Coinsbuy confirme le piratage : 7,9 millions vers Monero
La plateforme de paiement panaméenne Coinsbuy a perdu plus de 7,9 millions de dollars le 9 août, environ 6,9 millions d'euros, sur Ethereum et TRON. Les clients ont été couverts sur les réserves propres ; cette affirmation est invérifiable.
Coinsbuy, plateforme immatriculée au Panama qui permet aux entreprises d'accepter, de conserver et d'envoyer des cryptos, a été vidée le 9 août. L'enquêteur blockchain SpecterAnalyst avance sur Telegram un total de plus de 7,9 millions de dollars, environ 6,9 millions d'euros, retirés de wallets sur Ethereum et TRON. Coinsbuy a confirmé des retraits non autorisés sur plusieurs wallets de la plateforme, sans confirmer ni contester ce montant.
Les clients ont été remboursés
L'entreprise affirme que tous les soldes clients touchés ont été intégralement couverts sur ses réserves propres et qu'aucun utilisateur n'a subi de perte. C'est la phrase la plus importante de toute l'affaire, et en même temps celle que personne ne peut vérifier : il n'existe ni audit des réserves ni preuve de couverture, seulement la déclaration.
Le butin a ensuite été converti en Monero via des exchanges. Le service d'échange ChangeNOW a gelé une part à six chiffres, une fraction du total.
Troisième incident en deux semaines
C'est le troisième article de sécurité que nous consignons en quinze jours, et les trois se situent à des niveaux différents. Chez Coldcard, la faille était dans le firmware d'un hardware wallet ; chez BTCPay Server, dans l'authentification d'un logiciel de paiement auto-hébergé ; ici, chez un dépositaire qui gère des clés pour le compte d'entreprises.
Ce schéma dit quelque chose. L'autoconservation, c'est le risque de votre propre appareil et de votre propre seed. La déléguer, c'est l'échanger contre le risque que le dépositaire soit touché, et contre la question de savoir s'il peut encaisser le choc. Les deux risques sont réels ; ils ne sont simplement pas identiques.
Ce que cela change pour les utilisateurs européens
Coinsbuy n'est pas un prestataire européen et ne relève pas de MiCA. Un prestataire agréé dans l'UE doit séparer les actifs des clients de ses fonds propres et a en face de lui une autorité compétente qui peut l'y contraindre. Cela ne rend pas un piratage impossible, mais cela transforme le « nous avons couvert sur nos réserves » en quelque chose qu'un tiers peut examiner, plutôt qu'en une promesse sur un site.
Sources : Cointelegraph (10 août 2026), Crowdfund Insider. Dernière vérification : 11 août 2026.