En janvier 2025, des hommes ont fait sortir David Balland de chez lui. Balland a cofondé Ledger, qui fabrique des portefeuilles matériels, ce qui veut dire que de toutes les personnes au monde il était parmi les plus susceptibles d'avoir réfléchi sérieusement à la façon dont ses bitcoins étaient gardés.
Ils ont emmené sa femme aussi. Ils lui ont coupé un doigt et l'ont envoyé, pour faire comprendre que la demande était sérieuse. Il a été libéré par une unité d'élite de la police nationale française. Sa femme a été libérée environ un jour plus tard. Une rançon avait alors été payée, non par Balland mais par un associé à lui, et l'essentiel en a été récupéré ensuite parce qu'une partie était passée par un stablecoin centralisé dont l'émetteur pouvait le geler sur demande. Quelque chose comme 5 % n'est jamais revenu.
Une chose dans ce paragraphe est vérifiable de façon indépendante. Un gel d'émetteur laisse une trace publique. Le reste, c'est-à-dire qui a payé, combien, et comment s'est passée la récupération, repose sur les déclarations des intéressés, et je n'ai aucun moyen de les auditer.
Ce qui l'a réellement sorti de là
Restez un instant sur la forme de la chose plutôt que sur son horreur.
Un défenseur professionnel de l'autoconservation a été attaqué quand même, avec vraisemblablement le meilleur dispositif d'autoconservation que l'argent et la compétence permettent de monter. La richesse ne l'a pas empêché. La notoriété ne l'a pas empêché. Une compétence portant précisément sur ce problème, que presque personne d'autre ne possède, ne l'a pas empêché.
Et une fois que c'était fini, les deux choses qui ont réparé les dégâts sont une unité d'élite de la police d'État et un émetteur centralisé avec un bouton de gel. Ni l'une ni l'autre ne fait partie du credo. Les deux sont, la plupart du temps, ce que le credo existe pour contourner.
C'est ce qui rend l'affaire digne d'être écrite, et c'est aussi pourquoi elle met mal à l'aise. Si vous défendez l'autoconservation, comme moi, c'est l'affaire qu'il faut savoir regarder sans détourner les yeux.
La leçon n'est pas que Balland s'est trompé. Je tiens à être exact là-dessus, parce que le réflexe de ce milieu est de lire chaque incident comme une histoire de compétence. Il aurait dû faire du multisig, il aurait dû déménager, il aurait dû se faire plus discret. Rien de publié ne suggère qu'il ait mal fait quoi que ce soit, et l'argument ici n'en a pas besoin.
Ce que son dispositif pouvait et ne pouvait pas atteindre
Rien dans le dispositif d'autoconservation de Balland n'a joué de rôle dans le fait que des hommes se présentent chez lui. Le choix de la cible se fait sur ce qui se voit de l'extérieur : un nom, une entreprise, un rôle public, un fichier que quelqu'un a laissé fuiter. Aucune configuration de portefeuille ne touche à cela.
Elle n'a pas non plus fixé combien de temps ils sont restés, et c'est ici que ceux qui tiennent cet argument le vendent plus cher qu'il ne vaut. Partez de l'impossibilité sur laquelle les deux articles reposent. On ne peut pas prouver qu'on a oublié, donc un attaquant dans la pièce tient pour acquis qu'il y a davantage, et il le tient pour acquis quoi que vous ayez construit et quoi que vous lui disiez. À partir de là, la durée de la rencontre relève de son calcul et non du vôtre : une heure de plus vaut ou ne vaut pas le risque qu'elle coûte. Un protocole est un ensemble d'objets virtuels et de règles d'usage. Il n'arrête pas une clé à molette.
Ce qu'on peut exiger d'une conception d'autoconservation commence avant tout cela, par décrire l'attaquant honnêtement. Le modèle sur lequel travaillent les articles place une clause en tête, avant quoi que ce soit sur le calcul ou les budgets : il sait comment votre dispositif fonctionne. Lire le manuel est gratuit et le manuel est public, donc partez du principe qu'il l'a lu. C'est le terrain dont traite The Denial Spiral, et c'est là qu'échoue une catégorie entière de produits, parce que les leurres, les codes PIN de contrainte et les récits appris ont tous besoin qu'il ne l'ait pas lu. L'obscurité a fonctionné autrefois, et c'est l'objet d' un texte antérieur de cette série : il y a eu une fenêtre où presque personne ne vous cherchait et où personne ne pouvait vous distinguer dans la foule, et là-dedans se taire était presque une défense complète. Il vaut la peine de dire pourquoi la culture s'y accroche plutôt que de s'en moquer. Mais le savoir se diffuse (Kerckhoffs), et un modèle économique criminel qui rapporte se réplique (Mises). La fenêtre s'est refermée et elle ne se rouvrira pas.
