Mt. Gox : le péché originel des plateformes Bitcoin

1. Une porte d’entrée devenue presque incontournable

SunLibCrypto

Mt. Gox n’est pas né comme un projet de banque. Le nom vient de « Magic: The Gathering Online eXchange », un site de cartes créé par l’entrepreneur américain Jed McCaleb. Le service devient une plateforme d’échange de bitcoins en 2010. En 2011, McCaleb cède l’entreprise à Mark Karpelès, un développeur français installé au Japon. Sous sa direction, Mt. Gox devient le principal lieu de négociation du bitcoin pendant l’expansion de 2013.[3]

Le chiffre souvent repris — « 70 % des échanges mondiaux » — mérite une date et une définition. Un prospectus déposé auprès de la SEC indiquait que Mt. Gox représentait près des trois quarts des échanges sur les plateformes Bitcoin durant le premier semestre 2013. Sa part était déjà retombée à un peu plus de 50 % en août, selon une autre série de données citée dans le même document.[3] Ces estimations portent sur le volume déclaré par les exchanges suivis, pas sur chaque transaction Bitcoin dans le monde. Elles ne signifient donc pas que Mt. Gox contrôlait 70 % du protocole ou de tous les bitcoins en circulation.

La concentration restait néanmoins considérable. Pour des milliers de clients, l’entreprise n’était pas seulement un marché où acheter ou vendre : elle détenait aussi les clés et les soldes que les clients voyaient dans leur compte. Le mot « bitcoin » donnait à ces soldes l’apparence d’un actif disponible à tout moment. En pratique, les clients dépendaient de la capacité de Mt. Gox à tenir ses comptes, sécuriser ses portefeuilles et honorer les retraits.

2. Le solde affiché n’était pas une preuve de réserve

SunLibCrypto

Comme la plupart des exchanges custodiaux, Mt. Gox regroupait les bitcoins de ses clients dans des portefeuilles contrôlés par la société. Les échanges entre utilisateurs étaient comptabilisés dans le grand livre interne de la plateforme ; ils ne donnaient pas lieu, à chaque transaction, à un transfert visible sur la blockchain. Une transaction Bitcoin n’apparaissait publiquement que lors d’un dépôt, d’un retrait ou d’un mouvement de trésorerie.[3]

Cette organisation est efficace : elle permet de traiter rapidement un grand nombre d’ordres sans inscrire chaque opération interne sur la chaîne. Mais elle crée une asymétrie d’information. Le client voit un nombre à l’écran ; l’exchange sait, ou devrait savoir, si les actifs correspondants existent réellement et restent accessibles. Sans audit fiable et régulier des réserves et des dettes, un solde affiché ne prouve pas qu’un bitcoin est disponible pour chaque bitcoin dû.

Mt. Gox avait déjà connu des incidents de sécurité, des interruptions et des difficultés opérationnelles. En 2011, une intrusion a compromis des données de comptes ; des attaques par déni de service et des problèmes de retraits en monnaie traditionnelle ont ensuite fragilisé la plateforme. Les documents de l’époque décrivent un secteur encore jeune, où la sélection des exchanges et la publication de données dépendaient largement des entreprises elles-mêmes.[3]

Ce contexte ne prouve pas, à lui seul, que la direction connaissait l’ampleur du déficit avant février 2014. Il montre cependant que l’entreprise était devenue centrale sans rendre publiquement vérifiable la correspondance entre ses soldes clients et ses actifs.

3. Février 2014 : une crise qui s’aggrave en quelques semaines

SunLibCrypto

Le 7 février, Mt. Gox suspend les retraits de bitcoins. L’entreprise invoque un problème de « transaction malleability », ou malléabilité des transactions. Les utilisateurs peuvent toujours voir leurs soldes et, pendant un temps, le trading continue sur le site, mais les demandes de retrait ne sont plus exécutées normalement.[3]

Le cours du bitcoin sur Mt. Gox se détache alors de celui des autres places de marché : la confiance dans la possibilité de convertir les soldes de la plateforme en bitcoins réels s’effondre. Un prospectus déposé auprès de la SEC indique que l’indice Winkdex est passé de 795,17 dollars le 6 février à 578,20 dollars le 20 février, après que Mt. Gox eut été écarté de cet indice.[3] Ce mouvement résulte d’un marché déjà volatil et ne permet pas d’attribuer toute la baisse à une seule cause.

