Rien qu’entre juillet 2020 et juin 2021, l’activité des ransomwares a grimpé de 1 070 %, selon un récent rapport Fortinet, d’autres chercheurs confirmant la prolifération de ce mode d’extorsion. Imitant le modèle commercial prédominant du monde technologique légitime, des portails de rançongiciels en tant que service sont apparus dans les coins les plus sombres du Web, institutionnalisant l’industrie de l’ombre et réduisant le plafond de compétences pour les criminels en herbe. La tendance devrait sonner une sonnette d’alarme dans l’écosystème de la cryptographie, d’autant plus que les attaquants de ransomware ont le don de payer en crypto.
Cela dit, l’industrie qui était autrefois un Far West sauvage assume maintenant un cadre plus ordonné. S’infiltrant lentement mais sûrement dans le courant dominant, il en est maintenant au point où certaines des plus grandes bourses centralisées (CEX) embauchent des enquêteurs de haut niveau sur la criminalité financière pour superviser leurs efforts contre le blanchiment d’argent.
Le problème est que tous les échanges ne se valent pas. Un échange centralisé fonctionne de la même manière qu’une entité commerciale traditionnelle, mais cela ne veut pas dire que tous font maintenant la queue pour obtenir leur droit de lutte contre le blanchiment d’argent (AML). Les choses deviennent encore plus délicates avec les échanges décentralisés (DEX), qui, avouons-le, ne sont pas aussi décentralisés que leur nom l’indique, mais aiment prétendre le contraire. Dans la plupart des cas, les DEX ont peu, voire rien, en termes de mesures Know Your Customer (KYC), aidant les utilisateurs à sauter entre les pièces et les blockchains à leur guise tout en laissant peu de traces. Alors que certains d’entre eux peuvent utiliser divers services d’analyse pour effectuer des vérifications des antécédents sur les portefeuilles, les pirates peuvent essayer de les contourner en utilisant des mélangeurs et d’autres outils.
En rapport: Les DAO sont censés être complètement autonomes et décentralisés, mais le sont-ils ?
En ce qui concerne les flux de trésorerie des ransomwares, les DEX et les CEX sont très présents sur le radar, mais les criminels les utilisent à des fins différentes. Les criminels utilisent les DEX, ainsi que des services de mélange, pour blanchir la rançon payée par les clients, en la déplaçant d’adresse en adresse et de devise en devise, selon un récent rapport du Financial Crimes Enforcement Network des États-Unis. Les CEX, pour leur part, servent principalement de point de sortie pour les criminels, leur permettant d’encaisser des pièces en fiat.
En rapport: Crypto dans le collimateur : les régulateurs américains lorgnent sur le secteur de la crypto-monnaie
Avoir de l’argent volé sur votre réseau n’est pas une bonne idée pour personne, et parfois, cela a des conséquences. En septembre dernier, le Trésor américain a imposé des sanctions au courtier OTC Suex pour avoir travaillé efficacement à faciliter le blanchiment d’argent des ransomwares. L’échange était imbriqué sur Binance, bien que la société ait déclaré qu’elle avait dé-plateforme Suex bien avant la désignation du Trésor sur la base de ses propres « garanties internes ».
Le développement devrait être un signal d’alarme pour les CEX et les DEX partout dans le monde, car il applique l’effet domino des sanctions américaines à l’écosystème crypto. Une entité sanctionnée peut être confortablement installée dans sa juridiction d’origine, mais dans le monde interconnecté actuel, les sanctions américaines entravent les opérations impliquant des clients étrangers qu’elle peut souhaiter entreprendre encore plus. Cela ne doit tout simplement pas impliquer uniquement Binance – cela pourrait inclure toute entreprise légitime ayant une présence et des intérêts aux États-Unis, et il en va de même pour les hébergeurs, les processeurs de paiement ou toute personne permettant les opérations commerciales quotidiennes de la société cible.
En théorie, les sanctions pourraient même affecter indirectement les entités décentralisées de multiples façons. Les projets décentralisés ont toujours normalement des équipes de développement de base qui leur sont associées, ce qui invoque la perspective de la responsabilité individuelle. À l’avenir, et avec suffisamment de rigueur réglementaire, ils pourraient même un jour voir leur trafic entrant et sortant étranglé ou carrément bloqué par les IPS, à moins que les utilisateurs n’utilisent des outils d’obscurcissement supplémentaires comme le VPN.
En rapport: Des NFT aux CBDC, la crypto doit s’attaquer à la conformité avant que les régulateurs ne le fassent
Guerre d’usure contre les rançongiciels
L’incident Suex OTC et ses implications profondes nous indiquent ce qui pourrait être une stratégie plus large pour étouffer les groupes de ransomwares. Nous savons qu’ils dépendent de plusieurs nœuds à l’intérieur de l’écosystème crypto, mais les DEX et les CEX ont une valeur particulière à leurs yeux en leur permettant de cacher leurs traces et de mettre de l’argent dans leurs poches. Et c’est l’objectif final, dans la plupart des cas.
