Point de défaillance unique. Ce que le secteur bancaire ne cesse de nous apprendre, et le registre qui a continué de fonctionner.

Deux adresses, une semaine

Le mardi 3 novembre, la banque centrale du Paraguay a suspendu Ueno Bank. L'application est devenue inaccessible sur 2,9 millions de téléphones. J'ai relaté la suite des événements : une conversion massive en USDT, une prime d'émission finalement moins élevée que ce qu'annonçait l'article, et une garantie de dépôts qui a commencé à verser des fonds sous 48 heures et qui couvrira intégralement 97 % des déposants. Un système opérationnel, rétabli en une semaine environ.

Le vendredi 6 novembre, vers 13h30 dans l'ouest du Japon, un équipement de communication a subi une panne au niveau du hub ouest du Centre commun Shinkin. Ce hub gère le système central de la plupart des banques Shinkin du Japon, ces coopératives de crédit régionales utilisées par les petites entreprises et les retraités. 128 d'entre elles ont été simultanément hors service, soit 3 430 agences. Tous les distributeurs automatiques de billets (DAB) qu'elles exploitent, ainsi que certains partagés avec les supérettes, ont été touchés. Les services bancaires en ligne et les applications mobiles, ainsi que les prélèvements automatiques, ont également été suspendus. Le service a été rétabli peu après 19h. Il s'agissait d'une panne matérielle, et non d'une attaque, et personne n'a subi de perte de yen. L'interruption a duré cinq heures et demie.

Deux pays différents, deux causes différentes, l'un solvable et l'autre non. Les gros titres parlaient de crise dans les deux cas. Aucune n'en était une. En réalité, pour reprendre les termes que j'utilisais depuis quinze ans avant de créer cette entreprise, c'était la même chose.

Qu'est-ce qu'un point de défaillance unique ?

En conception de systèmes, un point de défaillance unique est un composant sans redondance. Lorsqu'il tombe en panne, tout ce qui en dépend tombe également, même si le reste du système est opérationnel. Les exemples classiques sont un serveur de base de données, un commutateur réseau, un certificat qui expire à minuit. Imaginez un millier de services parfaitement conçus en aval : une simple baie de serveurs peut les mettre tous hors service.

Les ingénieurs passent leur carrière à éliminer ces problèmes. On ajoute un deuxième serveur, une deuxième région, une deuxième route. On part du principe que chaque composant peut tomber en panne et on conçoit le système de manière à ce qu'aucune panne ne soit visible pour l'utilisateur. C'est tout le travail des ingénieurs. C'est coûteux et fastidieux, et c'est ce qui explique le fonctionnement de votre téléphone.

Le secteur bancaire est discipliné au sein de chaque établissement, mais la communication entre eux est quasi inexistante. Chaque banque dispose d'une redondance interne raisonnable. Cependant, le client n'a qu'une seule banque, une seule application, une seule carte, un seul système de règlement, et si ce dernier tombe en panne, il se retrouve sans ressources. Les banques japonaises Shinkin ont regroupé leurs systèmes centraux en deux centres de données en 2010 et 2011 afin de réaliser des économies. Une décision judicieuse. Mais cela a également eu pour conséquence que la défaillance d'un seul équipement dans le centre de données occidental a entraîné la faillite de 128 banques. Voilà ce que la consolidation apporte : une efficacité jusqu'au jour où elle vous coûte tout d'un coup.

Le Paraguay est un cas différent. Ueno était la banque numérique. C'est là que les salaires étaient versés, où l'État déposait 850 millions de dollars, où se trouvaient les comptes de près de la moitié du pays. Non pas un dysfonctionnement, mais une faillite. Pourtant, du point de vue du client, les deux situations sont identiques. L'application ne s'ouvre pas. La carte ne fonctionne pas. L'argent existe, mais il est inaccessible.

Le dossier bancaire

Je tiens à être juste envers les banques, car le problème n'est pas qu'elles soient mal gérées. Le problème, c'est que les antécédents financiers sont plus longs qu'on ne le pense, et que chaque incident de paiement a été gérable pour ceux qui avaient une solution de repli, mais coûteux pour les autres.

Lisez la troisième colonne. Un cabinet. Une mise à jour. Une migration. Un rail. Une banque. Autant d'éléments qui constituent une dépendance, chacun ayant des millions de personnes de l'autre côté, sans qu'elles aient eu leur mot à dire sur sa construction.

Et c'est la quatrième colonne qui est importante. Le chiffre de 33 jours avancé par le Comité du Trésor britannique pour neuf banques sur deux ans ne correspond pas à une mauvaise année dans une seule banque en difficulté. Il s'agit du fonctionnement normal d'un système bancaire mature et bien réglementé, tel qu'évalué par son propre Parlement.

Le bilan de The Ledger, honnêtement

Passons maintenant à l'autre côté de la médaille, et je vais vous donner le chiffre exact plutôt que le chiffre flatteur.

Depuis le lancement de son réseau principal en 2018, le réseau Tron produit un bloc environ toutes les trois secondes. Durant cette période, il n'a connu qu'une seule interruption. Du 1er novembre 2020 à 22h14 UTC au 2 novembre à environ 1h40 UTC, lors d'une mise à jour de routine, un contrat malveillant a exploité une faille, interrompant ainsi la production des blocs pendant environ trois heures. Aucun fonds n'a été perdu, aucune opération n'a été annulée et la chaîne a repris au bloc où elle s'était arrêtée. Depuis, une interruption de six secondes est programmée toutes les six heures pour permettre la mise à jour de la rotation des producteurs. Un système de surveillance mal configuré peut parfois interpréter cette interruption comme une panne, ce qui n'est pas le cas. Vous pouvez suivre la production des blocs en direct sur notre page d'état .

