Mt. Gox : comment 850 000 bitcoins ont disparu, et les remboursements

Au début de 2014, une plateforme installée dans le quartier de Shibuya, à Tokyo, domine le marché du bitcoin ; elle a revendiqué, à une époque, environ 80 % des transactions mondiales, selon l’AFP. Le 28 février, elle annonce au tribunal que ses dettes dépassent ses actifs de plus de 2,6 milliards de yens, et qu’à peu près tous les bitcoins de ses clients ont disparu. Trois semaines plus tard, elle annonce en avoir retrouvé 200 000 dans un vieux portefeuille qu’elle croyait vide.

L’affaire Mt. Gox est la première grande faillite de l’histoire des cryptomonnaies, et sans doute la plus instructive : un piratage qui aurait commencé trois ans plus tôt, une comptabilité incapable de le voir, un dirigeant condamné pour une autre infraction que celle qu’on lui reprochait, et des créanciers qui ont attendu plus de dix ans pour être payés, dans une monnaie qui avait entre-temps changé de valeur.

Comment Mt. Gox a-t-il perdu les bitcoins de ses clients en 2014 ?

Mt. Gox a perdu les bitcoins de ses clients parce que des pirates ont eu accès à ses serveurs pendant des années sans être détectés : selon un acte d’accusation rendu public par le ministère américain de la Justice le 9 juin 2023, deux ressortissants russes et leurs complices ont accédé au système de la plateforme vers septembre 2011 et ont volé au moins 647 000 bitcoins jusqu’en mai 2014 au moins. Ces faits sont des accusations, qui n’ont pas été jugées.

La plateforme, elle, a d’abord avancé une autre explication. Dans son annonce du 28 février 2014, MtGox Co., Ltd. attribue les pertes à un accès illégal par « l’abus d’un bug du système bitcoin », découvert début février, qui aurait multiplié les transferts incomplets. Elle écrit avoir constaté la disparition d’environ 750 000 bitcoins déposés par les clients et d’environ 100 000 bitcoins lui appartenant, et juge « hautement probable » qu’ils aient été volés. Les deux versions ne s’excluent pas ; elles montrent surtout que la plateforme ignorait où étaient ses réserves.

La faillite de Mt. Gox en résumé

MtGox Co., Ltd., société de droit japonais dirigée par le Français Mark Karpelès, a déposé une demande de procédure de sauvegarde le 28 février 2014 auprès du tribunal du district de Tokyo, avant d’être placée en faillite le 24 avril 2014. Les créanciers ont obtenu en 2018 la réouverture d’une procédure de redressement, qui a permis des remboursements en bitcoins plutôt qu’en yens.

• Annonce de la faillite : 28 février 2014, environ 850 000 bitcoins disparus (750 000 des clients, 100 000 de la société)
• Bilan déclaré : 3,84 milliards de yens d’actifs pour 6,50 milliards de yens de dettes courantes
• Bitcoins retrouvés : environ 200 000, dans un ancien portefeuille, annoncés le 20 mars 2014
• Bitcoins volés selon la justice américaine : au moins 647 000, de 2011 à 2014 (accusations de 2023)
• Plan de redressement : définitif le 16 novembre 2021
• Premiers remboursements en bitcoins : 5 juillet 2024
• Date limite des remboursements : 31 octobre 2027, après plusieurs reports

Que s’est-il passé entre février et avril 2014 ?

Entre février et avril 2014, Mt. Gox passe d’une suspension des retraits à la faillite. Le 28 février, la société dépose une demande de procédure de sauvegarde, minji saisei en japonais, au tribunal du district de Tokyo, qui l’accepte le jour même et interdit aussitôt tout paiement de dettes et tout transfert d’actifs. Le bilan déclaré fait état de 3 841 866 163 yens d’actifs pour 6 501 119 371 yens de dettes courantes.

