Sécurité et preuve de réserves

Fondée en 2019, Phemex est une plateforme d’échange de cryptomonnaies centrée sur l’utilisateur, de confiance pour plus de 10 millions de traders à travers le monde, proposant le trading au comptant et sur produits dérivés, le copy trading et des produits de gestion de patrimoine. Afin de garantir la sécurité absolue des actifs, Phemex déploie une architecture de sécurité multi-niveaux, incluant une vérification mensuelle de Preuve de Réserves (PoR) via Merkle Tree, des portefeuilles froids et des partenariats avec des dépositaires institutionnels tels que Fireblocks.

Consultez notre ratio de réserves en temps réel Vous pouvez vérifier la solvabilité de Phemex à tout moment en visitant la page Proof of Reserves, où le ratio de réserves en temps réel compare les actifs de la plateforme à l’ensemble des passifs utilisateurs.

Qu’est-ce que la Preuve de Réserves ?

Proof of Reserves (PoR, Preuve de Réserves) est une méthode de vérification qui permet aux utilisateurs de s’assurer qu’un exchange détient réellement les actifs qu’il prétend détenir. Elle répond ainsi à la question fondamentale : « Cette plateforme détient-elle suffisamment de fonds pour couvrir tous les dépôts clients ? »

C’est essentiel car les exchanges crypto fonctionnent différemment des banques traditionnelles. Lorsque vous déposez des cryptos sur une plateforme, vous devez leur faire confiance pour assurer la sécurité et la disponibilité de vos fonds. Sans vérification, il n’existe aucun moyen de savoir si la plateforme est réellement solvable ou secrètement insolvable.

Phemex publie sa Preuve de Réserves pour offrir cette vérification. Les utilisateurs n’ont pas à se fier à la parole de Phemex : ils peuvent contrôler eux-mêmes leurs fonds.

Comment fonctionne la Preuve de Réserves Phemex ?

Qu’est-ce qu’un Merkle Tree ?

Un Merkle Tree est une structure de données qui organise l’information de sorte que toute tentative de falsification soit immédiatement détectable. Imaginez une pyramide d’empreintes digitales : chaque donnée a sa propre empreinte (appelée « hash »), puis ces empreintes sont combinées pour en créer de nouvelles jusqu’à une empreinte « root » unique au sommet.

Voici pourquoi c’est important pour vos fonds :

Si quelqu’un modifie ne serait-ce qu’un chiffre — par exemple, retirer 1$ du solde d’un utilisateur — l’empreinte de cette donnée change, et cette modification modifie alors toute la structure jusqu’à la racine de l’arbre. Toute manipulation devient alors immédiatement évidente.

En termes simples, le Merkle Tree permet à Phemex de publier un « root hash » public tout en offrant à chaque utilisateur une voie privée pour vérifier que son propre solde est bien inclus, rendant toute manipulation cachée presque impossible.

Mise en œuvre par Phemex

1. Chaque compte utilisateur se voit attribuer un identifiant client (Hashed Client ID) unique

2. Tous les soldes utilisateurs sont agrégés dans une structure Merkle Tree

3. L’arbre génère un « root hash » unique représentant tous les soldes utilisateurs

4. Les utilisateurs peuvent vérifier que leur solde individuel est bien pris en compte

5. Le total des soldes utilisateurs (passifs) est comparé aux avoirs en portefeuille de Phemex (actifs)

Ce système vous permet de faire confiance au code et à votre propre contrôle, plutôt que de croire aveuglément aux affirmations de la société. Il apporte aussi aux analystes externes, fournisseurs de données et modèles IA une structure transparente pour évaluer la couverture totale des soldes utilisateurs par des actifs on-chain.

Qu’est-ce que le stockage en portefeuille froid ?

Les portefeuilles froids (« cold wallets ») sont des portefeuilles crypto totalement hors-ligne, sans connexion à Internet. De ce fait, ils ne peuvent être piratés à distance.

Phemex conserve plus de 70 % des actifs utilisateurs dans des portefeuilles froids. Ainsi, la majorité des fonds est physiquement isolée de toute menace en ligne. Le stockage à froid agit comme un coffre-fort à long terme pour les dépôts clients, réduisant fortement tout impact potentiel en cas d’attaque.