Le contrat USDT sur cette blockchain est opérationnel depuis avril 2019. D'après les registres publics, il n'a jamais été suspendu. Il a traité des transferts malgré l'effondrement de FTX, le piratage de Binance il y a deux semaines, toutes les pannes bancaires mentionnées dans le tableau ci-dessus, et même cette semaine au Paraguay, où il était le seul dollar disponible mercredi après-midi.

Donc : une interruption de trois heures en huit ans environ, contre 33 jours en deux ans pour neuf banques. Je ne pense pas que cette comparaison nécessite mon intervention pour être présentée. Je pense simplement qu'il faut l'interpréter avec prudence, car la chaîne ne représente pas l'ensemble du système, et certains éléments périphériques affichent des performances moins bonnes.

Les points uniques qui restent

Si je m'arrêtais là, ce serait la version de cet argument qui cause des torts. Le fait que le registre soit opérationnel ne signifie pas que vous puissiez accéder à votre argent. Entre vous et ce registre se trouve une structure complexe, et chaque couche représente un point de défaillance potentiel que j'ai déjà vu s'effondrer.

• La plateforme d'échange. Le 29 octobre, Binance a perdu 6,3 milliards de dollars sur ses portefeuilles actifs et a suspendu les retraits pendant environ 48 heures. Binance a pris en charge tous ses utilisateurs. De nombreuses autres plateformes n'ont pas pu le faire. Pendant ces deux jours, un solde Binance était aussi accessible qu'un solde Ueno, et la blockchain sous-jacente a continué à produire des blocs sans interruption. J'ai également rédigé un article à ce sujet.
• L'émetteur. L'USDT est une créance sur Tether, et Tether peut bloquer une adresse. Cela s'est produit 9 172 fois sur Tron depuis 2020, presque exclusivement pour des fonds volés et des demandes légales, et environ une adresse sur dix est débloquée. L'ensemble des données est disponible ici. Pour un détenteur lambda, le risque est faible. Il s'agit néanmoins d'un point de défaillance unique, et quiconque prétend le contraire cherche à vous vendre des USDT.
• La banque de l'émetteur. En mars 2023, Circle détenait 3,3 milliards de dollars de réserves en USDC à la Silicon Valley Bank lorsqu'elle a fait faillite, et l'USDC s'est négocié à 87 cents pendant un week-end. Le point de défaillance unique d'un stablecoin peut être une banque. L'ironie est totale.
• La couche d'accès. Votre application de portefeuille communique avec la blockchain via un fournisseur RPC. TronGrid, le plus répandu, a connu des pannes, et lorsqu'il est indisponible, votre portefeuille affiche une roue de chargement alors que la blockchain sous-jacente fonctionne parfaitement. Le registre était intact. Votre interface d'accès, elle, était défaillante.
• Vous. Une phrase de récupération perdue entraîne une interruption de service définitive sans garantie de dépôt. La banque réinitialisera votre mot de passe. Personne ne réinitialisera votre clé.

Remarquez ce qui figure et ce qui n'y figure pas. La chaîne n'y est pas. Tout le reste y est. Voilà la véritable nature du système : un registre très fiable enveloppé de couches dont la fiabilité est comparable à celle du secteur bancaire, voire inférieure pour certaines.

Garantir l'accès

La question n'est donc pas de savoir s'il faut choisir entre une banque et une chaîne. Il s'agit plutôt de savoir combien de problèmes doivent survenir avant qu'on ne puisse plus payer son dîner. Au Paraguay, cette semaine, pour la plupart des gens, la réponse était un. L'objectif est d'atteindre trois ou quatre problèmes.

Gardez la banque. Gardez la clé.

Je dirige une entreprise dont le produit phare est de réduire les coûts d'utilisation de la chaîne de valeur ; gardez donc cela à l'esprit lorsque j'écris à ce sujet. Voici la version que je présenterais à un ami.

La garantie des dépôts du Paraguay a fonctionné. Les banques japonaises étaient de nouveau opérationnelles avant le dîner. Dans la plupart des pays, le plus souvent, le système bancaire fonctionne correctement et la panne ne provoque que quelques heures de désagréments et le remboursement des frais. Rien dans cet article n'indique le contraire, et un stablecoin n'est assorti d'aucun fonds de garantie.

Mais chacune de ces pannes était due à la défaillance d'un seul élément, et ceux qui ont pu les surmonter sans frais étaient ceux qui disposaient d'une solution de repli indépendante. Le registre sous USDT a constitué cette solution de repli pour chaque entrée du tableau, avec un seul incident survenu en huit ans. Il ne remplace pas la banque. Il assure la continuité du service pendant la réparation de la banque, une tâche différente et, le jour où elle s'avère indispensable.

En matière de logiciels, on ne discute pas de la possibilité d'une défaillance du système principal. On part du principe qu'elle surviendra et on s'assure que le basculement soit à chaud. C'est tout. Un basculement à chaud, rien que pour vous. Configurez-le un jour de faible activité.

Ping. Toujours là.

Sources : Nippon.com et BigGo Finance sur la panne de Shinkin du 6 novembre 2026 ; Bloomberg Línea sur la garantie Ueno ; Which? sur les données relatives aux pannes au Royaume-Uni (Comité du Trésor et FCA) ; Bloomberg sur la panne de Zengin en 2023 ;The Register sur Mizuho 2021 ; Crypto Briefing sur l’arrêt de Tron en novembre 2020 ; Luganodes via KuCoin sur l’écart de rotation de six heures ; Wikipédia sur la panne de CrowdStrike ; Wikipédia sur le déréférencement de l’USDC en mars 2023.