Le bitcoin, ou les coins d’ailleurs (BTC, ETH, etc.), ont permis l’apparition et la croissance d’une des plus grandes menaces actuelles. Jetons un œil.
Bitcoin, kézako ?
Un BTC, qu’est-ce que c’est ? En quelques mots et en simplifiant, c’est une « monnaie» numérique promettant de court-circuiter les circuits financiers existants, et de se passer de la notion de confiance. Elle est née officiellement le 3 janvier 2009 entre des mains anonymes connues sous le pseudo Satoshi Nakamoto.
Elle fonctionne sur des principes cryptographiques pour la création « ex-nihilo » de monnaie (des coins) et la validation des transactions : la blockchain. Toutes les transactions sont en effet rendues publiques (bien qu’anonymes), et validées lorsqu’une majorité de participants les estime légitimes1. Dans les conditions normales d’utilisation2, personne ne peut décider arbitrairement d’accepter ou refuser une transaction. Cette restriction permet d’interdire à tous de faire tourner la machine à billets, de dépenser plusieurs fois le même coin, de dépenser des coins appartenant à des tiers, etc.
Chaque coin est attribué sur la base d’une preuve de « quelque chose » : preuve de travail3, preuve d’espace4, preuve d’enjeu5 mais ils peuvent ensuite être transférés quasiment gratuitement.
Enfin, des exchanges agissent comme des places boursières non régulées et permettent la transition vers et depuis les monnaies nationales ou d’autres types de coins.
Il y a toutefois des inconvénients plus ou moins importants à l’usage des coins :
-
la consommation de cartes graphiques haut de gamme et de processeurs dans le monde explose pour monter des « fermes de minage » qui créent de nouveaux coins ;
Petite ferme de minage découverte par les forces de l’ordre, image West Midlands Police (UK) -
ces fermes sont également de très grandes consommatrices d’énergie, au point que certains pays les interdisent pour éviter des pénuries ;
La consommation d’énergie du Bitcoin est comparable à celle des Pays-Bas (source : Forbes, IEA, EIA, CCAF ; article d’origine BBC -
du fait de l’anonymat, les transferts de coins et les sommes au repos échappent à la lutte anti-blanchiment et anti-financement de groupes criminels, ainsi qu’aux impôts ;
-
l’absence de régulation fait que les mécanismes de protection bancaires sont aveugles et donc rendus inopérants, on y reviendra ;
-
et enfin, très accessoirement, les propriétaires des exchanges ont une certaine tendance à disparaître dans la nature avec les fonds6.
Quel rapport avec les ransomwares ?
Comment cette « monnaie » complètement virtuelle pourrait être derrière l’une des plus grandes menaces actuelles ? le monde virtuel peut-il avoir un tel impact sur le monde réel ? Réponse courte : oui.
Procédons dans l’ordre. Certains virus peuvent avoir un effet « dans la vraie vie » : Stuxnet7 l’a montré sur les usines d’enrichissement d’uranium de l’Iran, par exemple, et un décès a été attribué à l’attaque sur un hôpital de Düsseldorf. On peut aussi mentionner des conséquences sur des services municipaux aux États-Unis. Et la liste en France est encore longue !
Ce qui est intéressant, c’est cette évolution des virus. On est passé du tout premier qui ne faisait qu’afficher un message commercial à une industrie qui rapporte des milliards. Entre temps, les virus se contentaient de vol ou de destruction de données, par exemple, mais sans jamais demander une rançon. Pourquoi ? Parce que jusqu’au 3 janvier 2009, il n’y avait pas de moyen simple, efficace à grande échelle, et sans risque pour transférer la rançon.
Les virements bancaires et chèques sont évidemment hors jeu car nécessitant l’identité de l’attaquant et soumis aux analyses anti-fraude.
À l’ancienne, en liquide, à l’heure où blanchit la campagne ? Trop risqué : la victime pourrait être accompagnée des forces de l’ordre. Pas pratique non plus car il faut une proximité géographique pour l’échange. Et impossible de retirer beaucoup de liquide sans qu’une banque se pose, vous pose, des questions alors qu’on parle de plusieurs millions de dollars à chaque fois.
Le bon vieux mandat cash Western Union ? Limité à 5000 euros, après vérification d’identité. Pas très efficace à grande échelle.
Non, ce qu’il faudrait, c’est un canal non régulé, anonyme, sans limitation de montant permettant de transférer de l’argent tranquillement.
Vive les mariés !
Ça vous rappelle quelque chose ? C’est normal : c’est une autre définition de nos fameux coins. D’ailleurs, on constate que si le concept du ransomware est ancien8, il aura fallu attendre que le Bitcoin fasse ses preuves avant que ce type de malware prenne de l’importance et devienne dès 2016 la menace cyber la plus dangereuse selon Symantec9. C’est toujours le cas en 2021 selon la cheffe du National Cyber Security Centre britannique Lindy Cameron10 et de nombreux spécialistes de cybersécurité.
Alors, n’est-il pas beau ce mariage ? On attend désormais avec impatience le divorce !
-
d’un point de vue cryptographique, pas sur le contenu de la transaction ↩︎
-
les lecteurs intéressés chercheront les attaques à 51% ↩︎
-
Proof of Work, algorithme cryptographique ↩︎
-
Proof of Space, sur disque dur ↩︎
-
Proof of Stake, mise initiale ↩︎
-
Pour plus d’information, je vous renvoie vers la page Wikipédia consacrée à Stuxnet ↩︎
-
Young, A.; M. Yung (1996). Cryptovirology: extortion-based security threats and countermeasures. IEEE Symposium on Security and Privacy. pp. 129–140. ↩︎
-
Symantec classe les ransomware comme la menace cyber la plus dangereuse ↩︎