Les accusations d’Ari Paul contre Coinbase relancent le débat sur la garde des bitcoins d’entreprise. Une tribune publiée le 20 octobre défend une gouvernance plus vérifiable. Mais le différend demeure contesté : Coinbase dément les dissimulations évoquées et aucune preuve publique consultée ne permet ici de trancher.

Des accusations de septembre, pas un nouveau piratage confirmé

Dans un message du 28 septembre 2026 à 23 h 21 UTC, Ari Paul affirme que Coinbase aurait perdu environ 25 millions de dollars appartenant à sa société. Le fondateur de BlockTower Capital évoque aussi au moins une douzaine d’entreprises touchées et plus d’un milliard de dollars dissimulé. Il invoque des procédures en cours pour limiter ses explications.

Ces montants proviennent de ses accusations. Ils ne constituent pas un bilan de pertes établi par une enquête indépendante dans les documents examinés. Le message ne fournit ni pièces justificatives ni détail vérifiable sur les autres entreprises.

Le 29 septembre, Coinbase Support répond que l’entreprise ne cache pas une série de piratages et n’a pas perdu un milliard de dollars. Elle refuse de commenter des clients précis et rappelle les responsabilités liées à la sécurité des clés API. Ce démenti ne résout pas publiquement le différend particulier.

La tribune pose une question légitime, avec un intérêt commercial à préciser

Michael Tanguma, dirigeant d’Onramp, défend une garde répartie entre institutions indépendantes. Sa tribune interroge notamment la capacité d’une entreprise à vérifier les avoirs, les autorisations et la continuité des accès. Il dirige lui-même une entreprise proposant des services de garde Bitcoin : cette position éclaire son angle.

Son argument mérite néanmoins une correction importante. La garde institutionnelle ne se réduit pas systématiquement à un identifiant unique sans règles d’approbation. La documentation publique de Coinbase Prime décrit des rôles, des permissions et des politiques de validation.

Des contrôles documentés ne règlent pas tout

Coinbase Prime distingue les accès au niveau de l’entité et des portefeuilles. Ses politiques permettent de définir plusieurs approbateurs et des contrôles selon les transferts. Ces fonctions contredisent une présentation trop générale selon laquelle les dépositaires ne proposeraient aucune gouvernance.

Cependant, leur existence ne démontre pas leur configuration dans un compte donné, leur efficacité lors d’un incident ou la résolution du litige. Il faut distinguer la documentation commerciale, le contrat signé et les contrôles réellement appliqués.

Pour une entreprise, les questions utiles restent concrètes : qui peut initier un retrait, qui doit l’approuver et qui peut modifier ces règles ? Comment révoquer un accès et reprendre les opérations après le départ d’un responsable ?

Vérifier les avoirs et vérifier les droits

Un solde visible sur une blockchain ne démontre pas à lui seul tous les droits des clients ou toutes les obligations du dépositaire. De même, une politique interne ne prouve pas automatiquement que les fonds restent disponibles. Les vérifications doivent donc porter sur les actifs, les droits et les procédures.

Notre dossier sur le contrôle des bitcoins des ETF et des entreprises détaille cette distinction. Il complète notre analyse de la délégation de garde par les grandes entreprises.

🔍 DUC, mon avis

Je ne transformerai pas une accusation en verdict, ni un démenti en audit. Le débat utile porte sur les preuves et les responsabilités. Une entreprise qui détient du bitcoin doit pouvoir expliquer ses accès, ses validations et sa continuité opérationnelle. Le logo du dépositaire ne remplace pas ces réponses ; le nombre de clés non plus.

Sources : Ari Paul — accusations du 28 septembre ; Coinbase Support — démenti du 29 septembre ; Coinbase Prime — rôles et permissions ; Coinbase Prime — politiques d’approbation ; tribune de Michael Tanguma du 20 octobre.

✍️ DUC