Unocoin, l’une des plus anciennes plateformes crypto d’Inde, a annoncé jeudi 12 novembre avoir repéré des transactions sortantes d’ether depuis une adresse Ethereum de son dispositif de portefeuilles chez BitGo, six jours après avoir détecté une première activité non autorisée sur ses systèmes. Dans une mise à jour de sécurité publiée sur son blog, la société de Bangalore indique que sa propre infrastructure de serveurs a été compromise et que BitGo a ouvert une enquête. Le texte ne donne ni montant ni destination pour l’ether. Les clients ne peuvent plus se connecter depuis le lundi 9 novembre.
La formulation compte. Unocoin affirme que ses serveurs ont été compromis. L’adresse concernée se trouve dans l’infrastructure de portefeuilles de Unocoin chez BitGo, un prestataire de conservation, et servait à alimenter des transferts de jetons ERC-20. Personne, Unocoin compris, n’a dit que BitGo lui-même avait été piraté, et aucun vol n’a été démontré sur la blockchain à ce stade. smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il existe un récit de l’entreprise, une plateforme gelée et une zone d’ombre dans ce que la société peut voir.
Piratage de Unocoin : chronologie, de la première alerte du 6 novembre aux transactions chez BitGo
La mise à jour de Unocoin détaille la séquence avec une précision inhabituelle pour le premier jour, et beaucoup moins pour les jours suivants.
| Date (2026) | Ce que Unocoin rapporte |
|---|---|
| Vendredi 6 novembre | Activité non autorisée détectée ; Unocoin déclenche des mesures de précaution sur ses avoirs crypto |
| 6 novembre, 11 h 24 UTC | Gel de son compte entreprise Fireblocks demandé |
| 6 novembre, 11 h 29 UTC | Gel de son compte entreprise BitGo demandé ; les deux prestataires confirment les gels |
| Lundi 9 novembre | Nouvelle activité non autorisée malgré les vérifications précédentes ; tous les services suspendus ; infrastructure jugée compromise |
| Jeudi 12 novembre | Transactions sortantes repérées depuis une adresse ETH de ses portefeuilles BitGo ; dossier remonté à BitGo |
Au moment des gels du 6 novembre, écrit la société, aucune perte de cryptomonnaies n’avait été identifiée. Le billet ne donne pas d’horaires pour les événements du 9 novembre, et il ne dit pas quand les transactions d’ether sortantes ont eu lieu, seulement quand Unocoin les a découvertes.
Ce que Unocoin affirme, et ce qu’elle ne voit pas
La phrase la plus importante de la mise à jour est un aveu. « Nous n’avons actuellement pas de visibilité complète sur toutes les transactions potentiellement non voulues », écrit Unocoin à propos de ses portefeuilles BitGo. Ses comptes BitGo restent gelés et elle ne peut pas s’y connecter, ce qui est le but d’un gel, mais l’empêche aussi de les inspecter de l’intérieur.
Elle ne peut pas non plus tout vérifier de l’extérieur. Selon Unocoin, la conception des portefeuilles BitGo recourt à des adresses de change, de nouvelles adresses qui reçoivent le solde restant après un paiement, si bien que la société ne peut pas rattacher avec certitude chaque mouvement sur la blockchain à ses propres portefeuilles. Elle a demandé à BitGo le détail transaction par transaction. D’après The Block, Unocoin a aussi refusé sur X de garantir aux clients une récupération « sur la base d’hypothèses » tant que ces détails ne sont pas vérifiés.
BitGo, affirme Unocoin, a confirmé qu’il traite le dossier en priorité et examine comment ces transactions ont pu se produire. C’est la description que donne Unocoin de la position de BitGo. BitGo n’a publié aucune déclaration de son côté sur l’incident.
« Aucun fonds perdu » : une affirmation qui ne vient que de Unocoin
La mention « aucun fonds perdu » remonte à la première déclaration de Unocoin après la suspension du 9 novembre, relayée sur X, dans laquelle elle affirmait qu’aucun fonds en cryptomonnaies n’avait été perdu, comme l’a rapporté Bitcoin.com News. Des médias spécialisés comme Crypto Briefing et The Block la présentent encore comme la position de la plateforme. Le billet du 12 novembre est plus prudent et ne la répète pas. Il dit seulement qu’aucune perte n’avait été identifiée lors des premiers gels, et que l’étendue complète des transactions non voulues chez BitGo n’est pas encore connue.