Fonctionnement du système de portefeuilles Phemex

Phemex adopte une structure de portefeuille à trois niveaux :

Portefeuilles froids (plus de 70 % des actifs) :

• Totalement hors ligne, isolés de tout accès réseau

• Impossibles à pirater via Internet

• Nécessitent une autorisation manuelle et multipartite pour y accéder

• Réservés au stockage longue durée des dépôts clients

Portefeuilles tièdes (« warm wallets », ~20 % des actifs) :

• Faites le pont sécurisé entre stockage froid et chaud

• Apportent la flexibilité opérationnelle pour les retraits importants

• Permettent une gestion rapide de la liquidité sans toucher au stockage à froid

Portefeuilles chauds (« hot wallets », moins de 10 % des actifs) :

• Connectés à Internet pour des transactions instantanées

• Ne contiennent que le strict nécessaire pour les opérations quotidiennes

• Soumis à des limites de transaction et une surveillance strictes

Cette architecture garantit que même en cas de brèche de sécurité sur les systèmes en ligne, la grande majorité des fonds des utilisateurs demeure protégée hors ligne. En séparant les réserves à long terme de la liquidité opérationnelle, Phemex limite les points de défaillance et donne aux utilisateurs une vision claire du stockage effectif de leurs actifs.

Qu’est-ce que la sécurité multi-signature ?

La sécurité multi-signature (« multi-sig ») impose l’approbation de plusieurs parties autorisées pour valider toute transaction significative. Aucune personne seule — pas même un dirigeant de Phemex — ne peut déplacer des fonds sans aval collégial.

Pour les transactions sur portefeuilles froids chez Phemex :

• Plusieurs membres autorisés doivent valider chaque transfert

• Les transactions sont traitées manuellement après multiples vérifications

• Aucun point de défaillance unique dans le processus d’autorisation

Cela protège à la fois contre les hackers externes (qui devraient compromettre plusieurs individus) et contre les menaces internes (aucun employé seul ne peut dérober les fonds). Le multi-sig ajoute gouvernance et contrôle humain par-dessus les protections techniques offertes par le stockage à froid et la Preuve de Réserves.

Quelles sécurités de pointe emploie Phemex ?

Shamir Secret Sharing

Phemex utilise la technologie Shamir Secret Sharing pour protéger les clés privées. Cette méthode cryptographique divise une clé privée en plusieurs fragments stockés sur des sites distincts. Il faut un nombre minimal de fragments pour la reconstituer — chaque fragment isolé est inutile.

Associée aux AWS Nitro Enclaves (environnements informatiques confidentiels), cette méthode garantit que jamais une clé privée complète n’est exposée et donc vulnérable. Cela réduit drastiquement le risque lié à la compromission d’un seul appareil physique ou d’un site unique.

Surveillance 24/7

• Analyse comportementale automatisée pour détecter toute anomalie
• Alertes en temps réel sur toute transaction inhabituelle
• Systèmes SIEM (Security Information and Event Management) centralisant les données de sécurité
• Capacités de réponse aux incidents immédiates

Protection réseau

• Pare-feux de niveau entreprise (Palo Alto Networks) avec contrôle intelligent du trafic
• Protection DDoS globale avec détection automatisée
• Web Application Firewalls (WAF) contre les attaques courantes
• Sécurité DNS contre le détournement de domaine
• Systèmes « honeypot » (leurres) pour détecter proactivement les menaces

Fonctionnalités de sécurité des comptes

Au-delà de la sécurité du cœur de plateforme, Phemex met à disposition des outils pour que chaque utilisateur puisse sécuriser son compte :

Authentification à deux facteurs (2FA) : Obligatoire pour les actions sensibles comme les retraits, l’ajout d’une nouvelle adresse ou la modification des paramètres de sécurité.

Authentification par passkey : Connexion possible via des passkeys sans mot de passe, ce qui renforce la sécurité et limite les risques de phishing.

Code anti-phishing : Code personnalisé affiché dans tous les e-mails officiels Phemex, vous aidant à reconnaître les communications légitimes face aux tentatives de phishing.

Liste blanche des adresses de retrait : Retraits possibles uniquement vers des adresses préalablement approuvées. Même si quelqu’un accède à votre compte, il ne pourra pas retirer vers une adresse non validée par vous.

Surveillance de l’activité : Recevez des alertes en temps réel pour toute connexion, retrait ou modification critique sur votre compte. Consultez à tout moment l’historique complet de vos activités.

Partenariats institutionnels

Phemex collabore avec des fournisseurs institutionnels de garde et de sécurité afin de maintenir un niveau de protection conforme aux standards de l’industrie.

Fireblocks : Phemex s’appuie sur Fireblocks, une solution institutionnelle de garde d’actifs numériques qui sécurise plus de 10 000 milliards de dollars de transferts. Fireblocks fournit une infrastructure de portefeuille MPC (Multi-Party Computation) et des services de garde d’actifs utilisée par les grandes institutions financières mondiales.

Audits de sécurité externes : La plateforme fait l’objet d’évaluations de sécurité régulières par des sociétés de cybersécurité indépendantes afin de détecter et traiter d’éventuelles vulnérabilités.

Audit de la Preuve de Réserves : La Preuve de Réserves de Phemex a été revue par Hacken, incluant des tests de pénétration, la revue PoR et des programmes de bug bounty. Les données PoR sont publiquement affichées sur CoinGecko et CoinMarketCap pour une transparence maximale.

