Ozapay : 92,7 M d’OZA retirés d’un verrou Solsale avant terme

Le 29 octobre 2026 à 7 h 42 UTC, 92,7 millions de jetons OZA ont été retirés de deux coffres de verrouillage Solsale, le launchpad Solana de GemPad, puis vendus une minute plus tard pour 185,76 SOL, soit environ 18 000 dollars. Les deux positions, dont l’échéance était fixée au 8 avril 2027, appartiennent au fondateur d’Ozapay, Johan Decottignies ; le retrait a été signé par une adresse qui n’en est pas le propriétaire. Cointribune a vérifié ces transactions sur la blockchain. Le cours du jeton de la fintech française est tombé à une valeur quasi nulle, le programme de verrouillage a été mis à jour le lendemain, et GemPad n’a toujours pas réagi.

En bref

• Le 29 octobre 2026, 92,7 millions de jetons OZA ont été retirés de deux verrous Solsale, cinq mois avant leur échéance.
• Les jetons ont été revendus une minute plus tard pour environ 18000 dollars, provoquant l’effondrement du cours d’OZA.
• Les transactions ont été confirmées sur la blockchain, mais l’origine des retraits non autorisés reste inconnue.
• Le programme de verrouillage a été modifié dès le lendemain, tandis que GemPad et Solsale n’ont fourni aucune explication publique.
• Le fondateur d’Ozapay a déposé plainte et estime son préjudice théorique à 3,77 millions de dollars.

Un verrou sauté cinq mois avant l’échéance

Le 29 octobre, Johan Decottignies annonce sur le site d’Ozapay et sur LinkedIn que « 92,7 millions de jetons OZA, appartenant personnellement au fondateur et volontairement verrouillés jusqu’au 8 avril 2027 » ont été retirés sans son autorisation puis revendus. Dans une réponse adressée à Cointribune le 2 novembre, il précise que les jetons provenaient de deux positions de verrouillage, qu’une plainte contre X a été déposée et que les autorités françaises ont été informées. Il transmet la signature de la transaction de vente.

La chaîne confirme son récit, et le précise. À 7 h 42 min 15 s UTC, une adresse commençant par FsHbb signe le retrait de 90 millions d’OZA du compte G7agib, puis celui de 2,7 millions d’un second compte ; les deux sont des comptes dérivés du programme de verrouillage HMpEqW77, celui qu’Ozapay utilise depuis mars 2025. À 7 h 43 min 19 s, la même adresse échange les 92,7 millions de jetons contre 185,76 WSOL via le routeur OKX DEX, sur deux pools Raydium. Au cours du SOL ce jour-là, plus de 1122,20 dollars par jour de volume (plus d’un millier d’euros par jour de volume), la vente a rapporté environ 18000 dollars. Le produit a été réparti dans les heures suivantes vers plusieurs adresses, par tranches de 100 et 159 SOL.

Sur l’interface de Solsale, les deux positions sont toujours affichées comme verrouillées au 5 novembre, avec « 154 jours restants ». Le détail des verrous indique un propriétaire commençant par 3PDHJ pour la position « Team Ozapay » de 90 millions, posée le 8 janvier 2026, et un autre propriétaire pour le « Founder Lock » de 2,7 millions, posé le 19 juin 2025, tous deux à échéance du 8 avril 2027. Aucun des deux ne correspond à l’adresse qui a signé les retraits. Les coffres, eux, sont vides.

Un programme modifié le lendemain, un opérateur silencieux

Le programme HMpEqW77 n’est pas vérifié sur Solscan, ne publie pas de fichier security.txt et reste modifiable par son autorité de mise à jour. Le 29 octobre, l’adresse FsHbb a enchaîné des dizaines d’instructions de retrait contre ce programme, et le portefeuille a liquidé le même jour d’autres jetons que l’OZA. Le 30 octobre, le programme a été étendu puis mis à jour par son autorité d’upgrade. Ozapay, qui dit avoir relevé des mouvements suspects sur « 115 projets et 301 positions de verrouillage », présente ce chiffre comme un périmètre à confirmer, non comme une preuve.

