Vols visant Coinbase : le facteur humain, plus que la faille technique

Les éléments publics les plus solides décrivent un opérateur — ou un groupe d’opérateurs — spécialisé dans le phishing et l’ingénierie sociale, motivé par l’argent. Rien ne permet pour l’instant de confirmer qu’il s’agit d’un exploiteur d’un smart contract de Coinbase.

Selon des signalements publiés après les dernières opérations, environ 500 000 dollars en cryptomonnaies ont été convertis en ether puis transférés via Tornado Cash le 16 août. Un mouvement similaire d’environ 2 millions de dollars aurait eu lieu trois semaines plus tôt. Des portefeuilles associés détiendraient encore plusieurs dizaines de millions de dollars.

L’attribution reste toutefois provisoire. Les étiquettes utilisées par les outils d’analyse de la blockchain, comme « Coinbase hacker », correspondent à une hypothèse d’enquête, pas à une conclusion judiciaire. De même, le montant de plus de 300 millions de dollars est une estimation d’enquêteurs ou de médias concernant les pertes cumulées ; il ne prouve pas que tous les vols visant des utilisateurs de Coinbase soient l’œuvre d’une seule personne ou d’un même groupe.

Comment les vols visant les utilisateurs de Coinbase auraient fonctionné

Le mode opératoire décrit est avant tout humain, et non fondé sur une faille logicielle. Des victimes auraient été contactées par des escrocs se faisant passer pour des représentants du support Coinbase. Les imposteurs pouvaient ensuite les pousser à révéler leurs identifiants, à approuver des transactions, à transférer leurs actifs ou à céder d’une autre manière le contrôle de leur compte. Les rapports consacrés à cette campagne la distinguent explicitement d’un exploit de smart contract.

La nuance est importante. Dans le cas d’un exploit, l’attaquant profite généralement d’un défaut dans la logique d’une application déployée sur la blockchain. Dans une arnaque par usurpation du support, il manipule le titulaire du compte afin que celui-ci autorise — ou rende possible — le transfert. Le point faible se situe alors dans la confiance et la prise de décision de l’utilisateur, souvent sous l’effet de détails personnels convaincants et d’un sentiment d’urgence.

Ce que disent les estimations de pertes — et ce qu’elles ne disent pas

En février 2025, les enquêteurs blockchain ZachXBT et tanuki42 ont signalé plus de 65 millions de dollars de pertes subies par des utilisateurs de Coinbase en décembre 2024 et janvier 2025. Ils estimaient aussi que les pertes annuelles liées à des escroqueries similaires par ingénierie sociale pourraient dépasser 300 millions de dollars. Leur analyse s’appuyait sur des témoignages de victimes et sur l’activité observée sur la blockchain, tout en reconnaissant que les données disponibles étaient incomplètes.

Un autre signalement a ensuite attribué environ 45 millions de dollars de pertes supplémentaires à des escroqueries coordonnées visant des utilisateurs de Coinbase sur une seule semaine de mai 2025. Ces chiffres confortent l’idée d’attaques persistantes et structurées. Ils ne suffisent toutefois pas à démontrer que tous les incidents recensés étaient contrôlés par le même opérateur de portefeuille.

Une enquête a par ailleurs repéré une adresse de consolidation liée à plus de 25 victimes. Ce type de regroupement peut aider les enquêteurs à relier des transactions et à faire émerger un schéma de campagne. Il s’agit néanmoins d’un indice d’attribution indirect, pas d’une preuve permettant d’identifier une personne dans le monde réel.

La fuite de données chez Coinbase : un contexte important, mais aucun lien prouvé

En mai 2025, Coinbase a déclaré que des criminels avaient soudoyé certains membres de son personnel de support client à l’étranger afin d’obtenir des informations sur des clients. Ces données auraient ensuite dû servir à usurper l’identité de Coinbase et à convaincre des utilisateurs d’envoyer leurs cryptomonnaies. La plateforme a évalué entre 180 et 400 millions de dollars les coûts de remédiation et de remboursement volontaire des clients.

