Sécurité et gouvernance

Les deux contrats de Bernuvia sur Polygon, le séquestre des achats et la facturation de l'abonnement, sont administrés par un portefeuille multisignature 2 sur 3 : 0x87b6E96a3f64e01a9523ea5C5FCef9008800bfAc. Rien n'en sort avec une seule signature.

• Le même portefeuille multisignature tranche les litiges, peut mettre les contrats en pause et reçoit la commission.
• Le seul rôle séparé est l'opérateur qui prélève l'abonnement du vendeur, et il ne peut prélever que dans la limite signée par le vendeur et toujours vers la trésorerie.
• Les titulaires de chaque rôle sont publics : ils se lisent sur l'explorateur, aux mêmes adresses.

Tout ce qui peut changer les règles ou déplacer l'argent de la trésorerie passe par la multisignature. Avec deux signatures sur trois :

• Trancher un litige, c'est-à-dire fixer la répartition entre acheteur et vendeur.
• Prolonger un litige de 30 jours, une seule fois.
• Mettre en pause et relancer les contrats.
• Proposer et appliquer un changement de trésorerie ou de commission.
• Accorder ou retirer n'importe quel rôle.

Deux changements ne peuvent pas être appliqués dans le bloc même où ils sont proposés :

• La trésorerie (la destination de la commission) et le pourcentage de commission se proposent puis attendent 48 heures avant de pouvoir s'appliquer.
• La proposition est visible par tous pendant l'attente, expire au bout de 7 jours si personne ne l'applique, et peut être annulée.
• La passation de l'administrateur se fait en deux étapes, avec un délai de 3 jours, pour qu'une faute de frappe ne laisse pas le contrat entre de mauvaises mains.
• L'administrateur ne peut pas renoncer à sa charge : le contrat ne peut pas rester sans gouvernance.

Ce ne sont pas nos promesses : ce sont des limites écrites dans le contrat, et elles se vérifient en lisant le code vérifié.

• Envoyer l'argent d'un achat ailleurs. Il ne peut aller qu'au vendeur, commission déduite, ou revenir à l'acheteur.
• Balayer l'argent. Il n'existe aucune fonction de sauvetage sur le principal, et l'excédent ne peut aller qu'à la trésorerie.
• Bloquer tes encaissements. Chacun retire ce qui lui revient quand il veut, et une adresse bloquée n'en bloque aucune autre.
• Ouvrir ou retirer un litige à ta place. Le litige appartient au seul acheteur.
• Prendre une commission sur ta part dans un litige. La commission ne sort jamais du remboursement de l'acheteur, et elle est nulle si le remboursement est intégral.

Le contrat de séquestre a passé un audit interne adversarial avant d'aller sur le réseau principal, puis une seconde revue interne en septembre 2026, les contrats déjà en production. De cette seconde revue est sortie la version 2, celle qui garde l'argent aujourd'hui.

• Juillet 2026 : trois revues adversariales avec des angles différents (fonds et réentrance ; contrôle d'accès et signatures ; machine à états), analyse statique et une batterie de tests sous Hardhat.
• Septembre 2026 : douze angles indépendants en quatre tours sur les contrats déjà déployés, avec des invariants de conservation vérifiés sur 1 600 opérations aléatoires et 662 cas de test.
• Avant de déployer la version 2 : trois angles adversariaux de plus sur son code, avec les preuves de concept converties en régressions, de sorte que si quelqu'un défait un correctif, la batterie passe au rouge.
• Le constat élevé de septembre, à savoir que celui qui ouvrait un litige pouvait annuler une résolution déjà approuvée, est corrigé en version 2 : le litige appartient au seul acheteur, le retirer ne renouvelle pas le délai, et le rouvrir n'est possible que tant que le délai d'origine est encore vivant.

Si tu trouves une faille de sécurité, nous voulons le savoir avant tout le monde.

1. 1Écris-nous via le formulaire de contact avec « Sécurité » en objet : ce que tu as trouvé, comment le reproduire et quel impact cela a.
2. 2Si tu as un compte, le bouton Signaler un bug de ton tableau de bord arrive à la même équipe et reste rattaché à toi.
3. 3Nous confirmons la réception et te disons quand c'est corrigé.