Coincheck : des centaines de millions disparaissent d’un portefeuille connecté

En janvier 2018, la plateforme japonaise Coincheck découvre qu’une très importante réserve de NEM a été transférée sans autorisation. Ses documents d’entreprise ultérieurs comptabilisent 526,3 millions de jetons NEM, soit 46,6 milliards de yens de fonds clients perdus. Les conversions en dollars publiées à l’époque varient.

Les jetons sont conservés dans un portefeuille connecté aux systèmes opérationnels, couramment appelé portefeuille chaud. Ce choix facilite les opérations quotidiennes, mais il expose les moyens de transfert à une compromission du système qui les utilise. Le problème n’est pas que le protocole NEM aurait cessé de fonctionner.

La découverte des sorties conduit Coincheck à suspendre des services et à enquêter. Les analyses publiques situent la faiblesse dans la garde des actifs et la sécurité des accès. Elles ne permettent pas de transformer chaque scénario d’infection évoqué dans la presse en mécanisme définitivement prouvé.

L’agence japonaise de régulation inspecte l’entreprise et exige des améliorations. Coincheck annonce puis met en œuvre une indemnisation en yens. Le calcul de cette compensation devient lui-même un sujet de contestation : rembourser une valeur calculée à un instant donné n’équivaut pas nécessairement à rendre exactement les mêmes jetons.

Monex acquiert Coincheck en 2018 et l’entreprise décrit une refonte de ses contrôles et de sa gouvernance. L’existence de poursuites et de transactions suspectes ne suffit pas à attribuer publiquement tout le vol à un individu déterminé.

Cette histoire révèle un déplacement essentiel du risque. On peut utiliser une blockchain sans que celle-ci soit piratée, tout en perdant les actifs confiés à l’intermédiaire qui les conserve.