Le 24 février, les opérations s’interrompent et le site devient inaccessible. Dans sa demande présentée au tribunal de Tokyo, Mt. Gox dit avoir fermé son site le lendemain, après avoir découvert des bitcoins manquants et un écart important entre les dépôts en espèces et les sommes détenues dans les institutions financières.[1]

Le 28 février, l’entreprise demande l’ouverture d’une procédure de réhabilitation civile, une démarche visant alors à poursuivre son activité sous supervision judiciaire. Le document annonce environ 3,84 milliards de yens d’actifs pour 6,50 milliards de yens de passifs. Il évoque aussi un écart d’environ 2,8 milliards de yens entre les dépôts clients en espèces et les sommes retrouvées dans les comptes bancaires. Mt. Gox reconnaît que ses chiffres restent provisoires et que les causes ne sont pas établies.[1]

La distinction juridique importe : le 28 février, Mt. Gox demande d’abord une procédure de réhabilitation civile ; la liquidation judiciaire intervient ensuite. Dire simplement « la société déclare faillite le 28 février » écrase cette chronologie.[1][3]

4. 850 000 BTC, puis 650 000 : ce que recouvrent les chiffres

SunLibCrypto

Dans sa déclaration du 28 février, l’entreprise estime que 750 000 BTC appartenant aux clients et environ 100 000 BTC lui appartenant ont disparu, soit quelque 850 000 BTC. Elle dit croire à un vol lié à l’exploitation d’un problème technique, tout en précisant que l’enquête n’a pas encore déterminé la cause ni le montant exact.[1]

Le 7 mars, Mt. Gox retrouve 199 999,99 BTC dans un ancien portefeuille au format utilisé avant juin 2011. L’annonce officielle du 20 mars ramène alors le montant estimé des bitcoins manquants à environ 650 000.[2] Le portefeuille n’a pas été rendu par des pirates : il s’agissait, selon l’entreprise, d’un portefeuille qu’elle pensait vide et qu’elle a redécouvert en vérifiant ses anciens supports.

« 850 000 BTC volés » est donc un raccourci commode, mais plus catégorique que les premières pièces. Les 850 000 étaient le montant déclaré manquant au moment de la crise. L’entreprise soupçonnait un vol ; le portefeuille retrouvé a réduit le déficit estimé. Il faut séparer ce qui a disparu des comptes, ce qui a été récupéré et ce dont le détournement a été attribué à un auteur par une procédure judiciaire.

En 2019, le rapport du syndic de réhabilitation faisait état d’environ 141 686 BTC et 142 846 BCH détenus par le débiteur à la date du 30 septembre 2019.[8] Ces actifs, ainsi que les liquidités et les autres éléments de la procédure, ont alimenté les remboursements aux créanciers. Ils ne signifient pas que l’ensemble des bitcoins déclarés manquants a été retrouvé.

5. La malléabilité : un vrai problème, pas une explication suffisante

SunLibCrypto

La malléabilité des transactions désigne la possibilité de modifier certaines données qui changent l’identifiant d’une transaction avant son inscription définitive dans la blockchain. Un logiciel d’exchange qui suivrait uniquement cet identifiant pouvait, dans certaines conditions, croire qu’un retrait n’avait pas été confirmé et créditer à tort le compte de l’utilisateur une seconde fois. Le problème concernait la manière dont un service interprétait et comptabilisait les transactions ; il ne permettait pas de créer des bitcoins à volonté ni de modifier les règles d’émission du réseau.[3][5]

Mt. Gox a présenté cette faiblesse comme une cause possible de l’hémorragie. Mais une étude de Christian Decker et Roger Wattenhofer, chercheurs de l’ETH Zurich, a analysé les traces de transactions disponibles avant la fermeture. Les auteurs concluent que la malléabilité était réelle, mais que les attaques observées étaient trop peu nombreuses pour expliquer à elles seules un déficit de 850 000 BTC ; leur estimation du montant qui aurait pu être détourné par les attaques étudiées était de quelques centaines de bitcoins.[5]

Cette étude ne reconstitue pas chaque mouvement interne de Mt. Gox et ne prouve pas que la malléabilité n’a joué aucun rôle. Elle montre qu’on ne peut pas accepter l’explication de l’entreprise comme une démonstration complète. Un défaut du protocole et une comptabilité interne fragile sont deux choses différentes ; une plateforme bien conçue devait pouvoir vérifier l’état réel d’un retrait au lieu de s’appuyer aveuglément sur un identifiant.