Le 20 mars 2014, coup de théâtre. La société annonce avoir découvert, le 7 mars, environ 200 000 bitcoins, exactement 199 999,99, dans un portefeuille d’ancien format utilisé avant juin 2011, qu’elle croyait vide. Elle les met à l’abri dans un portefeuille hors ligne et réduit son estimation des pertes à environ 650 000 bitcoins. Une plateforme qui retrouve, après sa faillite, près d’un quart des bitcoins qu’elle croyait perdus dans un portefeuille oublié ne tenait manifestement pas de comptes fiables.

Le 24 avril 2014, le tribunal ouvre une procédure de faillite et nomme un administrateur, l’avocat Nobuaki Kobayashi, qui prend le contrôle exclusif des actifs. Les clients deviennent des créanciers parmi d’autres. En janvier 2018 encore, l’administrateur répond que la possibilité d’être payé en bitcoins plutôt qu’en monnaie « est toujours à l’étude ».

Notre entretien de novembre 2013 sur les raisons de la bulle du bitcoin, publié trois mois avant la faillite, montre l’ambiance de cette première euphorie, quand Mt. Gox en était le principal guichet.

Les clients de Mt. Gox ont-ils été remboursés ?

Les clients de Mt. Gox ont reçu leurs premiers remboursements en bitcoins et en bitcoin cash le 5 juillet 2024, plus de dix ans après la faillite. Au 16 octobre 2026, l’administrateur indiquait avoir « en grande partie achevé » les remboursements pour les créanciers qui avaient accompli les formalités nécessaires, et repoussait au 31 octobre 2027 la date limite pour les autres.

Ce dénouement tient à une décision de 2018. Le 24 novembre 2017, des créanciers demandent l’ouverture d’une procédure de redressement civil ; le tribunal de Tokyo l’accorde le 22 juin 2018, suspend la faillite et confie à Nobuaki Kobayashi le rôle d’administrateur du redressement. Le plan déposé le 15 février 2021 est approuvé par une large majorité des créanciers et homologué par le tribunal le 20 octobre 2021 ; il devient définitif le 16 novembre 2021.

Il faut ensuite près de trois ans pour vérifier les comptes et organiser les versements par l’intermédiaire de plateformes désignées. Le premier versement en bitcoins et en bitcoin cash a lieu le 5 juillet 2024. La date limite des remboursements, qui était au 31 octobre 2025, a été reportée au 31 octobre 2026, puis, par un avis du 16 octobre 2026, au 31 octobre 2027, avec l’autorisation du tribunal : de nombreux créanciers n’avaient pas encore accompli les démarches, et d’autres avaient rencontré des problèmes lors des versements.

Le site de l’administrateur met d’ailleurs en garde, à plusieurs reprises, contre de faux sites et de faux courriels qui usurpent le nom de Mt. Gox pour collecter les données des créanciers. Dix ans après le premier vol, l’affaire attire encore des escrocs.

Qu’est devenu Mark Karpelès, l’ancien dirigeant de Mt. Gox ?

Mark Karpelès, le Français qui dirigeait Mt. Gox, a été condamné le 15 mars 2019 par le tribunal du district de Tokyo à deux ans et demi de prison avec sursis pendant quatre ans pour manipulation de données informatiques, et relaxé du chef de détournement de fonds. Le parquet l’accusait d’avoir détourné environ 341 millions de yens de fonds de clients et avait requis dix ans de prison.

Selon le compte rendu de l’AFP, le tribunal a jugé qu’il avait « gravement porté atteinte à la confiance des utilisateurs » en manipulant les données et « abusé de son expertise d’ingénieur informatique ». Sur le détournement, le juge a estimé qu’il n’y avait pas eu de préjudice financier pour la société et que Mark Karpelès entendait rembourser les sommes empruntées. Pendant son procès, l’ancien dirigeant a présenté ses excuses aux clients pour la faillite, tout en contestant les deux accusations, et a toujours attribué la disparition des bitcoins à un piratage extérieur.

