• CertiK préconise de fixer les plafonds au plus strict de trois seuils, dont un plafond de pertes absolu.

• Gate conserve 88,26 % de ses actifs à froid ; Coinbase en garde plus de 99 % hors ligne.

• Seuils réglementaires de stockage à froid : Corée du Sud, 80 % ; Singapour, 90 % ; Japon, 95 % ; Hong Kong, 98 %.

Plafonds stricts en dollars plutôt que ratios de stockage

La société de sécurité CertiK a recommandé aux plateformes d’échange de cryptomonnaies d’imposer des plafonds fixes en dollars aux fonds conservés dans leurs portefeuilles chauds, estimant que les seuls pourcentages de stockage à froid ne donnent pas une image complète de la sécurité d’une plateforme. Cette proposition intervient quelques jours après la faille record de Binance, qui a visé les portefeuilles en ligne de la plateforme et entraîné des pertes d’environ 6,3 milliards de dollars, alors que de nombreuses plateformes publient leurs ratios de stockage à froid pour rassurer les clients en leur indiquant que la plupart des fonds sont hors de portée des pirates en ligne. Gate a placé 88,26 % de ses actifs totaux en stockage à froid, tandis que Coinbase a indiqué que plus de 99 % des actifs de ses clients étaient conservés hors ligne, selon un modèle de conservation reposant sur une infrastructure de portefeuilles matériels. L’équipe de recherche de CertiK a déclaré que le stockage à froid constituait un indicateur utile de l’exposition en ligne, mais qu’il ne pouvait remplacer une évaluation complète de la sécurité. Selon CertiK, même un pourcentage élevé peut coexister avec une somme importante conservée en ligne, et c’est cette somme qu’un attaquant peut atteindre. D’après la société, des ratios de stockage plus élevés réduisent généralement l’exposition en ligne, mais les avantages s’amenuisent à des niveaux très élevés, et les quotas rigides ont leurs propres coûts : ils peuvent ralentir les retraits, précipiter les transferts et concentrer les risques dans les systèmes de gestion des clés. Plutôt que de fixer des objectifs en pourcentage, CertiK souhaite que chaque plateforme définisse un plafond pour ses portefeuilles chauds, par actif et par blockchain, correspondant au plus strict de trois seuils : une part déterminée des engagements envers les clients, la demande estimée de retraits et un plafond de pertes absolu, établi en fonction des finances de l’opérateur et de sa capacité de rétablissement. La liquidité nécessaire aux opérations doit rester flexible, a déclaré la société, tandis que des plafonds stricts en dollars et des coupe-circuits limiteraient les pertes potentielles. Les règles nationales divergent déjà sur la question des ratios : la Corée du Sud exige qu’au moins 80 % de la valeur des actifs des clients soient conservés à froid ; les directives de Singapour préconisent 90 %, le cadre japonais 95 %, et le seuil de base de Hong Kong pour les plateformes de négociation agréées est de 98 %. CertiK a présenté ce changement comme un déplacement de la question : au lieu de se demander où se trouvent les actifs, il s’agit de déterminer combien une plateforme peut perdre lors d’un seul incident.

Binance reconstitue 98 % des jetons piratés

Binance affirme avoir reconstitué environ 98 % des jetons dérobés lors de l’attaque de la semaine dernière et qu’elle prendra à sa charge la perte restante. Cette annonce est intervenue quelques jours après l’incident, la plateforme s’étant engagée à combler le manque sur ses propres fonds. Dans un point sur le rétablissement publié mercredi, la plateforme a indiqué que les jetons encore manquants se négocient avec une liquidité plus faible et seront plus longs à obtenir, ce qui laisse pour l’instant une petite partie du déficit à combler. L’annonce ne précise ni les actifs encore manquants ni la date à laquelle ils seront restitués. La faille a visé les portefeuilles en ligne de Binance, la même couche de conservation que CertiK souhaite désormais plafonner. Le chiffre annoncé pour les jetons reconstitués donne une première indication de la part des pertes que la plateforme a pu récupérer en une semaine environ. L’attention s’est entre-temps portée sur la destination des fonds volés. Elliptic, une société d’analyse de la blockchain, a suivi environ 430 000 dollars transitant par six jetons récemment lancés sur le réseau NEAR. Selon elle, des pirates liés à la Corée du Nord utilisent le lancement de memecoins pour créer des marchés où écouler les actifs volés. Ces jetons ont été lancés avec de nouveaux pools de liquidité, que les acteurs ont ensuite utilisés pour transférer de la valeur entre différentes adresses. Elliptic a précisé que son traçage couvre les mouvements qui ont pu être suivis sur la blockchain jusqu’à présent et qu’elle n’a pas publié d’estimation du montant total transféré. Les pools de liquidité — des réserves d’actifs permettant aux plateformes d’échange décentralisées d’apparier les transactions sans mise en relation directe d’un acheteur et d’un vendeur — ont compliqué le suivi des transferts entre portefeuilles, même si les transactions restent traçables sur la blockchain. L’attaque et les premières déclarations sur la reconstitution des fonds ont toutes deux eu lieu la semaine dernière. Le point publié mercredi précise la situation des 2 % restants. Binance n’a pas indiqué quand les jetons manquants seront restitués.

Ce que change le cadre de plafonnement

Considérés ensemble, ces deux éléments vont dans le même sens : les ratios publics de stockage à froid deviennent un indicateur rassurant plutôt qu’une mesure du risque. La recommandation de CertiK, document central dans ce débat, rejette explicitement l’idée d’une évaluation fondée sur un ratio unique et demande aux plateformes d’échange de chiffrer la perte maximale qu’elles peuvent tolérer. Cette exigence pèserait le plus lourd sur les plateformes qui affichent aujourd’hui les pourcentages de stockage les plus élevés. La piste des 430 000 dollars sur NEAR est modeste au regard de la faille de 6,3 milliards de dollars, mais elle montre que les fonds ont transité par de nouveaux marchés de jetons en quelques jours. C’est donc le montant absolu des avoirs en ligne, et non leur part en pourcentage, qui détermine l’ampleur des pertes qu’un incident peut entraîner. Les plateformes qui communiquent leurs ratios sans fixer de plafonds en dollars laissent ce montant dans le flou.