Délit interne : un ingénieur en sécurité à l’origine de piratages de cryptomonnaies totalisant plusieurs millions de dollars

Contexte de l'affaire

Shakeeb Ahmed, ingénieur sécurité senior affilié à une entreprise internationale de technologie, a plaidé coupable en décembre à des accusations de fraude informatique dans le cadre d'opérations de piratage sophistiquées visant deux plateformes d’échange crypto décentralisées. Damian Williams, procureur des États-Unis pour le district sud de New York, a récemment annoncé ce plaidoyer de culpabilité.

Ce plaidoyer revêt une importance majeure dans le domaine de la sécurité crypto, car il s’agit de la première condamnation pour le piratage de smart contracts, établissant ainsi un précédent juridique pour les futures affaires de fraude sur blockchain. Cette décision historique illustre la capacité croissante du cadre légal à appréhender les crimes sophistiqués en matière de crypto-monnaies.

Les poursuites trouvent leur origine dans les attaques de juillet 2022 contre deux plateformes distinctes : l’une désignée simplement comme « l’échange crypto », l’autre identifiée comme appartenant au protocole de finance décentralisée Nirvana Finance. Lors de ces attaques, Ahmed, citoyen américain de 34 ans, a tiré parti de sa position d’ingénieur sécurité senior et de ses compétences avancées en rétro-ingénierie de smart contracts et en audit blockchain pour orchestrer ces attaques sophistiquées.

Piratage de la plateforme d’échange crypto

La première cible était une plateforme d’échange crypto décentralisée permettant aux utilisateurs d’échanger différentes crypto-monnaies, tout en récompensant les fournisseurs de liquidité grâce à un système automatisé de tenue de marché. Ahmed a identifié et exploité une vulnérabilité critique dans les smart contracts de la plateforme, qui régissent les mécanismes automatisés de trading et de distribution des frais.

En exploitant cette faille, Ahmed a généré frauduleusement environ 9 millions de dollars de frais de trading, en manipulant la logique de calcul des récompenses de la plateforme. Ce type d’attaque met en évidence les risques de sécurité inhérents aux protocoles DeFi complexes, où même une vulnérabilité mineure dans le code des smart contracts peut entraîner des pertes financières considérables.

Après le vol, Ahmed a entamé des négociations avec les représentants de la plateforme. Au cours de ces discussions, il a accepté de restituer la majeure partie des fonds volés à condition que la plateforme n’alerte pas les autorités. Cette tentative d’arrangement illustre un schéma fréquent dans les exploits crypto, où les attaquants cherchent à légitimer leur vol au moyen d’accords de restitution partielle.

Attaque contre Nirvana Finance

Dans un autre incident survenu en juillet 2022, Ahmed a mené une attaque encore plus sophistiquée contre Nirvana Finance, un protocole DeFi. Cette opération s’est appuyée sur un mécanisme de flash loan, qui permet d’emprunter de grandes quantités de crypto-monnaies sans garantie, à condition de rembourser l’emprunt au sein de la même transaction blockchain.

Ahmed a obtenu environ 10 millions de dollars grâce à ce flash loan, puis a manipulé les smart contracts de Nirvana pour exploiter des vulnérabilités d’oracle de prix et des mécanismes de liquidity pool. Par cette manipulation, il a réussi à extraire près de 3,6 millions de dollars de profit avant de rembourser le flash loan, ne laissant aucune trace des fonds empruntés.

Malgré la proposition par Nirvana Finance d’une récompense de type « bug bounty » pour la restitution des fonds volés, Ahmed a exigé 1,4 million de dollars en compensation. L’échec des négociations l’a conduit à conserver la totalité des fonds, entraînant la fermeture définitive de la plateforme Nirvana Finance. Cet incident illustre comment une faille de sécurité peut provoquer l’effondrement total d’un projet DeFi, affectant l’ensemble des parties prenantes.

Opérations de blanchiment de capitaux

À la suite de ces attaques, Ahmed a fait preuve d’une connaissance avancée de la criminalistique blockchain en utilisant des techniques complexes de blanchiment pour masquer la traçabilité des fonds volés. Ses méthodes comprenaient :

• L’exécution de multiples transactions de swap de tokens sur différentes plateformes d’échange décentralisées afin de rompre le lien direct entre les fonds volés et ses adresses de portefeuille
• L’utilisation de passerelles cross-chain pour transférer le produit de la fraude entre plusieurs blockchains, compliquant le travail des enquêteurs
• La conversion d’une part importante des crypto-monnaies volées en Monero, une devise axée sur la confidentialité et conçue pour masquer les détails des transactions ainsi que la propriété des portefeuilles

Ces techniques de blanchiment reflètent une véritable maîtrise de la technologie blockchain et soulignent les défis auxquels font face les autorités lors d’enquêtes sur des crimes liés aux crypto-monnaies.

