Mon argent est-il en sécurité sur Coinbase ? Que se passe-t-il s’ils sont piratés ?

Infrastructure de sécurité de Coinbase

1. Coinbase utilise une architecture de sécurité multicouche qui inclut le stockage à froid pour plus de 98 % des actifs des clients, ce qui signifie que la grande majorité des actifs numériques sont conservés hors ligne et inaccessibles aux attaquants distants.

2. La plateforme utilise des normes de cryptage de niveau institutionnel sur toutes les couches de transmission et de stockage de données, notamment le cryptage AES-256 pour les données au repos et TLS 1.3 pour les données en transit.

3. Les mesures de sécurité physique comprennent des contrôles d'accès biométriques, une surveillance 24h/24 et 7j/7 et des coffres-forts géographiquement répartis pour les modules de sécurité matériels (HSM) qui gèrent les clés cryptographiques.

4. Les systèmes internes appliquent un contrôle d'accès strict basé sur les rôles (RBAC), avec des flux de travail d'approbation multi-personnes obligatoires pour toute opération à privilèges élevés impliquant un mouvement d'actifs ou des modifications de configuration.

5. Des tests d'intrusion tiers réguliers sont effectués par des sociétés certifiées telles que Trail of Bits et Cure53, avec une divulgation publique complète des résultats et des délais de remédiation.

Couverture d'assurance et protection des actifs

1. Coinbase maintient des polices d'assurance contre la criminalité souscrites par le Lloyd's de Londres et d'autres grands opérateurs, couvrant les actifs numériques détenus dans des portefeuilles chauds contre le vol résultant de violations de cybersécurité.

2. La police d'assurance ne s'étend pas aux pertes résultant d'une erreur de l'utilisateur, d'attaques de phishing ciblant des comptes individuels ou de transactions non autorisées initiées via des informations d'identification compromises.

3. Les soldes Fiat détenus dans les comptes Coinbase sont couverts jusqu'à 250 000 $ par client par l'assurance pass-through de la FDIC, à condition qu'ils répondent aux critères d'éligibilité et qu'ils soient détenus dans des comptes de dépôt en dollars américains éligibles.

4. Les avoirs du portefeuille de garde sont séparés du bilan de l'entreprise de Coinbase, garantissant ainsi qu'en cas d'insolvabilité, les actifs des clients restent juridiquement distincts et récupérables dans le cadre d'une procédure de faillite.

5. La surveillance réglementaire exercée par des entités telles que le Département des services financiers de l'État de New York (NYDFS) impose des attestations trimestrielles sur les réserves et la conformité en matière de conservation pour les entités agréées telles que Coinbase NY Inc.

Historique des réponses aux incidents

1. En 2019, une attaque d'ingénierie sociale ciblée a compromis un petit nombre d'identifiants d'employés, mais aucun fonds de client n'a été accessible en raison de protections d'authentification en couches et de systèmes de détection d'anomalies en temps réel.

2. Lors de l'effondrement de LUNA/UST en 2022, Coinbase a suspendu de manière préventive certaines fonctionnalités de trading sur marge et a maintenu la fonctionnalité de retrait complète, évitant ainsi les déficits de liquidité rencontrés par d'autres plateformes.

3. Un incident d’exposition à une clé API en 2021 a touché moins de 0,01 % des utilisateurs actifs ; Coinbase a effectué une rotation de toutes les clés concernées en 90 minutes et a mis en œuvre une portée plus stricte des autorisations d'API à l'échelle du secteur.

4. L'entreprise n'a jamais subi de violation réussie de son infrastructure de stockage frigorifique depuis sa création en 2012, maintenant un record ininterrompu de zéro perte due à des compromissions de portefeuilles froids.

5. Les playbooks de réponse aux incidents sont testés deux fois par an via des simulations d'équipes rouges impliquant des efforts coordonnés entre les services d'ingénierie, juridiques, de communication et de conformité.

Facteurs de risque contrôlés par l'utilisateur

1. L'authentification à deux facteurs reste facultative pour de nombreuses actions de compte, laissant les utilisateurs qui ignorent la configuration des SMS ou de l'application d'authentification vulnérables aux attaques d'échange de carte SIM et de piratage de session.

2. La compromission des comptes de messagerie représente le vecteur le plus fréquent d'accès non autorisé aux comptes, car la réinitialisation des mots de passe repose souvent sur des canaux de messagerie non cryptés sans étapes de vérification supplémentaires.

3. Des extensions de navigateur signalées comme malveillantes par l'équipe interne de renseignement sur les menaces de Coinbase ont été observées en train d'injecter de fausses adresses de retrait lors de la signature de transactions sur des machines compromises.

4. Les appareils partagés ou les ordinateurs publics utilisés pour accéder aux comptes Coinbase augmentent l'exposition aux logiciels malveillants d'enregistrement de frappe et aux jetons de session mis en cache qui contournent les protections de connexion standard.

5. Les utilisateurs qui stockent des phrases de récupération localement sans sauvegardes avec espacement risquent une perte permanente si la panne de l'appareil coïncide avec des mots de passe oubliés et des options à deux facteurs désactivées.

Foire aux questions

Q : Coinbase détient-il mes clés privées ? Oui. Lorsque vous utilisez le portefeuille hébergé de Coinbase, la plateforme gère vos clés privées. Vous n'y avez pas d'accès direct, sauf si vous utilisez Coinbase Wallet, un produit non dépositaire où les clés résident uniquement sur votre appareil.

Q : Coinbase peut-il geler mon compte sans préavis ? Oui. En vertu de son contrat d'utilisation, Coinbase peut restreindre l'accès au compte de manière temporaire ou permanente s'il détecte des violations des politiques de lutte contre le blanchiment d'argent (AML), des modèles d'activités suspectes ou des exigences réglementaires dans votre juridiction.

Q : Les actifs mis en jeu sont-ils protégés de la même manière que les soldes réguliers ? Les actifs jalonnés sont soumis à des conditions de réduction spécifiques au réseau et à des risques de performance du validateur. La couverture d'assurance de Coinbase ne s'applique pas aux pertes dues aux pénalités au niveau du protocole ou à la confiscation des récompenses de mise liées aux temps d'arrêt.

Q : Qu'arrive-t-il à mes actifs si Coinbase déclare faillite ? Les actifs en dépôt sont traités comme des biens en fiducie en vertu de la loi américaine sur les faillites. Des administrateurs nommés par le tribunal superviseraient la séparation et la restitution des avoirs identifiables des clients, bien que les retards et les coûts administratifs puissent affecter les délais de recouvrement final.