Une telle fuite peut rendre les arnaques au faux support beaucoup plus crédibles : un interlocuteur qui connaît le nom, les coordonnées ou certaines informations de compte d’un client paraît forcément plus convaincant. Mais les éléments publics fournis ici ne démontrent pas que les criminels à l’origine de cette affaire interne sont les mêmes que ceux qui contrôlent les portefeuilles associés aux vols plus larges. Il faut donc considérer ces deux dossiers comme un contexte de risque lié, et non comme une attribution commune confirmée.

La provocation adressée à l’enquêteur ne révèle pas une identité

En mai 2025, un portefeuille que des enquêteurs reliaient à des campagnes de phishing visant Coinbase aurait échangé environ 42,5 millions de dollars en bitcoins contre de l’ether via THORChain. Il a également envoyé à ZachXBT un message inscrit sur la blockchain : « L bozo ».

Ce message montre que le contrôleur du portefeuille était prêt à provoquer publiquement un enquêteur. Il ne permet pas d’établir son nom, son lieu de résidence ni son lien avec l’ensemble des vols attribués à cette campagne.

Pourquoi Tornado Cash complique la récupération des fonds

Un mixeur de cryptomonnaies est conçu pour rendre moins évidente la relation entre un dépôt et un retrait ultérieur. Tornado Cash s’appuie sur des pools partagés et sur des mécanismes de transaction préservant la confidentialité : des fonds déposés depuis une adresse peuvent ensuite être retirés vers une autre. La blockchain ne disparaît pas pour autant, mais le lien direct entre le dépôt et le retrait devient beaucoup plus difficile à établir.

Les enquêteurs peuvent toujours examiner les horaires, les montants, les habitudes répétées des portefeuilles, les bridges, les plateformes d’échange décentralisées et les adresses de dépôt d’exchanges centralisés. Ces éléments peuvent faire apparaître des corrélations. Une corrélation ne suffit cependant pas toujours à identifier la personne derrière un retrait, ni à convaincre une plateforme ou un tribunal de bloquer les fonds. Plus les actifs restent éloignés d’un dépositaire identifiable, plus leur récupération peut devenir difficile.

Ce que la décision américaine de novembre 2024 a changé

Le 26 novembre 2024, la cour d’appel fédérale du cinquième circuit aux États-Unis a estimé que l’Office of Foreign Assets Control, l’agence du Trésor américain chargée notamment des sanctions financières, avait dépassé son pouvoir légal en sanctionnant les smart contracts immuables de Tornado Cash. Selon la cour, ces contrats ne constituaient pas des « biens » pouvant être bloqués au titre de la loi concernée.

Cette décision portait sur le fondement juridique des sanctions ; elle n’a pas légalisé le vol ou le blanchiment, supprimé d’éventuelles responsabilités pénales ni garanti que les fonds transitant par un mixeur puissent être récupérés. Elle ne transforme pas non plus une activité suspecte sur un mixeur en preuve d’innocence ou de culpabilité. La portée de la décision et la question de l’utilisation criminelle du protocole sont deux sujets distincts.

La leçon concrète pour les utilisateurs de Coinbase

Le risque le plus persistant dans cette affaire n’est pas une défaillance mystérieuse de l’infrastructure blockchain de Coinbase. C’est une personne convaincante au bout d’un appel, d’un message ou d’un lien.

Les utilisateurs devraient :

• considérer tout appel, SMS ou message privé non sollicité prétendant venir du support Coinbase comme hostile ;
• ne jamais communiquer leur mot de passe, phrase de récupération, code à usage unique ou clé privée ;
• ne jamais autoriser un prétendu agent du support à prendre le contrôle à distance de leur appareil ;
• éviter les liens d’assistance transmis dans des messages inattendus ;
• ouvrir l’application officielle Coinbase ou saisir eux-mêmes l’adresse du site avant de demander de l’aide ;
• en cas de vol, conserver les messages, numéros de téléphone, adresses de portefeuille et identifiants de transaction, puis signaler immédiatement l’incident.

Le mouvement du 16 août montre que les fonds associés à la campagne signalée restent actifs. Mais la conclusion la plus importante est plus simple : l’ingénierie sociale peut contourner des protections techniques solides lorsqu’un escroc réussit à convaincre un utilisateur légitime d’autoriser le transfert.