Coincheck : un cyber-casse à 400 millions d’euros en crypto-monnaie

Sincèrement désolés, nous vous rembourserons.

C’est, en substance, le message que Coincheck fait passer à 260 000 clients qui détenaient des XEM.

523 millions d’unités de cette crypto-monnaie ont fait l’objet d’un « transfert illicite », pour reprendre les propos de la plate-forme d’échange basée au Japon.

Il était environ 3 h du matin sur place vendredi 26 janvier (la journée de jeudi n’était donc pas terminée à Paris ; il était 19 h) quand l’événement est survenu. Un XEM valait environ 0,9319 dollar.

Sur la base de ce taux de change, le butin s’élève à un peu plus de 487 millions de dollars… ou près de 390 millions d’euros, là aussi selon le cours d’alors.

Coincheck a affirmé, lors d’une conférence de presse, que les XEM avaient un statut « particulier » par rapport aux autres crypto-monnaies.

Ils étaient, en l’occurrence, stockés sur un portefeuille peu sécurisé qui, d’une part, ne se trouvait pas hors ligne* (il s’agissait donc d’un « hot wallet » et non d’un « cold wallet », contrairement à ce que la plate-forme pratique avec l’ether) et, de l’autre, n’était pas protégé par un système de multisignature (dont bénéficie notamment le bitcoin). De quoi faciliter le travail de qui en trouverait la clé privée.

Remboursez

Une fois l’engrenage lancé, Coincheck a suspendu ses services un à un : d’abord le dépôt de XEM, puis leur achat-vente et enfin leur retrait… étendu peu après à l’ensemble des devises, y compris fiduciaires.

Le lendemain (27 janvier), l’API de paiement – permettant aux commerçants d’accepter les bitcoins avec une commission de 1 % – a également été suspendue, tout comme le dépôt de toutes devises, à l’exception du yen.

L’annonce du remboursement est tombée dimanche. Coincheck a alors déclaré compter puiser dans ses fonds propres sur la base du taux de change  moyen affiché par Zaif (principale plate-forme en volume d’échange de XEM) sur une période de 36 heures débutant à la suspension des achats de XEM.

Au taux calculé de 1 XEM pour 88,549 yens, cela donne environ 344 millions d’euros à rembourser. Reste à préciser les modalités du dispositif de réclamation et l’échéance de sa mise en place.

Pas de hard fork

L’incident a été, selon le quotidien économique Nikkei, rapporté le jour même aux forces de polices, ainsi qu’à la FSA (Financial Services Agency, régulateur des marchés financiers), auprès de laquelle Coincheck n’est pas enregistré.

Cette dernière a demandé en conséquence, l’adoption de plusieurs mesures parmi lesquelles un renforcement de la sécurité de la plate-forme et une clarification des responsabilités en cas de problème. Un rapport sur l’avancée de l’enquête doit lui être communiqué au plus tard le 13 février. En l’état, la cause de l’incident n’est toujours pas officiellement connue.

L’équipe de développement de la blockchain NEM*, sur laquelle circulent les XEM (10e crypto-monnaie en termes de capitalisation, à environ 8,5 milliards de dollars selon CoinMarketCap), aurait pu résoudre le problème en réalisant un hard fork, comme celui qui avait permis aux lésés de The DAO de récupérer leurs bitcoins.

Elle en a décidé autrement, la faute incombant à Coincheck dans ce dossier. Ses membres ont néanmoins décidé de créer un dispositif permettant de repérer tous les comptes vers lesquels des XEM seraient transférés.

* Pour « New Economy Movement ». Écrite en Java, lancée en 2015 et régie par un système de consensus de type « Proof-of-importance » (basé sur la quantité de crypto-monnaie possédée, ainsi que sur la quantité et la qualité des transactions effectuées).

Crédit photo : TruShu via Visualhunt / CC BY-NC