Conséquences juridiques et condamnation

Ahmed a plaidé coupable pour un chef de fraude informatique, une infraction passible d’une peine maximale de cinq ans de prison fédérale. Ce plaidoyer représente une avancée significative dans l’application du droit aux crypto-monnaies, puisqu’il établit un précédent juridique pour la poursuite des exploits sur smart contracts au titre des lois existantes sur la fraude informatique.

Dans le cadre de l’accord, Ahmed a accepté de confisquer plus de 12,3 millions de dollars, dont environ 5,6 millions de dollars de crypto-monnaies volées que les autorités ont pu tracer et saisir. Cette confiscation constitue l’une des plus importantes récupérations dans une affaire pénale liée à la DeFi.

La condamnation d’Ahmed était prévue pour le 13 mars 2024 devant le juge fédéral Victor Marrero. L’issue de cette affaire devrait influencer la manière dont les futures affaires de fraude crypto sont poursuivies et pourrait servir de dissuasion envers d’autres professionnels de la sécurité envisageant de tels actes.

Cette affaire met en lumière la sophistication croissante des crimes liés aux crypto-monnaies et la réponse du système judiciaire, marquant une étape clé dans la maturation de la sécurité blockchain et du cadre réglementaire.

FAQ

Qu’est-ce qu’une menace interne dans une plateforme d’échange de crypto-monnaies ? Pourquoi les ingénieurs sécurité participent-ils à des vols ?

Les menaces internes proviennent d’employés soudoyés ou manipulés par ingénierie sociale. Les ingénieurs sécurité peuvent être motivés par d’importants gains financiers. Ces compromissions portent atteinte à la réputation de la plateforme, à la confiance des utilisateurs et peuvent entraîner des pertes de plusieurs milliards via un accès non autorisé aux systèmes critiques et aux données des utilisateurs.

Quels sont les cas de vols internes les plus célèbres dans l’histoire des crypto-monnaies ? Quels montants étaient en jeu ?

Mt. Gox a subi le plus important vol, avec plus de 850 000 Bitcoin dérobés entre 2011 et 2014, pour une valeur de plusieurs centaines de millions. D’autres affaires notables incluent les incidents de Coincheck et Bitfinex, chacun impliquant des pertes de plusieurs dizaines à centaines de millions attribuées à des complicités internes.

Comment les plateformes d’échange crypto préviennent-elles les opérations malveillantes et le vol de fonds par leurs ingénieurs sécurité ?

Les plateformes adoptent l’authentification multifacteur, des contrôles d’accès stricts et un suivi continu du personnel. Les transactions de grande valeur nécessitent plusieurs validations par des personnes distinctes. La majorité des fonds est conservée dans des cold wallets isolés des réseaux. Des formations régulières et des analyses biométriques comportementales permettent de détecter les comptes compromis, tandis que l’approche zero-trust limite les privilèges d’accès individuels.

Quelles méthodes techniques les initiés utilisent-ils généralement pour voler des fonds lors de compromissions de sécurité dans les crypto-monnaies ?

Les initiés tirent parti de leur accès privilégié pour contourner les protocoles de sécurité, manipuler les systèmes de stockage des clés privées, effectuer des transferts non autorisés de fonds et désactiver les mécanismes de surveillance. Ils peuvent installer des backdoors pour un accès continu, intercepter les données de transaction ou collaborer avec des attaquants externes pour orchestrer des vols à grande échelle tout en évitant les systèmes de détection.

Quelles sont les conséquences et sanctions juridiques encourues par les ingénieurs sécurité impliqués dans un vol de crypto-monnaies ?

Les ingénieurs sécurité impliqués dans un vol de crypto-monnaies encourent de lourdes sanctions pénales, notamment de longues peines d’emprisonnement (jusqu’à 20 ans), d’importantes amendes, la confiscation de leurs avoirs et un casier judiciaire permanent. Les peines varient selon le montant du vol et la juridiction concernée.

Comment les plateformes crypto doivent-elles concevoir la gestion des permissions et les mécanismes de surveillance pour prévenir les dérives internes ?

Mettre en place un contrôle d’accès rigoureux basé sur les rôles avec séparation des tâches, déployer des systèmes de surveillance des transactions en temps réel, effectuer des audits de sécurité réguliers, imposer la validation multi-signatures pour les opérations sensibles, conserver des journaux d’activité exhaustifs et assurer une analyse comportementale continue du personnel afin de détecter rapidement toute anomalie.