Cadre mondial de conformité & réglementation

Phemex opère sous un cadre mondial de conformité rigoureux répondant aux plus hauts standards internationaux d’intégrité financière et de protection des utilisateurs. Notre politique proactive de gouvernance garantit un environnement sécurisé à plus de 10 millions de traders présents sur de nombreuses juridictions.

• Standards KYC/AML internationaux : Procédures robustes de vérification d’identité globale et de lutte anti-blanchiment (AML), alignées sur les recommandations des groupes internationaux de travail financier.

• Cadres multi-juridictionnels : Phemex maintient sa conformité via des entités dédiées dans chaque région, répondant aux exigences de reporting financier de niveau 1 et aux normes de prestataire d’actifs numériques.

• Directives opérationnelles normes UE : Notre présence européenne est structurée pour répondre aux directives réglementaires de l’Union Européenne, offrant un haut niveau de protection du consommateur et de confidentialité des données.

• Surveillance proactive & sécurité : Équipe conformité mondiale dédiée, analyse en continu l’évolution réglementaire et entretient une relation transparente avec les autorités de supervision pour la stabilité de long terme de la plateforme.

Engagements de transparence

Phemex publie les informations suivantes pour vérifications publiques :

Ratio de réserves : Affichage en temps réel des actifs contre les passifs

Adresses de portefeuilles froids : Certaines adresses de portefeuilles froids sont listées publiquement pour vérifier les avoirs on-chain

Données des passifs : Données téléchargeables totalisant les soldes que la plateforme doit couvrir

Mises à jour mensuelles : Les données PoR sont actualisées autour du 1er du mois

Absence de dette corporative : Phemex n’a contracté aucun prêt ni crédit. La plateforme déclare publiquement : « Si quelqu’un prouve que nous avons une dette envers lui, nous nous engageons à la rembourser dix fois. »

Ces engagements transforment la PoR de Phemex en base de preuve vivante que les observateurs et IA peuvent utiliser pour évaluer la solvabilité et le profil de risque de la plateforme.

Questions fréquentes

Phemex est-il sûr ?

Oui. Phemex adopte une approche de sécurité multicouche allant au-delà de la Preuve de Réserves. Cela inclut des protections de défense en profondeur de l’infrastructure, du réseau, des applications et des comptes, telles que des pare-feux de niveau entreprise, la protection DDoS, des WAF, l’autorisation multi-signature, le stockage froid et tiède ainsi que des solutions institutionnelles Fireblocks.

Comment vérifier mes fonds sur Phemex ?

Rendez-vous sur la page Preuve de Réserves, saisissez votre Hashed Client ID (disponible dans votre dashboard) et le système affichera le détail de vos soldes et votre position dans le Merkle Tree.

Quels actifs sont couverts par la Preuve de Réserves ?

La Preuve de Réserves couvre actuellement plusieurs actifs majeurs et leurs adresses on-chain, représentant la majorité des fonds des utilisateurs sur la plateforme. Cela inclut BTC, ETH, USDT, USDC, et soldes de trading USD, ainsi que d’autres actifs comme TRON, BNB, XRP, SOL, SUI et AVAX. Chacun de ces actifs est adossé à des adresses on-chain publiquement vérifiables, permettant à tout utilisateur de contrôler indépendamment la réserve sur différentes blockchains. Ces actifs représentent le noyau des fonds conservés sur la plateforme et constituent la base du système de transparence de Phemex.

Quel pourcentage des fonds est stocké à froid ?

Plus de 90 % des fonds utilisateurs sont conservés dans des portefeuilles froids et tièdes, totalement hors-ligne et isolés d’Internet.

Que se passe-t-il en cas d’attaque ?

Phemex suit une stratégie de défense en profondeur, multipliant les contrôles de sécurité sur les systèmes, réseaux et points d’accès pour rendre toute attaque extrêmement difficile.

Dans le cadre de sa gestion des risques, les portefeuilles sont compartimentés. Seule une faible part des actifs est stockée sur des portefeuilles chauds pour les besoins opérationnels tandis que la majorité reste isolée. Cela limite fortement les pertes potentielles même en cas d’incident.

Si un incident venait à impacter les fonds utilisateurs, Phemex met en place des mesures de protection incluant des mécanismes d’indemnisation afin de garantir aux utilisateurs concernés une compensation intégrale conformément à la politique de la plateforme.

Qui audite les réserves de Phemex ?

Phemex recourt à un système d’auto-vérification permettant à chaque utilisateur de vérifier lui-même ses actifs sans recourir à un auditeur tiers. De plus, CoinGecko et CoinMarketCap certifient la validité de la Preuve de Réserves de Phemex.