Une nouvelle action judiciaire vient secouer le secteur des exchanges centralisés. Un investisseur fortuné, basé à Porto Rico et identifié sous le nom de « Mike », a déposé plainte début mai 2026 contre Coinbase devant un tribunal fédéral américain, lui réclamant 55 millions de dollars en stablecoin DAI. Cette somme correspond au montant siphonné de son portefeuille en quelques minutes, après l’exécution d’une transaction frauduleuse orchestrée par le malware Inferno Drainer.
Le mode opératoire d’Inferno Drainer
Inferno Drainer fait partie d’une famille de logiciels malveillants spécialisés dans le drainage automatisé de portefeuilles non-custodial. Le mécanisme repose sur l’usurpation de signatures Web3 : la victime, croyant interagir avec une dApp légitime, signe en réalité une transaction qui transfère ses jetons vers une adresse contrôlée par les attaquants. Les requêtes permit et setApprovalForAll sont les vecteurs privilégiés, car elles n’apparaissent pas comme des envois de fonds dans les interfaces classiques.
Le drainer, vendu sous forme de service criminel (« drainer-as-a-service ») moyennant un partage de revenus avec ses opérateurs, a déjà été associé à plusieurs attaques d’envergure. Les victimes signalent souvent un faux site répliquant une plateforme connue ou un message de support frauduleux ayant initié l’enchaînement.
Pourquoi Coinbase est visée
La plainte ne porte pas sur l’origine du compromis, mais sur la responsabilité de Coinbase dans la mise à disposition d’un compte qui aurait dû bénéficier de protections renforcées. Le plaignant soutient quatre arguments :
- Son statut de client institutionnel « Coinbase Prime » lui ouvrait normalement un accès à un programme de surveillance des transactions, censé alerter en cas de schéma anormal.
- Aucun blocage automatique ni demande de double validation n’a été déclenché lors de l’envoi de 55 millions de dollars en moins de cinq minutes vers une adresse jamais utilisée auparavant.
- Le service support n’aurait répondu qu’après 47 minutes, période suffisante pour acheminer les fonds via un mixer.
- Les conditions générales annoncent une « vigilance proportionnée à la valeur des comptes », obligation contractuelle non remplie selon le plaignant.
Ce que dit le droit américain
La jurisprudence américaine sur la responsabilité des exchanges centralisés en cas de vol résultant d’une signature frauduleuse reste fragmentée. Le principe général veut que la plateforme ne soit pas responsable des actions volontaires de l’utilisateur, y compris signature trompeuse. Plusieurs décisions récentes nuancent cependant cette règle lorsque l’exchange propose explicitement une couche de protection contre la fraude (programme antifraude, monitoring de transactions, assurances), créant une obligation de moyens.
L’issue de cette affaire pourrait fixer un standard pour les comptes « Prime » ou équivalents. Si Coinbase est condamnée, les autres acteurs majeurs (Kraken, Binance.US, Gemini) seront contraints de revoir leurs propres engagements contractuels et leurs systèmes de détection.
L’enjeu pour l’écosystème crypto
Au-delà du cas individuel, la procédure relance le débat sur la frontière entre auto-garde (self-custody) et garde déléguée. Coinbase distingue ses comptes spot (custodial, où la plateforme détient les clés) et son wallet décentralisé Coinbase Wallet (non-custodial). La signature frauduleuse a été effectuée depuis le wallet non-custodial relié au compte Prime du plaignant. Cette ambiguïté entre les deux univers est exploitée par les drainers, qui ciblent en priorité les utilisateurs cumulant les deux interfaces.
Plusieurs experts en cybersécurité plaident pour l’introduction d’un mécanisme universel de « transaction préview lisible », capable de traduire en langage clair l’effet réel d’une signature avant validation. Des initiatives existent (Wallet Guard, Blockaid, Pocket Universe), mais leur adoption reste partielle.
Quels enseignements pour les détenteurs crypto
Pour limiter le risque, plusieurs réflexes sont à adopter :
- Ne jamais signer une transaction sans avoir vérifié l’URL et la nature exacte de la requête.
- Utiliser un wallet hardware pour toute somme supérieure à quelques milliers d’euros.
- Activer les alertes de transaction et limiter les approbations setApprovalForAll via des outils comme Revoke.cash.
- Privilégier des plateformes intégrant un module de simulation de transaction lisible.
L’affaire Coinbase-Inferno Drainer rappelle qu’aucune plateforme, fût-elle régulée et cotée à Wall Street, n’élimine totalement le risque opérationnel. La sécurité reste une responsabilité partagée entre l’exchange, le wallet et l’utilisateur final.
FAQ
Qu’est-ce qu’Inferno Drainer en crypto ?
Inferno Drainer est un logiciel malveillant proposé en mode service à des cybercriminels affiliés. Il vide automatiquement les portefeuilles crypto non-custodial après avoir incité la victime à signer une transaction frauduleuse, généralement via une fausse dApp. Le drainer cible principalement les fonctions Web3 permit et setApprovalForAll, qui autorisent un tiers à dépenser les jetons sans déclencher d’alerte de transfert classique.
Comment un investisseur peut-il perdre 55 millions de dollars en crypto ?
La perte résulte d’une signature de transaction frauduleuse sur un wallet non-custodial relié à un compte Coinbase Prime. La victime a probablement été dirigée vers une fausse interface, où elle a signé une approbation accordant aux attaquants le droit de transférer ses jetons DAI. L’exécution est instantanée et irréversible une fois la signature validée par le réseau Ethereum.
Quelle responsabilité a Coinbase dans le vol de cryptos ?
Le débat est juridique et porte sur l’obligation de moyens. Coinbase n’est pas responsable des actions volontaires de l’utilisateur, mais propose un programme de surveillance pour les comptes premium. Si la plateforme s’engage à détecter les schémas anormaux et ne le fait pas, sa responsabilité contractuelle peut être engagée. La décision du tribunal créera un précédent pour les autres exchanges centralisés.
Comment se protéger contre les drainers crypto ?
Plusieurs réflexes sont essentiels : utiliser un wallet hardware pour les montants importants, vérifier systématiquement l’URL des dApp avant signature, refuser les approbations setApprovalForAll non plafonnées, activer les alertes de transaction et utiliser des outils de simulation comme Wallet Guard ou Blockaid. La révocation des anciennes approbations via Revoke.cash réduit aussi la surface d’attaque.
Quelle différence entre compte custodial et non-custodial ?
Dans un compte custodial, la plateforme détient les clés privées et exécute les transactions pour l’utilisateur. Dans un compte non-custodial, l’utilisateur garde le contrôle exclusif de ses clés et signe lui-même chaque transaction. Coinbase Spot est custodial, Coinbase Wallet est non-custodial. La signature frauduleuse est possible uniquement sur les comptes non-custodial, ce qui complique l’attribution de responsabilité en cas d’incident.
Quel impact si Coinbase perd ce procès ?
Une condamnation contraindrait les exchanges majeurs à renforcer leurs systèmes anti-fraude, notamment pour les comptes premium. Cela pourrait inclure le blocage automatique des transactions sortantes vers des adresses inconnues au-dessus d’un certain seuil, l’obligation de validation manuelle pour les gros transferts et une transparence accrue sur les engagements de surveillance. Les coûts opérationnels augmenteraient mais la confiance utilisateur aussi.
Source : Journal du Coin
