• Coinbase détenait 377 milliards de dollars d’actifs de ses clients sur sa plateforme à la fin du mois de septembre.

• Selon la plateforme, plus de 99 % des cryptomonnaies des clients de Coinbase sont conservées hors ligne, en stockage à froid.

• Le 29 octobre, Binance a perdu 6,3 milliards de dollars à la suite de demandes de retrait frauduleuses, et non de clés dérobées.

Le dispositif de conservation de 377 milliards de dollars de Coinbase

Mercredi, Coinbase a publié un compte rendu complet de ses dispositifs de protection des actifs en conservation, confirmant que plus de 99 % des cryptomonnaies de ses clients sur sa plateforme sont conservées hors ligne, à l’abri des attaques provenant d’Internet. Cette révélation intervient quelques jours après le vol de 6,3 milliards de dollars chez Binance, une plateforme concurrente, qui a replacé la sécurité des plateformes d’échange au cœur de l’attention des marchés. Coinbase présente cette initiative comme sa réponse directe à cette faille.

Le dernier rapport trimestriel de la société indique que 377 milliards de dollars d’actifs étaient détenus sur la plateforme à la fin du mois de septembre. Dans sa publication officielle sur la sécurité, la plateforme précise que cet argent appartient aux clients, et non à l’entreprise. « Coinbase ne prête ni n’utilise ces actifs, sauf si les clients nous le demandent », peut-on lire dans la publication. Sa comptabilité distingue les 377 milliards de dollars des 8,6 milliards de dollars en espèces et des 2,2 milliards de dollars en cryptomonnaies détenus par l’entreprise. Coinbase, qui fait partie du S&P 500 et est cotée au Nasdaq sous le symbole COIN, met également en avant son statut réglementaire : sa branche américaine de conservation exerce en qualité de dépositaire qualifié et de fiduciaire sous la supervision du régulateur bancaire de l’État de New York, tandis qu’au Luxembourg, le régulateur financier supervise les activités de l’entreprise en Europe dans le cadre du règlement européen sur les marchés de crypto-actifs. Les contrôles externes sont également mis en avant : la plateforme affirme avoir été l’un des premiers dépositaires de cryptomonnaies à réussir les examens SOC 1 et SOC 2 de type II, des audits qui vérifient l’efficacité réelle des contrôles de sécurité. Ces dispositifs relèvent de Jeff Lunglhofer, responsable de la sécurité, qui dirigeait auparavant la sécurité informatique chez BNY. Dans une publication parue mercredi, Coinbase a confirmé officiellement ces mesures, qualifiant la conservation sécurisée d’activité quotidienne et citant une couverture à 1:1, la répartition des clés et l’absence de point de défaillance unique. Le bilan n’est toutefois pas irréprochable : en 2025, des criminels ont soudoyé des agents du service client à l’étranger pour obtenir des données de clients, un incident qui pourrait coûter jusqu’à 400 millions de dollars à l’entreprise, selon son estimation. Une étude citée dans la même publication estime également que Coinbase conserve environ 84 % des actifs des ETF américains au comptant sur le bitcoin.

Comment les pirates de Binance ont procédé

Le propre récit de Binance concernant la faille explique pourquoi Coinbase a choisi ce moment. La plateforme affirme que l’attaque de 6,3 milliards de dollars a commencé par un faux entretien d’embauche : le 29 octobre, des intrus ont accédé aux ordinateurs portables d’employés et soumis de fausses demandes de retrait via le système. Les clés privées n’ont jamais été touchées ; c’est plutôt le mécanisme d’approbation qui signe les retraits qui a été trompé. Le même procédé a été utilisé lors des vols chez Bybit et Bitget signalés le 1er novembre : dans chaque cas, les attaquants ont piégé le système d’approbation de la plateforme pour lui faire signer des transferts, au lieu de dérober une clé.

L’architecture de Coinbase est conçue pour contrer précisément ce type d’attaque. Chaque clé privée est divisée en fragments stockés sur des machines distinctes, selon une méthode appelée calcul multipartite. L’entreprise développe également ses logiciels de sécurité en interne, tandis que les failles de Bybit et de Bitget sont passées par des prestataires externes. Des analystes de la chaîne estiment que le vol d’un ordinateur portable de Coinbase ne révélerait qu’un fragment de clé inutilisable, et que la plateforme évite le problème du pot de miel en répartissant ses avoirs sur 69,8 millions d’adresses distinctes, plutôt qu’en les regroupant dans quelques portefeuilles actifs connectés à Internet. Les autorités de régulation passent aussi à l’action. Lundi, la Commission des services financiers de Corée du Sud a exhorté les plateformes nationales à conserver hors ligne plus que le minimum légal de 80 % et envisage de porter ce seuil à environ 99 %, selon News1. De son côté, Herald Business a indiqué qu’Upbit en conservait déjà 99,17 %. La conservation hors ligne a toutefois un coût : en août, certains retraits de Bithumb sont restés bloqués pendant plus de 13 heures après l’épuisement de son portefeuille en ligne. Les plateformes coréennes préviennent que le renforcement des équipes de sécurité pèsera surtout sur les plus petites.

Le compromis derrière une conservation hors ligne à 99 %

La semaine écoulée a fait de l’architecture de conservation un terrain de compétition, et la révélation de Coinbase intervient à point nommé. La différence tient aux mécanismes : la perte de 6,3 milliards de dollars résulte d’approbations obtenues par manipulation, et non du vol de clés. Une plateforme qui répartit les clés, développe ses propres logiciels et conserve presque tout hors ligne est donc exposée à des risques différents de ceux de ses concurrentes, qui regroupent les fonds en ligne et s’appuient sur des prestataires. Le seuil de 99 % envisagé en Corée inscrirait cette approche dans la loi, mais le blocage des retraits de Bithumb pendant 13 heures en août illustre le coût, en matière de liquidité, des réserves entièrement hors ligne. Si la règle est adoptée, les coûts de conformité pourraient accélérer la concentration du secteur autour des plus grandes plateformes coréennes. Les particuliers peuvent adopter eux-mêmes cette approche hors ligne : notre guide pour débutants explique le fonctionnement des portefeuilles matériels, et des appareils comme le portefeuille mobile Tangem appliquent le même principe d’isolation des clés dans un format de poche.