Modélisez-le ainsi et quelque chose de désagréable apparaît. Certains dispositifs, face à un attaquant qui sait exactement ce qu'ils sont, lui donnent une raison de vous tuer qu'il n'aurait pas eue autrement. C'est ce que chiffre The Deadly Race : quand le chemin qu'il détient fonctionne encore sans être achevé, celui qu'on relâche est un concurrent pour le même argent, et un concurrent à portée coûte moins cher à supprimer qu'à devancer. Balland a été libéré vivant, donc ce coup-là n'est jamais venu ici. Le point, c'est que certaines conceptions le fabriquent, et le nom que The Deadly Race donne à cette classe est pire qu'inutile. L'expression est étroite à dessein : un dispositif qui cède tout proprement vaut mieux qu'un dispositif qui laisse un écart. Avant de chercher à aider, ne pas nuire.
C'est seulement avec ces deux points en main qu'il vaut la peine de poser la question par laquelle tout le monde commence, à savoir quelle part du magot peut être mise hors de portée, et la seconde moitié de cette question est celle qu'on saute : sans payer cette réduction au prix d'une course.
Ce que cela achète est plus petit que la version qu'on voudrait, et en fixer la taille exacte est ce qu'il reste à ce texte.
Rien de tout cela n'est un argument contre l'autoconservation, et ce serait un argument bon marché si ça l'était. C'est un argument sur l'ordre dans lequel on fait les choses en autoconservation : décrivez l'attaquant comme quelqu'un qui a déjà lu votre manuel, repérez lesquelles des choses que vous pourriez construire mettraient un prix sur votre propre mort, et seulement ensuite demandez-vous quelle part vous pouvez mettre hors de portée.
Pourquoi aucune fouille ne s'arrête
Les deux articles raisonnent sur un attaquant délibérément peu flatteur. Il sait comment votre dispositif fonctionne, il dispose d'un budget de temps et de risque, et il tient pour acquis qu'il y a toujours davantage. Appelons-le l'attaquant idéalisé. Une conception doit lui survivre, parce qu'une conception qui ne survit qu'à un adversaire négligent n'a survécu à rien.
Pour lui, il y a une question à laquelle il ne peut pas répondre et qu'il ne peut pas cesser de poser.
Y a-t-il une autre copie ?
Vous ne pouvez pas prouver que vous avez oublié. Vous ne pouvez pas non plus prouver qu'aucune sauvegarde n'existe, et la raison n'est pas que l'attaquant soit bête ou sadique. C'est que ce qu'il devrait écarter est minuscule et peut être n'importe où. Une carte SD. Des notes stéganographiques dans un livre sur une étagère. L'identifiant et le mot de passe appris par cœur d'une boîte mail qui contient un fichier chiffré. N'importe lequel suffit à reconstituer l'accès, et aucun ne s'écarte en retournant une maison.
Alors il suppose qu'il en existe une, quoi que vous disiez et de quelque manière que vous le disiez. C'est la position rationnelle, pas la paranoïaque.
Poussez d'un cran et vous arrivez là où The Deadly Race ne se dérobe pas. Pour être certain qu'aucune copie ne subsiste, il devrait établir ce qui est et ce qui n'est pas dans votre mémoire. Orwell a donné sa mesure au dernier lieu privé : rien n'était à vous, sauf les quelques centimètres cubes à l'intérieur de votre crâne. Un attaquant capable de lire cela dépasserait le supremum littéraire du pouvoir de surveillance, qui concédait expressément le crâne.
C'est le bout de la route sur laquelle la conception vous engage, pour cet attaquant-là. Retenez la réserve, elle travaille plus qu'il n'y paraît.
Celui qu'on emmène n'est pas toujours celui qui détient
C'est un associé qui a payé. Pas Balland, et pas depuis le dispositif de Balland lui-même. Ce détail se lit vite et c'est le second argument de l'affaire.
Codé à la main depuis le registre de Jameson Lopp : dans 12 des 351 incidents, 3,4 %, la personne enlevée n'était pas détentrice mais un proche pris pour en contraindre un autre. Un parent, un conjoint, un enfant adulte. Le criblage a sorti seize candidats et quatre ont été écartés à la lecture, dont un où « fils de » désignait en fait un auteur et non une victime, de sorte que les douze sont audités et non appariés par mot-clé.
Deux choses dans ce sous-ensemble comptent plus que sa taille.
Il est récent et se concentre. Onze des douze tombent en 2023 ou après, et neuf sont en France, où les incidents enregistrés sont passés d'environ un par an jusqu'en 2024 à 22 en 2025 et 34 en août 2026. Quelle que soit la part de cette hausse qui relève de l'incidence réelle plutôt que de l'attention de la presse française, ce n'est pas une dispersion historique. La tactique est en train d'être adoptée.
Et 3,4 % est un plancher, pas une estimation. Le codage lit un titre d'une ligne, donc un incident qui ne mentionne pas un proche n'est pas la preuve qu'il n'y en avait pas. Le chiffre ne peut que sous-estimer.
