« Monsieur. White Hat » pourrait ou non être à la hauteur de son surnom.
Photo-Illustration : Intelligence ; Photos : Getty Images

La chose à savoir à propos de M. White Hat, c’est qu’il n’utilise pas ce nom lui-même. Le pirate informatique, dont l’emplacement est inconnu, a divulgué peu de détails personnels, et qui sait si ceux-ci sont même vrais ? L’anglais n’est pas sa langue maternelle, a-t-il dit, et c’est un professionnel de la cybersécurité qui s’introduit dans les ordinateurs depuis qu’il est jeune. C’est à peu près ça. (Il dit aussi qu’il a récemment vu le film Colère de l’homme, le film de casse où Jason Statham tue un groupe de braqueurs de banque, mais cela pourrait être une blague.) Ce qui est clair, cependant, c’est qu’il – ou elle, ou eux – est la force derrière le cambriolage de 600 millions de dollars d’un casse vivant mais relativement obscur projet de crypto-monnaie appelé Poly Network. Le vol est le plus grand piratage cryptographique jamais réalisé et a mis en évidence le niveau d’incertitude et de vulnérabilité dans le monde en pleine explosion de la finance décentralisée, ou DeFi.

M. White Hat a reçu son surnom de sa victime, Poly Network. Le terme fait référence à l’idée qu’il existe des pirates informatiques éthiques qui trouvent des failles dans le code pour renforcer les systèmes, par opposition au cybercriminel typique – votre chapeau noir. Poly, une entreprise dont le logiciel rend négociables des crypto-monnaies autrement incompatibles, s’est d’abord déchaînée en réalisant qu’elle avait été piratée, jurant une action en justice et exigeant le remboursement après que le pirate informatique se soit enfui avec l’argent le 10 août.

Mais alors quelque chose a changé. Dans l’équivalent d’un laissez-passer Je vous salue Marie, Poly a publié une lettre ouverte demandant le retour de l’argent, soulignant que les forces de l’ordre seraient intéressées. « Vous devriez nous parler pour trouver une solution », peut-on lire. Miraculeusement, le plaidoyer – même s’il était largement moqué sur les réseaux sociaux – était un succès. Mis à part certaines crypto-monnaies qui étaient par ailleurs gelées, M. White Hat a accepté de restituer les fonds. Poly a apparemment évité un désastre total. La société a exprimé sa gratitude non seulement en offrant une prime de 500 000 $, et plus tard un emploi en tant que meilleur consultant en sécurité, mais en donnant publiquement son surnom à son antagoniste et en annonçant qu’ils partagent la « même vision ». Le hold-up n’était qu’un blip, et tout serait revenu à la normale en peu de temps.

Ou était-ce?

Depuis lors, le pirate a garé l’équivalent de 240 millions de dollars dans un cryptowallet qui est prétendument partagé avec le Poly Network – puis a refusé de lui donner les clés d’accès pendant une semaine. M. White Hat a ensuite relevé la barre du moment où il restituerait les fonds, se faisant le seul décideur du moment où les gens pourront récupérer leur propre argent. Mercredi, environ 100 millions de dollars supplémentaires ont été retournés – le moment et le déclencheur pour le reste de l’argent restent inconnus. L’attente a refroidi une grande partie de la bonne volonté de la communauté qu’il a gagnée en acceptant très tôt de restituer les fonds, car les gens cherchent désespérément à récupérer leur argent. Le nom de White Hat commence à ressembler soit au syndrome crypto de Stockholm, soit à un stratagème dans un jeu du chat et de la souris où les chances d’une fin heureuse diminuent rapidement.

« L’équipe de Poly Network négocie toujours avec le pirate informatique. Et l’objectif principal est de récupérer une clé du pirate », a déclaré Xuxian Jiang, PDG de la société de sécurité blockchain Peckshield, qui travaille avec Poly Network. « À ce stade, nous ne voulons vraiment pas mettre le pirate informatique en colère pour qu’il fasse quelque chose pour compromettre les fonds. »

DeFi est l’un des domaines les plus chauds et les plus dynamiques du monde de la crypto-monnaie, une mini-industrie qui promet de supprimer tous les intermédiaires de la finance – pas de banques, pas de courtiers, pas de dépositaires. Comme le bitcoin, DeFi utilise la blockchain, la technologie de grand livre distribué sur laquelle la crypto est basée, mais prend ce concept et le met au carré. Au lieu d’une chaîne, il existe de nombreuses plates-formes – d’où l’aspect décentralisé – qui peuvent être utilisées pour toutes sortes de contrats dits intelligents qui déclenchent des transactions financières lorsque certaines conditions sont remplies. C’est là qu’intervient Poly Network. Comme M. White Hat, il n’y a pas beaucoup d’informations sur l’entreprise. Un message non signé de son adresse e-mail de communication a refusé de rendre des cadres disponibles ou de répondre à la plupart des questions. Il n’est pas clair si elle a même une base d’opérations, bien que l’ICANN, le registre des noms de domaine, indique que l’adresse postale de la société est à Shanghai.

