• Le 30 octobre, le président de la CFTC, Michael Selig, a proposé l’enregistrement fédéral volontaire des plateformes d’échange de cryptomonnaies.

• La cyberattaque contre Binance du 29 octobre aurait entraîné le vol d’environ 6,3 milliards de dollars en cryptomonnaies.

• Binance et ses partenaires ont gelé environ 3 milliards de dollars d’actifs après le vol.

Une option fédérale pour les plateformes offshore

Les quelque 6,3 milliards de dollars qui auraient été dérobés à Binance lors de la cyberattaque de jeudi ont déclenché à Washington un débat sur l’autorité qui devrait superviser les grandes plateformes d’échange de cryptomonnaies, et sur la manière de le faire. Vendredi 30 octobre, dans une interview télévisée, le président de la Commodity Futures Trading Commission (CFTC), Michael Selig, a déclaré vouloir offrir aux plateformes offshore une option fédérale à laquelle elles pourraient adhérer volontairement, deux jours après l’intrusion du 29 octobre. « Nous voulons offrir à ces plateformes une option fédérale, afin qu’elles puissent venir s’enregistrer auprès de la CFTC », a déclaré Selig. Selon sa proposition, les plateformes admissibles seraient soumises à une supervision fédérale portant sur les normes de cybersécurité, la lutte contre la manipulation des marchés, la protection des clients et les garanties de conservation des actifs. La faiblesse structurelle du projet réside dans son application : sans nouveaux pouvoirs accordés par le Congrès, l’agence ne peut contraindre aucune plateforme offshore à s’enregistrer. Cette proposition s’appuie sur une initiative publiée par la CFTC le 5 octobre. Dans son communiqué décrivant l’avis préalable, l’agence présente des règles adaptées qu’elle envisage d’appliquer à certaines opérations de détail sur cryptomonnaies à effet de levier, sur marge et financées. La période de consultation publique court jusqu’au 14 décembre. Selig a clairement exposé le fossé entre les plateformes nationales et offshore : selon lui, les plateformes offshore non réglementées n’appliquent pas les mesures de protection qui sont la norme sur les marchés financiers américains. Il a également précisé la nature du problème technique. La plupart des pertes liées aux cyberattaques dans le secteur touchent, selon lui, des systèmes périphériques plutôt que les blockchains elles-mêmes, et l’incident chez Binance pourrait être lié à une vulnérabilité provenant d’un ordinateur portable. Les cryptomonnaies volées circulent rapidement et peuvent être dissimulées à l’aide de mélangeurs, des services qui regroupent et brassent les fonds pour en masquer l’origine. Toutefois, Selig a indiqué que les registres des transactions sur la chaîne permettent toujours aux enquêteurs de suivre les mouvements de fonds. La réponse concrète a déjà commencé. Binance et ses partenaires ont gelé environ 3 milliards de dollars d’actifs, soit près de la moitié des pertes estimées, et la plateforme s’est engagée à rétablir les soldes des clients touchés.

Lummis critique le blocage du CLARITY Act

La sénatrice républicaine du Wyoming Cynthia Lummis estime que le Congrès a déjà eu l’occasion de donner des moyens d’action aux intervenants, mais qu’il l’a laissée passer. Selon son interprétation, le CLARITY Act aurait accordé aux entreprises une protection juridique leur permettant de geler des transactions suspectes à la demande des forces de l’ordre, exactement le genre d’outil qui compte dans les heures suivant un vol de cette ampleur. Le projet de loi a échoué à un vote de procédure au Sénat le 15 septembre, faute d’obtenir les 60 voix nécessaires pour poursuivre son examen, et il n’a pas été réinscrit à l’ordre du jour depuis. Il reste un texte législatif proposé, et non une règle définitive ; tant qu’il n’aura pas franchi un nouveau vote, aucune de ses dispositions n’aura force de loi. « Chaque minute perdue représente une perte qui ne pourra jamais être récupérée », a écrit Lummis dans une publication sur X le 30 octobre. Cette affirmation a suscité une réplique d’Amanda Fischer, du groupe de défense des consommateurs Better Markets, qui a soutenu que les mécanismes existants autorisent déjà les gels volontaires et que la proposition ne changerait rien à ces pratiques. Lummis lui a répondu sur la même plateforme en évoquant les dispositions du projet de loi concernant les prestataires de services sur actifs numériques réglementés, qui, selon elle, leur auraient accordé des pouvoirs supplémentaires tout en réduisant leur exposition juridique. « Aucune loi ne peut arrêter tous les acteurs malveillants, mais le CLARITY Act aurait donné à ceux qui les combattent de meilleurs outils et la possibilité d’agir plus vite. Votre parti a voté contre et doit en répondre », a-t-elle écrit en s’adressant à Fischer par son nom. Le désaccord entre les deux camps est d’ordre juridique, et non technique. Fischer estime que les pouvoirs actuels de gel sont suffisants ; Lummis veut une protection légale afin que les prestataires de services puissent agir plus vite sans s’exposer au risque de responsabilité qu’entraîne un gel prématuré. Selon les deux interprétations, le projet de loi n’aurait rien changé à l’intrusion elle-même : aucun des textes soumis au Congrès ne portait sur la sécurité opérationnelle de l’infrastructure des plateformes d’échange, la faille que, selon Selig, les attaquants ont très probablement exploitée.

Les fonds gelés couvrent la moitié des pertes

Aucune des deux pistes proposées cette semaine ne change la situation des fonds volés. Le cadre proposé par Selig est soumis à une période de commentaires qui prend fin le 14 décembre ; il ne lie aujourd’hui aucune plateforme d’échange et, de son propre aveu, ne peut devenir obligatoire sans l’intervention du Congrès. La voie législative nécessite les mêmes 60 voix au Sénat qu’elle n’a pas obtenues en septembre. Le seul changement est unilatéral : les quelque 3 milliards de dollars que Binance a gelés avec ses partenaires représentent moins de la moitié des 6,3 milliards estimés dérobés, et la promesse d’indemniser les clients dépend de la récupération des actifs ou du fait que la plateforme assume elle-même les pertes. Les plateformes enregistrées aux États-Unis, comme Coinbase Global, sont déjà soumises à la supervision américaine, un statut que Selig souhaite voir les plateformes offshore pouvoir choisir. Ses propres propos soulèvent la question plus difficile : l’enregistrement aurait-il changé quoi que ce soit à une défaillance opérationnelle, une vulnérabilité au niveau d’un ordinateur portable, contre laquelle aucune liste de contrôle liée à l’enregistrement ne peut offrir de garantie ?