon une politique définie par l'institution, ainsi que des listes blanches, des listes noires, des gelages et des exigences de signature supplémentaires sur la chaîne. Les transferts entre Rings suivent les règles du Ring source et peuvent combiner un solde du Ring par défaut avec un Custom Ring en une seule transaction. Helius place la sortie mainnet visée au quatrième trimestre 2026, les audits étant encore en cours.

Le Ring par défaut en production a franchi trois audits indépendants par Certora, ZK Security et OtterSec, et la trusted setup de ses circuits a été menée par des ingénieurs de la Solana Foundation, de Blueshift, de Zcash, de Certora, d'OtterSec et de ZK Security. Les configurations multi-parties de ce type sont une protection standard des systèmes à divulgation nulle — les paramètres sont générés conjointement, de sorte qu'aucun participant isolé ne détient seul de quoi forger des preuves — et la présence de Zcash dans la liste mérite d'être soulignée, ce projet ayant inauguré les pools blindés sur une blockchain publique. La vérification formelle des programmes et des circuits est en cours, Helius en attendant l'achèvement d'ici fin 2026. Avec l'objectif des Custom Rings au quatrième trimestre 2026, 2026 s'annonce comme l'année des deux derniers jalons de la feuille de route : l'anonymat au niveau des adresses et la vérification formelle.

Trois questions avant de signer

Un paiement via Privacy Rings est privé selon exactement trois dimensions, et l'expéditeur n'en contrôle qu'une. La voie empruntée par le paiement est décidée par le portefeuille du destinataire. Les adresses qui apparaissent sont décidées par la chaîne. Qui d'autre peut déchiffrer le montant relève de l'expéditeur, via les clés qu'il choisit de déléguer.

Toute application construite sur les Rings devrait répondre à ces trois questions sur l'écran de confirmation : voie privée ou retrait public, quels champs restent visibles, et qui détient déjà une clé d'observation. Masquer un montant est utile. Savoir précisément ce qui demeure visible, c'est ce qui rend ce masquage digne de confiance.