Voir la table des matières Ne plus voir la table des matières
Une plateforme d’échange centralisée détient les clés des cryptomonnaies que ses clients y déposent. Quand ces clés changent de main sans que personne ne l’ait décidé, on parle de piratage, et l’épisode prend une dimension particulière lorsqu’il frappe une société déjà placée sous la protection du chapitre 11 de la loi américaine sur les faillites. C’est ce qui est arrivé à FTX dans la nuit du vendredi 11 au samedi 12 novembre 2022, quelques heures après le dépôt de bilan.
Le montant sorti des portefeuilles de la plateforme dépasse 600 millions de dollars, selon les relevés on-chain compilés par les sociétés de sécurité qui ont suivi les mouvements en direct. Les administrateurs du canal Telegram officiel ont confirmé l’intrusion au petit matin et demandé aux utilisateurs de désinstaller l’application. Reste la question que tout détenteur de cryptomonnaies s’est posée ce week-end là : à qui appartiennent réellement les jetons laissés sur une plateforme ?
Ce que les registres publics montrent de la nuit du 11 novembre
Les premiers mouvements suspects commencent en fin de soirée, vendredi. Plusieurs portefeuilles rattachés à FTX se vident sans annonce préalable, alors même que la plateforme a suspendu les retraits de ses clients. Entre 17 h 20 et 2 h 20 UTC, aucune transaction sortante légitime n’a été traitée, ce qui rend l’activité observée d’autant plus anormale.
Le portefeuille destinataire a rassemblé 83 878,63 ethers, soit environ 105 millions de dollars en deux heures à peine, d’après les données de la chaîne relayées par CryptoAdventure. Les fonds proviennent d’une série d’adresses internationales et américaines liées à l’échange, ce qui suggère un accès à plusieurs jeux de clés et non à un portefeuille isolé.
La société de sécurité PeckShield a suivi les transferts au fil de l’eau et publié des mises à jour régulières. Son fil montre un acteur pressé, qui convertit sans attendre les jetons ramassés, un comportement qui ressemble davantage à une exfiltration qu’à une opération de trésorerie conduite par une équipe interne.
Le message de FTX à ses propres clients
L’équipe a fini par prendre la parole sur Telegram, avec une consigne rare dans l’histoire des plateformes : ne plus visiter le site et supprimer les applications mobiles, présentées comme susceptibles d’installer des chevaux de Troie. L’avocat général de l’entreprise, Ryne Miller, a épinglé le message dans le canal de support et indiqué qu’une partie des fonds avait pu être récupérée.
J’examine des anomalies dans les mouvements de portefeuilles liés à la consolidation des soldes de FTX entre les plateformes. Les faits ne sont pas clairs, car les autres mouvements ne le sont pas non plus. Nous partagerons davantage d’informations dès que nous en aurons.
Ryne Miller, avocat général de FTX, message public du 12 novembre 2022
La formulation est prudente et pour cause : à ce stade, personne chez FTX ne sait distinguer un vol externe d’une manœuvre décidée en interne. Cette incertitude assumée par un dirigeant en dit long sur l’état des systèmes de contrôle d’une société qui gérait encore, quelques jours plus tôt, des milliards de dollars de dépôts.
Les jetons déplacés, un à un
Le détail des conversions renseigne sur la méthode employée, car l’attaquant n’a pas cherché à conserver les actifs ramassés dans leur forme d’origine. Les relevés publiés par PeckShield montrent une succession d’échanges vers l’ether, réalisés sur des marchés décentralisés.
- Le jeton LDO du protocole Lido, échangé contre de l’ether ;
- Le WBTC, version tokenisée du bitcoin sur Ethereum ;
- Les jetons SUSHI et YFI, issus de la finance décentralisée ;
- Le jeton UNI d’Uniswap, converti sur SushiSwap et sur CoW Protocol.
Passer par des marchés décentralisés évite les contrôles d’identité qu’imposent les plateformes centralisées. La contrepartie est que chaque conversion reste inscrite dans un registre public, consultable par n’importe qui, ce qui explique la précision des suivis publiés en quelques heures.
Piste interne ou intrusion : deux lectures qui ne se recoupent pas
Certains analystes on-chain ont d’abord cru à une opération de mise à l’abri des actifs, classique quand une procédure collective s’ouvre. D’autres ont pointé un piratage pur et simple. Le compte ZachXBT a rapporté que plusieurs anciens salariés de FTX ne reconnaissaient pas ces transactions, ce qui affaiblit l’hypothèse d’une consolidation ordonnée.
Un indice a nourri la thèse externe : certaines adresses impliquées portaient des noms grossiers, dont une variation insultante du patronyme de Sam Bankman-Fried. Le fondateur, poussé vers la sortie la veille, n’a fait aucune déclaration publique dans les heures qui ont suivi, laissant le vide se remplir de spéculations invérifiables.
Ce que la faillite avait déjà figé
Le piratage tombe sur une situation déjà bloquée. FTX avait déposé son dossier de chapitre 11 le vendredi, entraînant avec elle plus de 130 sociétés affiliées, et les retraits clients étaient suspendus depuis plusieurs jours. Les jetons déplacés cette nuit-là appartenaient donc juridiquement à la masse des créanciers, pas à l’entreprise.
La chute s’était enclenchée une semaine plus tôt, quand les rumeurs d’insolvabilité ont poussé les détenteurs à vendre le jeton maison. La séquence s’est accélérée après l’abandon du sauvetage annoncé par Binance, qui a retiré au marché son dernier scénario de sortie. Les premières alertes autour du jeton FTT dataient du 6 novembre, soit six jours seulement avant l’ouverture de la procédure.
Le vol vient donc s’ajouter à un passif déjà considérable, et il complique la tâche des administrateurs judiciaires. Retracer des fonds convertis en ether puis dispersés reste possible, mais les précédents recensés dans l’histoire des plateformes montrent que la récupération complète relève de l’exception.
La question de la garde, posée sans détour
Cette nuit-là rappelle une mécanique que les marchés traditionnels ont réglée depuis longtemps par la séparation entre le teneur de compte et le dépositaire. Sur les plateformes crypto, cette séparation n’existait pas en 2022, et un dépôt se confondait avec un prêt consenti à l’entreprise. Une détention hors plateforme, dans un portefeuille dont on garde les clés, met le patrimoine hors d’atteinte d’une faillite comme d’une intrusion.
Le débat qui s’ouvre en Europe porte précisément sur ce point : comment imposer la ségrégation des avoirs clients sans étouffer les acteurs sous des obligations que les plus gros seuls pourront porter. La réponse déterminera ce qu’un épargnant peut raisonnablement confier à un intermédiaire, et ce qu’il a intérêt à conserver lui-même.
