Le piratage du portefeuille chaud de 6,7 milliards de yens de Zaif : la direction démissionne, la plateforme vendue à FISCO

Zaif, une plateforme d'échange basée à Osaka exploitée par Tech Bureau, a été piratée le 14 septembre 2018 : un accès non autorisé a touché le serveur gérant le portefeuille chaud utilisé pour les dépôts et retraits des clients, vidant du bitcoin, du Monacoin et du bitcoin cash d'une valeur d'environ 6,7 milliards de yens — soit environ 60 millions de dollars — dont 4,5 milliards de yens appartenaient aux clients. L'anomalie a été détectée le 17 septembre et divulguée le 20 septembre ; l'estimation a ensuite été revue à la hausse, à environ 7 milliards de yens.

L'entreprise avait passé 2018 sur la liste de surveillance du régulateur — l'Agence des services financiers avait émis des ordres d'amélioration des activités en mars, puis de nouveau en juin — mais l'architecture du portefeuille chaud était restée inchangée. Après le piratage, l'ASF a émis un ordre de soumission de rapport et est passée à une inspection sur site, et le président Takao Asayama ainsi que la direction en place ont démissionné.

Le 10 octobre, Tech Bureau a signé un accord formel transférant l'activité de Zaif à FISCO Crypto Exchange et a fixé les modalités d'indemnisation : les BTC et BCH restitués à l'identique en nature, tandis que les détenteurs de MONA recevaient 60 % en MONA et les 40 % restants en yens à 144,548 yens par pièce — au-dessus du prix de marché de Zaif lui-même, car les MONA volés étaient trop illiquides pour être rachetés. Tout ce qui se négociait sur des marchés profonds a été restitué intégralement ; le seul marché étroit a subi une décote de 40 %.

Les services ont repris par étapes sous FISCO — la négociation au comptant du MONA a rouvert en avril 2019 — et les deux plateformes exploitées par FISCO devaient fusionner leurs systèmes dans le courant de 2019.

6,7 milliards de yens (environ 60 millions de dollars) volés, dont 4,5 milliards de yens de cryptomonnaies appartenant aux clients ; les détenteurs de MONA ont absorbé 40 % de leur perte en yens

Les actifs des clients se trouvaient dans un portefeuille chaud administré sur un seul serveur ; une seule intrusion pendant une fenêtre de deux heures a suffi à le vider.

Les régulateurs avaient signalé l'entreprise à deux reprises en six mois, mais les ordres d'amélioration ont changé la paperasse, pas l'architecture défaillante.

Le marché étroit du MONA signifiait que le montant volé ne pouvait être racheté sans faire bouger le prix ; une partie de la perte a donc été réglée en yens — l'illiquidité s'est directement convertie en pertes pour les clients.

Un portefeuille chaud en ligne constitue une offre permanente aux attaquants. Les avertissements des régulateurs ne changent rien si l'architecture reste la même — et des pièces volées trop illiquides pour être rachetées signifient que les utilisateurs absorbent l'écart.

Sous FISCO, la plateforme a repris ses services progressivement tout au long de 2019, la négociation du MONA étant relancée en avril 2019 et les systèmes des plateformes intégrés peu après. Les 2,2 milliards de yens d'actifs propres de Tech Bureau ont disparu avec le portefeuille chaud, et sa direction est partie avec l'entreprise. Le sauveteur lui-même n'est pas resté : en mai 2026, FISCO, la société mère cotée, a retiré les cryptomonnaies et la blockchain de ses segments d'activité et a quitté le secteur.