Il est naïf de s’attendre à ce que chaque acteur dans ce domaine soit tout aussi diligent avec ses garanties internes. L’application des normes KYC et AML sur les échanges rendra, à tout le moins, plus difficile pour les criminels de déplacer la crypto et de retirer de l’argent. De telles mesures augmenteraient leurs pertes, rendant l’ensemble de l’opération moins rentable et, par conséquent, moins lucrative. À long terme, idéalement, cela pourrait les priver de zones vitales de la vaste infrastructure qu’ils utilisent pour transporter l’argent, rendant la boîte à biscuits effectivement inaccessible. Et pourquoi chercher de l’argent que vous ne pouvez pas mettre dans votre poche ?
Avec les progrès de l’apprentissage automatique et de l’identification numérique, les DEX peuvent être aussi aptes à KYC que leurs parents centralisés, en utilisant l’IA pour traiter les mêmes documents que les banques le feraient pour leurs efforts KYC. C’est une procédure qui peut être automatisée, donnant à leurs clients légitimes plus de tranquillité d’esprit et, potentiellement, attirer plus de flux de trésorerie avec leur statut réglementé. La communauté crypto pourrait aller encore plus loin en mettant en place des contrôles supplémentaires sur les transactions impliquant des échanges et des services connus pour avoir une forte proportion d’activités illicites. Même s’il est peu probable que des mesures telles que la mise sur liste noire des portefeuilles gagnent en popularité (bien que les listes noires ne soient pas inconnues dans l’espace cryptographique – par exemple, les plates-formes NFT ont récemment gelé le commerce des NFT volés) – même leur adoption limitée peut faire la différence, apportant plus légitime le trafic vers les échanges qui font un effort supplémentaire.
En rapport: Les principaux échanges cryptographiques visent le marché asiatique dans un contexte de clarté réglementaire croissante
En termes militaires, c’est comme mener une guerre d’usure contre des groupes de rançongiciels – épuiser l’ennemi au lieu de causer des dommages immédiats directs. Une attaque de ransomware sophistiquée nécessite un investissement considérable en temps et en argent. Cela est vrai pour les deux équipes développant une solution sur mesure destinée à une cible spécifique de haut niveau ou un opérateur d’une plate-forme de ransomware-as-a-service. Ne pas pouvoir encaisser la rançon signifie que la majeure partie de ce temps, de ces efforts et de ces investissements sont simplement allés à la poubelle.
Les critiques peuvent faire valoir que de telles mesures ne fonctionneraient pas, simplement parce que les pirates peuvent toujours passer à un autre mécanisme financier pour réclamer leur argent, comme les cartes-cadeaux. Dans une certaine mesure, c’est vrai; quand on veut, on peut. Mais considérez ceci : Colonial Pipeline a dû payer une rançon de 5 millions de dollars en crypto à des pirates russes présumés. Dans quelle mesure aurait-il été facile pour les attaquants d’encaisser le même montant en cartes-cadeaux Walmart ? Le rapport risque-récompense justifierait-il encore l’attaque ? J’en doute. Il est logique d’investir des millions pour voler des milliards, mais déplacer ces milliards dans tout sauf la crypto sans déclencher un tas de drapeaux rouges est une toute autre histoire.
En rapport: Les paiements de rançon de crypto-monnaie sont-ils déductibles d’impôt ?
Il y a un meilleur contre-argument ici : la rançon n’est pas toujours la motivation. Un groupe soutenu par l’État faisant la grève dans le cadre d’une campagne contradictoire plus large apprécierait l’argent supplémentaire, mais il est tout aussi intéressé à garder ses gestionnaires heureux. C’est la pincée de sel qui va bien avec l’argument pro-réglementation, et pourtant, même refuser une rançon aux pirates à motivation financière ferait déjà une brèche ou deux dans la prolifération des ransomwares.
Dans l’ensemble, les ransomwares sont un problème complexe, difficile à résoudre avec une seule décision miracle. Cela nécessitera une approche plus nuancée et, très probablement, une plus grande coopération internationale en la matière. Il y a néanmoins de bonnes raisons de faire de la réglementation des changes une partie importante de ces efforts dans le but de priver les attaquants de la possibilité de récolter les fruits de leurs attaques – et donc de s’attaquer au cœur financier de leurs opérations.
Cet article ne contient pas de conseils ou de recommandations d’investissement. Chaque mouvement d’investissement et de trading comporte des risques, et les lecteurs doivent mener leurs propres recherches lorsqu’ils prennent une décision.
Les vues, pensées et opinions exprimées ici sont celles de l’auteur seul et ne reflètent pas ou ne représentent pas nécessairement les vues et opinions de Cointelegraph.
Lior Lamesh est le co-fondateur et PDG de GK8, une société de cybersécurité qui propose une plate-forme de garde de bout en bout autogérée avec une véritable chambre froide et des capacités MPC à chaud pour les banques et les institutions financières. Ayant perfectionné ses cyber-compétences au sein de la cyber-équipe d’élite d’Israël relevant directement du bureau du Premier ministre, Lior supervise le développement du matériel et des logiciels sur site de GK8.