Ces deux positions peuvent coexister pour l’instant, mais la seconde limite la première. Une société qui dit ne pas voir toute l’activité de ses portefeuilles peut déclarer qu’elle n’a trouvé aucune perte. Elle ne peut pas encore démontrer qu’il n’y en a pas, et la dernière mise à jour ne s’y essaie pas.
Le principal élément rassurant est structurel. « Les cryptomonnaies ne sont conservées directement sur aucun de nos serveurs », indique le billet, et plus de 90 % des cryptos détenues pour les clients sont en stockage à froid, c’est-à-dire avec des clés conservées hors ligne (voir notre explication du portefeuille à froid). Reste donc jusqu’à un dixième hors stockage à froid. Unocoin ne précise ni le poids de cette part en dollars, ni où elle se trouve, ni si l’adresse ETH en faisait partie.
Ce que montre la blockchain, et ce qu’elle ne montre pas
Aucune adresse ETH, aucun hash de transaction, aucun montant ni nom de jeton n’apparaît dans la mise à jour de Unocoin, et rien n’a été publié ailleurs. Tant que ce ne sera pas le cas, la sortie ne peut pas être suivie sur un explorateur de blocs et son ampleur reste inconnue.
La seule lecture on-chain à ce jour est indirecte. Le compte d’analyse Onchain Lens a indiqué sur X le 12 novembre qu’Arkham Intelligence affiche un solde cumulé de 0 $ sur environ 81 000 adresses qu’elle attribue à Unocoin. Bitcoin.com News a consulté la même page Arkham : 80 986 adresses, l’étiquette « No assets found », quelques centaines de dollars au plus sur le dernier mois et un pic sur trois mois juste au-dessus de 250 000 $.
Cet historique compte plus que le zéro. Des adresses étiquetées qui n’ont contenu que quelques centaines de dollars pendant un mois ne peuvent pas être celles où la plateforme garde les cryptos de ses clients : un total vide dit donc peu de chose sur une éventuelle ponction. Les étiquettes d’Arkham peuvent être anciennes, ou couvrir des adresses de dépôt vidées vers d’autres adresses. Bitcoin.com News fait la même remarque : un solde nul sur des portefeuilles étiquetés ne prouve pas que des fonds ont été volés, et aucun vol de grande ampleur n’a été vérifié de manière indépendante.
BitGo et Fireblocks : deux comptes gelés, une seule enquête
Unocoin utilisait en parallèle deux prestataires de conservation institutionnels. Fireblocks, qui s’appuie sur le calcul multipartite (MPC) pour fractionner les clés de signature (notre guide de Fireblocks explique le modèle), a confirmé le gel du compte entreprise de Unocoin le 6 novembre ; la mise à jour ne rapporte rien de plus de ce côté. Toutes les questions se tournent désormais vers BitGo, qui a publié ses résultats du troisième trimestre le 10 novembre et n’a pas commenté le cas Unocoin.
Les serveurs compromis d’un client et la sécurité propre d’un conservateur sont deux sujets distincts. Si un attaquant détenait des identifiants valides ou un accès API depuis l’intérieur de Unocoin, une transaction pouvait quitter un portefeuille conservé sans aucune faute du conservateur. Unocoin ne dit pas si c’est ce qui s’est passé, ni si les transactions sortantes ont eu lieu avant le gel du 6 novembre. Les conclusions de BitGo devraient répondre aux deux questions.
Reconstruction à zéro : quatre à cinq jours ouvrés, pas de date de reprise
Plutôt que de restaurer l’environnement existant, Unocoin dit qu’elle va reconstruire toute son infrastructure de serveurs de zéro avec des contrôles de sécurité renforcés, ce qui devrait prendre quatre à cinq jours ouvrés. Les services ne reprendront qu’après des vérifications de sécurité. La mise à jour ne dit pas quand la reconstruction a commencé, ni à quelle date les services rouvriront. Le 12 novembre, son site renvoyait une erreur 504, selon Crypto Briefing et The Block.