GemPad et Solsale n’ont publié aucun communiqué et n’ont pas répondu au fondateur, qui dit avoir aussi interpellé Phantom, dont le catalogue d’applications référence Solsale, sans réponse. Depuis son propre compte Telegram, il voit le groupe GemPad comme inaccessible ; le canal public @TheGemPad reste consultable, avec plus de 9700 membres. Aucune société de surveillance n’a signalé d’exploit, alors que Solana figure parmi les réseaux les plus ciblés en 2026. Le précédent existe pourtant : le 17 décembre 2024, le contrat de verrouillage de GemPad sur Ethereum, BNB Chain et Base avait été vidé de 1,8 à 2,2 million de dollars par une attaque par réentrance, documentée par Decurity, malgré des audits ; 27 projets avaient été touchés et GemPad avait reconnu la faille le jour même. L’interface de Solsale affiche aujourd’hui un bandeau « SECURE » renvoyant à des audits de janvier 2025.

Ce que la chaîne ne dit pas, c’est comment l’adresse FsHbb a pu faire exécuter ces retraits : faille du programme, compromission de clé ou autre scénario. Le portefeuille est actif depuis février 2025, compte plus de mille transferts et n’avait jamais détenu d’OZA avant le 29 octobre. Son titulaire n’est pas identifié. Ozapay dit disposer d’« une piste technique concernant le responsable présumé », réservée à la procédure. Quant au mouvement du 27 octobre, deux jours avant, où le cours avait été divisé par deux en séance, l’entreprise l’attribue à la vente des avoirs d’un investisseur de la communauté, sans lien avec les verrous.

Marché, préjudice et OZA V2

Sur Raydium, la principale paire OZA/SOL affichait le 2 novembre un prix de 0,000002857 dollar, une liquidité de 307 dollars et une capitalisation diluée de 2849 dollars, selon DexScreener, contre un cours proche de 0,04 dollar fin octobre et une capitalisation diluée d’environ 40 millions de dollars d’après DefiLlama et CoinGecko. Le fondateur évalue sa perte à 3,77 millions de dollars au cours de 0,04067 dollar relevé avant l’incident, tout en reconnaissant qu’il s’agit d’une valeur théorique : avec quelques centaines de dollars de volume quotidien, le marché n’aurait jamais pu absorber une telle quantité. Les 18000 dollars effectivement tirés de la vente en donnent la mesure.

Ozapay annonce un jeton OZA V2 au standard Solana Token-2022, qui permet d’intégrer nativement des règles de transfert et de verrouillage dans le jeton lui-même, avec une émission fixe d’un milliard d’unités, la fin de toute dépendance à un locker externe et un audit indépendant avant déploiement. La migration serait fondée sur un snapshot antérieur au 29 octobre, à parité de 1 OZA V1 pour 1 OZA V2, avec maintien des périodes de verrouillage initiales, financée par le fondateur sur ses ressources personnelles avec le soutien d’investisseurs indépendants. Une cotation est à l’étude sur Orca ou Meteora, puis sur une plateforme centralisée non nommée, sans date. Le fondateur précise que la migration « ne constitue pas une garantie de remboursement en euros ».

Aucun actif conservé dans les portefeuilles des utilisateurs de l’application Ozapay n’a été touché. Les détenteurs sont invités à conserver leurs OZA V1 et leurs justificatifs, et à se méfier des fausses pages de migration : seules les annonces des canaux officiels d’Ozapay font foi. Cointribune a publié en mai 2025 un contenu sponsorisé pour l’IDO d’Ozapay. Cet article s’appuie sur des données publiques vérifiées par la rédaction et sur les déclarations d’Ozapay, attribuées comme telles ; il ne constitue pas un conseil d’investissement, et le jeton OZA présente un risque de perte totale.