Coinrail a supprimé sa clause d'indemnisation dix jours avant de perdre un tiers de ses jetons

Aux premières heures du 10 juin 2018, des attaquants ont vidé environ 3,6 milliards de jetons de neuf types — Pundi X, NPER, Aston, TRON, Storm et d'autres — du portefeuille chaud de Coinrail en un balayage de 40 minutes. Le butin valait environ 40 milliards de wons (environ 37 M$), soit quelque 30 % de tout ce que détenait la petite bourse de Séoul, ce qui en faisait le plus grand vol de cryptomonnaies subi par une bourse coréenne à cette date. La nouvelle a fait chuter le bitcoin d'environ 7 % et effacé près de 30 milliards de dollars de valeur de marché des cryptomonnaies en quelques heures.

La violation est survenue dix jours après que Coinrail avait réécrit ses conditions. En avril 2018, la Commission du commerce équitable de Corée a examiné les conditions de douze bourses, relevé quatorze types de clauses abusives — principalement des exclusions de responsabilité générales reportant les pertes dues au piratage sur les clients — et ordonné des corrections. Ses concurrents ont réécrit leurs clauses d'indemnisation en mai ; Coinrail a quant à elle supprimé purement et simplement l'article 20(4), la disposition relative à l'indemnisation des dommages, le 31 mai, ne conservant que la clause préservant les propres créances de l'entreprise contre ses membres. La FTC a noté que la suppression n'efface pas la responsabilité : le droit civil exige une indemnisation en espèces.

La plateforme de négociation est restée hors service pendant plus d'un mois. Le premier communiqué de la bourse indiquait que 70 % des actifs étaient en sécurité en stockage à froid, que deux tiers des jetons volés avaient été gelés auprès des émetteurs et des bourses partenaires, et que le vol concernait des jetons moins connus plutôt que le bitcoin. Lorsque le service a repris dans la soirée du 15 juillet, son propre avis de reprise racontait une autre histoire : 34,8 % du bitcoin des utilisateurs n'était toujours pas récupéré, aux côtés de TRX 33,1 %, KNC 29,9 %, STORM 56,1 %, NPXS 84,2 %, ATX 42,9 % et NPER 89,4 %.

Le plan de récupération offrait deux options aux utilisateurs : attendre que la bourse rachète les jetons non récupérés sur ses futurs bénéfices d'exploitation, ou échanger les soldes contre du RAIL, le jeton propre à Coinrail, à un taux fixe de 1 RAIL = 0,72 won. Les investisseurs ont rejeté les deux options comme d'une valeur incertaine et ont déposé des plaintes pour détournement de fonds contre le PDG Nam Kyung-sik ; le 5 juillet 2018, la police de Gangnam a transmis l'affaire à l'équipe des crimes économiques du parquet central de Séoul, qui avait besoin de l'ampleur réelle des pertes pour la poursuivre.

Environ 37 M$ (40 milliards de wons) de jetons disparus — dont 34,8 % du bitcoin des utilisateurs non récupéré ; plateforme de négociation hors service pendant cinq semaines tandis que les marchés baissaient

Deux tiers des actifs de la bourse se trouvaient dans un portefeuille chaud connecté à Internet, de sorte que 30 % de tout ce que possédaient les utilisateurs était exposé à une seule intrusion qui a duré quarante minutes.

La réponse de conformité à l'ordre de la FTC a consisté à supprimer plutôt qu'à réparer — la clause qui aurait étayé les demandes d'indemnisation des clients était précisément ce qui a été retiré.

La communication initiale a minimisé la perte : « le bitcoin intact » n'est devenu « 34,8 % du bitcoin non récupéré » qu'à la reprise du service, cinq semaines plus tard.

L'indemnisation était libellée dans le jeton propre à l'entreprise défaillante et dans ses bénéfices futurs — des instruments dont la valeur dépendait entièrement de l'entité qui venait précisément d'échouer à protéger les actifs.

Supprimer la clause qui promettait une indemnisation des clients ne supprime pas l'obligation — et une bourse qui garde un tiers des actifs de ses clients dans un portefeuille chaud assume chaque perte qui en découle.

Les retraits n'ont rouvert le 15 juillet 2018 que pour les jetons récupérés ; le reste des soldes des utilisateurs a été basculé par défaut vers les options de rachat ou de RAIL. Une plainte pour détournement de fonds contre le PDG Nam Kyung-sik est parvenue au parquet de Séoul le 5 juillet 2018, l'ampleur des pertes restant à vérifier. La position de la Commission du commerce équitable était consignée : supprimer une clause ne dispense pas une bourse de verser une indemnisation en espèces. En quelques mois, la Corée s'est engagée à exiger des comptes de négociation à nom réel et une certification de sécurité pour les bourses, resserrant la faille réglementaire que ce piratage a mise au jour.