L’acte d’accusation américain de 2023 lui donne en partie raison sur ce point, puisqu’il vise deux ressortissants russes, Alexeï Bilioutchenko et Aleksandr Verner, pour avoir blanchi environ 647 000 bitcoins issus du piratage de Mt. Gox. Mais il décrit aussi une plateforme vidée pendant près de trois ans sans s’en rendre compte, ce qui, si les faits sont établis, en dit long sur ses contrôles internes.

Que retenir de Mt. Gox pour garder ses cryptos aujourd’hui ?

La première leçon de Mt. Gox est qu’une plateforme qui détient vos cryptos est un créancier dont vous dépendez, pas un coffre. Tant que vos bitcoins sont sur son compte, vous détenez une promesse de restitution, et cette promesse ne vaut que ce que valent ses réserves et ses contrôles. En 2014, aucune règle n’imposait à une plateforme japonaise de prouver qu’elle détenait les bitcoins inscrits au crédit de ses clients.

La deuxième leçon tient au temps. Même lorsque l’argent n’a pas entièrement disparu, une faillite immobilise les avoirs des clients pendant des années. Les créanciers de Mt. Gox ont attendu plus de dix ans le premier versement. Ceux de FTX, en 2022, ont attendu plus de deux ans. Notre fiche sur la faillite d’une banque ou d’un courtier montre la différence avec un compte-titres, où les titres du client restent séparés de ceux de l’intermédiaire et où un mécanisme de garantie existe.

La troisième leçon est réglementaire. Les règles actuelles, comme le règlement européen MiCA depuis 2024, répondent à ce type de faillite : exigences de conservation des avoirs des clients, sécurité informatique, contrôle des dirigeants. Elles ne rendent pas une faillite impossible ; elles rendent moins probable qu’une plateforme ignore pendant trois ans que ses réserves fuient. L’affaire canadienne QuadrigaCX, en 2019, a montré la même fragilité sous une autre forme.

Ce que j’en disais sur le forum

« Renseigne-toi sur l’histoire. Des exchanges tout aussi réputés ont eu mystérieusement un hacker qui a vidé les comptes des clients […] ou ils ont disparu du jour au lendemain, et c’était des leaders de l’époque. Plus de site, plus rien. »

Benoist Rousseau sur le forum, le 21 octobre 2020, à un membre dont la plateforme de cryptos ne proposait pas d’ordres stop et objectif simultanés

Quelles sont les limites de ce que l’on sait de l’affaire Mt. Gox ?

La première limite est que le récit judiciaire n’est pas achevé. L’acte d’accusation américain de 2023 contre Alexeï Bilioutchenko et Aleksandr Verner contient des accusations, non des faits jugés, et rien n’indique dans les sources consultées qu’ils aient été jugés pour ces faits. Les chiffres de 647 000 bitcoins volés et de 850 000 bitcoins disparus ne coïncident pas exactement, et l’écart n’a pas été publiquement expliqué de façon complète.

La deuxième limite concerne le bilan des remboursements. L’administrateur ne publie pas sur sa page d’accueil de taux de remboursement global, et la valeur reçue par chaque créancier dépend de sa date de calcul, de la monnaie choisie et des formalités accomplies. Les chiffres qui circulent sur un « remboursement à x % » sont donc à manier avec prudence. Ce qui est établi, c’est que des versements ont été faits en bitcoins et en bitcoin cash, ce qui a exposé les créanciers payés de cette façon à l’évolution du cours depuis 2014, au prix d’une attente de plus de dix ans.

Enfin, l’affaire Mt. Gox est parfois brandie contre le bitcoin lui-même. C’est un raccourci : le protocole n’a pas été cassé, c’est une entreprise qui a perdu le contrôle de ses clés et de ses comptes. Les partisans du bitcoin en tirent d’ailleurs l’argument inverse, celui de la garde personnelle de ses cryptos, avec les risques propres à cette solution, perte de la phrase de récupération comprise.

Questions fréquentes sur la faillite de Mt. Gox