Dans le monde quasi-libertaire de la communauté crypto, il n’est pas rare que les gens considèrent les hacks comme des activités intellectuelles et tout ce qu’ils gagnent comme un butin légitime. La différence entre une fonctionnalité et un bogue n’est qu’une question de perspective. « C’est une monnaie qui n’est liée à aucune agence gouvernementale, qui, par conséquent, a un aspect hors-la-loi, un aspect non réglementé, qui est incroyablement attrayant pour la personne moyenne », a déclaré Mark Reichel, un avocat de Sacramento. qui a défendu des cas de piratage. « Quand vous entendez parler de pirates informatiques capables de faire cela, à part les personnes qui ont perdu leurs fonds, il y a une grande révérence pour le pirate informatique qui peut le faire. »

M. White Hat, semble-t-il, est d’accord. Dans ses missives, il devient philosophe sur la nature de la vie, abandonnant les références à Martin Heidegger. « J’explore le sens de la vie depuis un certain temps. J’espère que ma vie pourra être composée d’aventures uniques, alors j’aime [to] apprendre & tout pirater afin de lutter contre le destin. Sein zum tode », a-t-il dit, utilisant un terme heideggerien pour désigner un état d’être orienté vers sa propre mort.

Malgré la nom de paix, ce hacker est ambivalent quant à l’idée que ce qu’il fait rentre dans n’importe quelle catégorie éthique soignée. Dans ses communications, cryptées dans des transactions ethereum accessibles au public, il qualifie le casse qu’il a orchestré de « jeu » à neuf reprises – un jeu où les perdants obtiennent ce qu’ils méritent.

« Il est difficile de prouver que votre perte est de ma faute, surtout lorsque vous jouez déjà au-delà de vos capacités », a-t-il écrit dans un message en majuscules.

La tournure des événements a divisé la communauté crypto. Seul un quart des personnes interrogées dans une récente Twitter polJe dirigé par Peckshield a dit que le hacker était le bon gars. Son rythme langoureux a fait des ravages dans un groupe animé de Telegram d’utilisateurs de Poly Network exigeant le remboursement de leur argent. M. White Hat, à son tour, a répondu par des railleries. Le pirate a rejeté la prime de 500 000 $ proposée par Poly, mais a songé à l’utiliser contre Poly. Après que Poly ait offert un autre demi-million de dollars à toute personne ayant exposé des défauts techniques dans ses systèmes, il a menacé de prendre l’argent et de doubler ensuite de compenser un autre pirate informatique pour s’être introduit par effraction.

« Si vous êtes toujours confus, demandez à des amis plus riches à quoi sert l’argent ? » il a écrit. « L’argent compte peu pour moi, certaines personnes sont payées pour pirater, je préfère payer pour le plaisir. J’envisage de prendre la prime comme bonus pour les pirates publics s’ils peuvent pirater le réseau Poly. (Ils peuvent gagner le double s’ils sentent que le plan actuel est maladroit).

Poly a depuis mis à niveau ses systèmes pour les rendre plus sûrs, mais il est encore loin de revenir à la normale. On ne sait pas quand le reste de l’argent sera remboursé, le cas échéant. « À votre avis, qui domine le jeu ? M. White Hat a écrit dans un Q&A qu’il a publié dans une section codée d’une transaction Ethereum du 16 août.

Mais même si l’argent est intégralement remboursé, la saga est probablement loin d’être terminée. Le piratage s’est produit à un moment où la Chine – où vivent de nombreux utilisateurs – sévit contre son secteur Internet. Xuxian a refusé de répondre aux questions sur l’application de la loi, mais si l’une des victimes du piratage se trouve aux États-Unis, cela pourrait donner au ministère de la Justice une raison de creuser et de déposer des actes d’accusation contre les prétendus pirates – même si les gens de Poly ne veulent pas il – pour avoir enfreint la Computer Fraud and Abuse Act, une large loi anti-piratage.

« Quel est le récit qu’ils essaient de développer à partir de cet événement ? » John Hamasaki, un expert de la CFAA qui a défendu Aaron Schwartz, a déclaré à Intelligencer. « Peut-être qu’il était préférable de reconnaître une vulnérabilité du point de vue des relations publiques que de s’impliquer dans le système de justice pénale. »

Mais, a ajouté Hamasaki, il est peut-être trop tard pour cela.

« Dans notre système de justice pénale, d’une manière générale, ce n’est pas la victime qui porte plainte, c’est le gouvernement », a-t-il déclaré.