La manière dont ses systèmes ont été pénétrés, ceux auxquels l’attaquant a eu accès et la question de savoir si des données clients ont été exposées font toujours, selon l’entreprise, l’objet d’une enquête. La mise à jour ne nomme aucun régulateur ni aucune plainte, et ne donne aucune consigne aux clients ; elle indique une ligne téléphonique ouverte de 9 h 30 à 18 h 30, heure indienne, du lundi au samedi, une adresse e-mail et un formulaire de demande d’assistance.
Un nouvel incident pour une plateforme indienne, après WazirX et CoinDCX
Unocoin a été fondée en 2013 et n’en est pas à son premier souci de sécurité. En juin 2017, elle avait bloqué les connexions et les retraits après la découverte d’une faille de serveur le 23 juin, selon ForkLog à l’époque, son directeur général assurant que les fonds des clients n’étaient pas en danger.
Les cas indiens plus lourds sont venus ensuite. En juillet 2024, WazirX a chiffré à plus de 230 millions de dollars les pertes d’une attaque contre l’un de ses portefeuilles multisignatures, d’après The Record ; la société d’analyse Elliptic a rattaché l’attaque à des pirates liés à la Corée du Nord. En juillet 2025, CoinDCX a révélé une perte d’environ 44 millions de dollars sur un compte de l’entreprise utilisé uniquement pour la liquidité sur une plateforme partenaire, en assurant que ses réserves la couvriraient intégralement et qu’aucun actif de clients n’était touché, selon The Week. En octobre 2026, CoinDCX a aussi confirmé une perte de 16 millions de dollars en USDT sur d’anciens portefeuilles.
En septembre 2025, la cellule de renseignement financier indienne (FIU-IND), où les plateformes crypto s’enregistrent au titre de la lutte contre le blanchiment, a commencé à exiger des audits de cybersécurité réalisés par des auditeurs agréés par CERT-In, l’équipe nationale de réponse aux urgences informatiques, dans une circulaire datée du 15 septembre 2025, a rapporté Business Standard.
Un parallèle plus proche est celui de Gopax, en Corée du Sud, qui a suspendu retraits et trading le 6 novembre après une menace de piratage, là aussi sans perte signalée et sans date de reprise.
Que peuvent faire les clients de Unocoin tant que les connexions sont coupées ?
La mise à jour de Unocoin ne donne aucun conseil : voici donc des précautions générales pour toute personne privée d’accès à une plateforme après une intrusion. Ce ne sont pas des démarches demandées par la société.
- Considérez comme suspect tout SMS, e-mail ou message Telegram évoquant une « récupération de fonds », une « revérification KYC » ou un accès anticipé. Les incidents sur les plateformes attirent le phishing, et Unocoin n’a pas exclu que des données clients aient été exposées.
- N’utilisez que les contacts indiqués sur blog.unocoin.com et unocoin.com, et ne communiquez jamais un mot de passe ou un code à usage unique à une personne qui vous appelle.
- Changez tout mot de passe utilisé sur Unocoin et sur d’autres sites, et activez l’authentification à deux facteurs par application là où vous l’aviez réutilisé.
- Gardez vos propres traces : captures d’écran des soldes, historique des dépôts et retraits, et tous les e-mails reçus de Unocoin. Elles seront utiles s’il y a un processus de réclamation plus tard.
Piratage de Unocoin : ce qu’on ignore encore
- Combien d’ETH, ou quels jetons ERC-20, ont quitté l’adresse BitGo, quand, et vers quelle destination.
- Si des soldes de clients sont touchés, et si la position « aucun fonds perdu » résiste au rapport de BitGo transaction par transaction.
- Comment les serveurs de Unocoin ont été compromis, et si des données de clients ont été prises.
- Quelles autorités indiennes, le cas échéant, ont été averties.
- Quand connexions, trading et retraits rouvriront une fois la reconstruction de quatre à cinq jours terminée.
Le prochain fait à surveiller est la conclusion de BitGo sur les transactions sortantes, que Unocoin dit attendre avant de donner la moindre assurance sur une récupération.