Ce que cela borne
Le dispositif délégué est une vraie réponse à la contrainte, et l'honnêteté consiste à le dire avant de lui retirer quoi que ce soit. C'est aussi le point où l'autoconservation cesse discrètement d'être de l'autoconservation. Confiez le pouvoir de libérer les fonds à quelqu'un de lointain qui vous refusera, et un attaquant dans votre salon n'a personne qu'il ait intérêt à blesser. Cela passe le critère. Le texte compagnon le dit franchement.
Ce que cette affaire chiffre, ce sont les petites lignes. Ce dispositif ne fonctionne que tant que le délégué est vraiment hors d'atteinte, et le délégué qu'une personne réelle désigne, c'est un conjoint, un parent, un enfant adulte, un associé de confiance. C'est exactement la liste que ce sous-ensemble montre en train d'être enlevée.
Donc un délégué atteignable n'est pas un second coureur. C'est une seconde victime.
La voie n'est pas réfutée, elle est bornée : il lui faut une inaccessibilité structurelle et non supposée, et la plupart de ceux qui croient l'avoir n'ont fait que la supposer. Demandez-vous qui vous désigneriez vraiment, puis si cette personne pourrait être retrouvée en un après-midi par quelqu'un qui vous a déjà retrouvé.
L'attaquant du modèle n'est pas l'attaquant de la pièce
L'attaquant idéalisé ne s'arrête jamais, et c'est exactement à cela qu'il sert. Les vrais s'arrêtent tout le temps, pour des raisons ordinaires : un budget, un risque de se faire prendre qui croît d'heure en heure, une arithmétique portant sur l'heure suivante et non sur le gain entier.
Un vrai attaquant peut aussi être informé, ce dont l'idéalisé n'a jamais besoin. Trois choses qu'il peut finir par savoir, et dont aucune ne lui demande de croire la personne en face de lui :
- Qu'une telle construction existe. Ce n'est pas une affirmation de la victime, c'est un fait public sur ce qui est disponible pour construire.
- Que ceux qui détiennent beaucoup l'utilisent plausiblement, et leurs proches aussi, pour l'essentiel de ce qu'ils détiennent ensemble.
- Donc la valeur attendue d'une heure de plus baisse, et avec elle la valeur attendue de commencer.
Ce n'est pas une promesse, et la réserve tient toujours : quelqu'un d'assez riche garde une part plus petite, plus lâche, moins gardée, et dans le calcul de l'attaquant celle-là seule peut couvrir le risque du crime. Ce qui bouge, c'est le calcul sur l'essentiel. Un Balland hypothétique dont l'autoconservation passerait les trois aurait pu être repéré quand même, aurait pu être enlevé quand même, et ses proches auraient pu payer quand même ce qui restait à portée. Ce qui changerait, c'est ce que ses attaquants finiraient par établir : que le reste est hors d'atteinte opérationnelle comme propriété de la construction, et non comme une histoire qu'il leur raconte.
Concevez pour l'attaquant qui ne s'arrête jamais. La dissuasion passe par celui qui s'arrête.
Ce qui reste
Face à un attaquant décidé et prêt à vous garder longtemps, les options d'autoconservation vendues aujourd'hui se réduisent à deux : un sauvetage par l'État, et un émetteur disposé à geler. Les deux ont fonctionné ici. Aucune n'est de l'autoconservation, et aucune ne se réquisitionne au moment voulu. Un credo dont le recours est les institutions des autres n'est pas la chose autosuffisante qu'on vous vend.
L'alternative qui vaut d'être construite n'est pas une meilleure récupération après coup. C'est de retirer le levier d'abord : aucun appareil disponible à saisir, aucun jeton qui fasse office d'otage, aucun délégué en position de payer. Que ce soit atteignable est l'affirmation que les articles posent et défendent, et vous devriez les lire avec scepticisme plutôt que la prendre d'un billet de blog.
Balland a récupéré l'essentiel de son argent et gardé la vie. Il n'a pas récupéré le doigt. C'est la ligne du bilan que personne ne gèle.
L'affaire, le sous-ensemble des victimes par ricochet, l'audit derrière et l'argument de la durée sont dans The Denial Spiral, accès libre, sans inscription. Son compagnon, The Deadly Race, est là où l'impossibilité qui rend un démenti invérifiable, et le test qui en découle, sont développés correctement.
Détails de l'affaire chez DL News, archivé. Décomptes d'incidents issus du registre de Jameson Lopp, un échantillon de presse qui manque ce qui n'est pas signalé. Rien ici ne va au-delà de ce qui a été publié.
Si ça valait votre temps. Passez-le à qui vous a dit qu'un portefeuille matériel réglait le problème. Une ⭐ sur Great Wall, sur la recherche ou sur ces textes ne coûte rien et rend le travail trouvable. Et si vous voulez le financer, support accepte ⚡ Lightning et on-chain, sans inscription, sans paliers et sans contrepartie.