Portefeuille chaud, signature unique
Les faits techniques étaient d’une simplicité inhabituelle. Un important solde de clientèle se trouvait dans un portefeuille connecté à Internet, protégé par une seule clé, sans exigence de multisignature. Une fois cette clé compromise, les actifs ont été déplacés.
Coincheck opérait pendant la période transitoire du régime d’enregistrement japonais. L’incident est donc aussi devenu un cas d’école pour le superviseur — le régulateur pouvait désigner un marché enregistré et supervisé et montrer précisément ce qu’il n’avait pas encore détecté.
La conséquence réglementaire
La FSA a réagi par des ordres d’amélioration des pratiques et une posture d’inspection nettement plus intrusive. Quiconque évalue aujourd’hui une plateforme japonaise observe un régime façonné par cette défaillance — voir notre page juridiction Japon.
Ce qu’il faut en retenir
La question à poser à tout dépositaire n’est pas de savoir s’il pratique le stockage à froid, mais quelle proportion des actifs de la clientèle se trouve en dehors à un instant donné, et ce qui protège cette portion. Coincheck a indemnisé ses clients ; la prochaine entreprise dans la même situation n’en aura peut-être pas les moyens.
Chronologie
Ajout seulement. Les corrections sont ajoutées sous la forme d'une entrée datée distincte ; les entrées antérieures ne sont jamais réécrites.
- Coincheck détecte le transfert non autorisé, suspend les retraits et les échanges de NEM, et rend l'incident public. Coincheck
- L'Agence des services financiers japonaise adresse un ordre d'amélioration des pratiques à Coincheck. Financial Services Agency (Japan)
Ce qu'il faut vérifier
Les annonces de Coincheck elle-même et les ordres d'amélioration des pratiques émis ensuite par l'Agence des services financiers japonaise constituent le compte rendu de référence.
Conisec n'héberge ni ne relaie d'outils de récupération, de révocation ou de « vérification ». Après un incident public, les attaquants diffusent systématiquement ce type de liens en utilisant les noms des publications qui couvrent l'affaire. Utilisez le canal officiel du projet concerné, indiqué ci-dessus, et rien d'autre.
Sources
- Coincheck, Official announcements (26 Jan 2018)
- Financial Services Agency (Japan), Supervisory actions (29 Jan 2018)
Pas un conseil. Ceci est un résumé de faits publiés, et non un conseil juridique, fiscal ou de sécurité. Vérifiez auprès des sources primaires indiquées ci-dessus.
Dernière vérification par Conisec Staff.