6. Des pistes criminelles, mais pas une explication judiciaire totale

SunLibCrypto

En juin 2023, le ministère américain de la Justice a publié un acte d’accusation visant deux ressortissants russes, Alexey Bilyuchenko et Aleksandr Verner. Les procureurs allèguent qu’ils ont obtenu un accès non autorisé aux serveurs et aux clés privées de Mt. Gox à partir de septembre 2011, et que leurs actes et ceux de leurs complices ont entraîné le vol d’au moins 647 000 BTC entre 2011 et mai 2014.[6]

Ce document judiciaire est important parce qu’il décrit une hypothèse de vols étalés sur plusieurs années, plutôt qu’une perte soudaine causée uniquement par un bug en février 2014. Mais un acte d’accusation présente des allégations du ministère public : il ne constitue pas, à lui seul, une décision de justice définitive sur l’ensemble des 850 000 BTC manquants. Il ne décrit pas non plus le sort de chaque bitcoin ni de chaque compte client.

Mark Karpelès a, lui, été jugé au Japon pour des accusations liées à la manipulation de données et au détournement de fonds. En 2019, le tribunal de Tokyo l’a condamné pour falsification de données électroniques, avec une peine de deux ans et six mois assortie d’un sursis de quatre ans ; il l’a acquitté du chef de détournement de fonds. La Haute Cour de Tokyo a confirmé la condamnation pour falsification en 2020.[7]

Cette décision n’établit pas que Karpelès a volé les 850 000 BTC. Elle ne constitue pas non plus un audit complet de la gestion de l’entreprise. Le verdict portait sur des actes pénaux précis : il faut éviter de transformer l’acquittement d’un chef d’accusation en certificat général de bonne gestion, comme de transformer une condamnation pour manipulation comptable en preuve qu’il a organisé le vol massif.

7. La faillite devient une longue procédure de remboursement

SunLibCrypto

L’affaire ne s’est pas terminée avec la fermeture du site. Les clients sont devenus des créanciers d’une société dont les actifs ont été administrés sous contrôle judiciaire. En 2018, la procédure a basculé vers une réhabilitation civile ; un plan de remboursement a finalement été approuvé en 2021. Ce changement a rendu possible le remboursement d’une partie des créances en bitcoins et en Bitcoin Cash, plutôt que de limiter tout le règlement à une valeur fixée en yens au moment de la faillite.

Les remboursements en espèces, BTC et BCH ont commencé en 2024. Dans un avis du 21 août 2024, le syndic indiquait avoir déjà remboursé plus de 19 000 créanciers en bitcoins et en Bitcoin Cash, tout en précisant que d’autres dossiers restaient en attente de vérifications ou de corrections de compte.[9]

La procédure demeure ouverte en novembre 2026. Le 16 octobre 2026, le syndic a annoncé, avec l’autorisation du tribunal, que les échéances des remboursements de base, intermédiaires et anticipés étaient reportées au 31 octobre 2027. Il expliquait que les paiements avaient été largement effectués pour les créanciers ayant complété les démarches et dont le dossier n’avait pas rencontré de problème, mais que de nombreux autres n’avaient pas encore reçu leurs fonds.[10]

Douze ans après l’effondrement, des remboursements ont donc bien eu lieu ; il serait faux de dire que personne n’a été payé. Il serait tout aussi faux de présenter le dossier comme entièrement clos. Le remboursement partiel d’une créance et la récupération intégrale des bitcoins perdus ne sont pas la même chose.

8. Mt. Gox a-t-il provoqué à lui seul la crise de plusieurs années ?

SunLibCrypto

La chute de Mt. Gox a frappé un marché jeune où la même plateforme servait de référence à de nombreux investisseurs et où les règles de protection étaient faibles. La perte d’accès aux comptes et l’incertitude sur les réserves ont porté un coup à la confiance et à la liquidité. Un dossier de la SEC évaluait le recul du Winkdex à environ 27 % entre le 6 et le 20 février 2014, période qui comprend la suspension des retraits et la disparition de Mt. Gox de l’indice.[3]

Le recul du bitcoin avait cependant commencé avant la faillite. Le Government Accountability Office américain rappelle que le prix composite est passé d’un pic d’environ 1 147 dollars le 4 décembre 2013 à 522 dollars le 18 décembre, puis a rebondi à 951 dollars le 6 janvier 2014, avant de finir mars autour de 458 dollars.[4] L’avis réglementaire chinois de décembre 2013, les difficultés d’autres exchanges et la volatilité générale avaient déjà pesé sur le marché.

Mt. Gox a donc été un facteur majeur d’une crise de confiance prolongée, mais la formule « Mt. Gox a, seul, provoqué plusieurs années de baisse » va trop loin. Elle confond un événement spectaculaire avec l’ensemble des causes économiques, réglementaires et techniques d’un marché encore naissant. L’effondrement a aussi entraîné un déplacement des volumes vers d’autres exchanges et une remise en question de la garde centralisée ; il n’a pas arrêté le protocole Bitcoin.

9. Ce que les pièces établissent — et ce qu’elles ne permettent pas de conclure

SunLibCrypto