En 2018, Andrew Schober a été agressé numériquement pour environ 1 million de dollars de bitcoins. Après plusieurs années de travail avec les enquêteurs, Schober se dit convaincu d’avoir localisé deux jeunes hommes au Royaume-Uni responsables du développement d’un logiciel malveillant intelligent de vol de presse-papiers numérique qui leur a permis de siphonner ses avoirs cryptographiques. Schober poursuit maintenant chacun de leurs parents dans une affaire civile qui cherche à extraire ce que leurs enfants ne retourneraient pas volontairement.

Dans une poursuite intentée dans le Colorado, Schober a déclaré que la disparition soudaine de ses fonds en janvier 2018 l’avait incité à dépenser plus de 10 000 $ pour embaucher des experts dans le domaine du traçage des transactions de crypto-monnaie. Après des mois de détective, ses enquêteurs ont identifié les coupables probables : deux jeunes hommes en Grande-Bretagne qui étaient tous deux mineurs au moment du crime.

Une enquête médico-légale sur l’ordinateur de Schober a révélé qu’il avait téléchargé par inadvertance un logiciel malveillant après avoir cliqué sur un lien publié sur Reddit pour une prétendue application de portefeuille de crypto-monnaie appelée « Electrum Atom ». Les enquêteurs ont déterminé que le logiciel malveillant était associé au programme inoffensif et qu’il était conçu pour attendre que les utilisateurs copient une adresse de crypto-monnaie dans le presse-papiers temporaire de leur ordinateur.

Lorsque Schober est allé déplacer environ 16,4 bitcoins d’un compte à un autre – en collant la longue adresse de paiement qu’il venait de copier – le logiciel malveillant a remplacé son adresse de paiement en bitcoins par une adresse différente contrôlée par les jeunes hommes.

Le procès de Schober explique comment ses enquêteurs ont retracé les fonds volés via des échanges de crypto-monnaie et jusqu’aux deux jeunes au Royaume-Uni. En outre, ils ont découvert que l’un des accusés – quelques heures seulement après le vol du bitcoin de Schober – avait envoyé un message à GitHub demandant de l’aide pour accéder à la clé privée correspondant à la clé publique de l’adresse bitcoin utilisée par le malware voleur de presse-papiers.

Les enquêteurs ont découvert que l’autre accusé possédait le code malveillant fourni avec l’application Electrum Atom dans sa bibliothèque de code Github.

Initialement, Schober espérait que les parents des adolescents voleurs entendraient raison et rendraient simplement l’argent. Il écrivit donc une lettre aux parents des deux garçons :

« Il semble que votre fils ait utilisé des logiciels malveillants pour voler de l’argent à des personnes en ligne », lit-on dans le premier paragraphe de la lettre que Schober a envoyée par courrier électronique aux parents des garçons, qui étudient tous deux l’informatique dans des universités britanniques. «La perte de cet argent a été financièrement et émotionnellement dévastatrice. Il aurait pu penser qu’il jouait une blague inoffensive, mais cela a eu de graves conséquences pour ma vie.

Une partie de la lettre que Schober a envoyée à deux des accusés en 2018, après que les enquêteurs ont déterminé que leurs fils étaient responsables du vol de près d’un million de dollars en crypto-monnaie à Schober.

Confronté au silence continu des parents pendant de nombreux mois, Schober a intenté une action contre les enfants et leurs parents devant un tribunal du Colorado. Une copie de la plainte de mai 2021 est ici (PDF).

Maintenant, ils répondent. L’un des prévenus —Hazel D. Wells – vient de déposer une requête auprès du tribunal pour se représenter elle-même et son fils au lieu d’engager un avocat. Dans un dossier du 9 août, Wells a utilement inclus la lettre dans la capture d’écran ci-dessus et a déclaré que son fils avait été interrogé par les autorités britanniques dans le cadre du vol de bitcoins.

Aucune des familles des accusés ne conteste l’affirmation de base selon laquelle leurs enfants ont volé à M. Schober. Au contraire, ils prétendent que le temps est écoulé sur la capacité légale de Schober de revendiquer une cause d’action contre eux.

« Le demandeur allègue deux causes d’action de droit commun (conversation et violation de propriété), pour lesquelles un délai de prescription de trois ans s’applique », a déclaré un avocat des défendeurs dans un dossier le 6 août (PDF). «Le demandeur allègue en outre une cause d’action légale fédérale, pour laquelle un délai de prescription de deux ans s’applique. Parce que le plaignant n’a déposé sa plainte que le 21 mai 2021, trois ans et cinq mois après sa blessure, ses demandes devraient être rejetées. »

Les avocats de Schober soutiennent (PDF) que « le délai de prescription commence à courir lorsque le demandeur connaît ou a des raisons de connaître l’existence et la cause du préjudice qui est à la base de son action », et qu’inhérent à ce concept est la découverte règle, à savoir : Que le délai de prescription ne commence à courir que lorsque le demandeur connaît ou a des raisons de connaître à la fois l’existence et la cause de son préjudice.

Les plaignants soulignent que les enquêteurs de Schober n’ont identifié l’un des jeunes hommes que plus d’un an après avoir identifié son co-conspirateur, affirmant que Schober a informé les parents du deuxième garçon en décembre 2019.

Aucune des parties à ce procès n’a répondu aux demandes de commentaires.

Image : Plainte, Schober c. Thompson, et. Al.

Marc Rasch, un ancien procureur du ministère américain de la Justice, a déclaré que le plaignant prétend que les parents sont responsables parce qu’il leur a fait part d’un crime commis par leurs enfants et qu’ils n’ont pas répondu.

« Beaucoup de ces crimes sont commis par des mineurs, et nous n’avons pas un bon système de justice pour mineurs bien conçu pour s’en prendre à la fois civilement et pénalement aux enfants », a déclaré Rasch.

Rasch a déclaré qu’il était actuellement avocat dans un certain nombre de poursuites impliquant de jeunes hommes accusés d’avoir volé et blanchi des millions de dollars de crypto-monnaie – en particulier des crimes impliquant l’échange de cartes SIM – où les fraudeurs trompent ou soudoient un employé d’un magasin de téléphonie mobile pour le transférer contrôle du numéro de téléphone d’une cible à un appareil qu’ils contrôlent.

Dans ces cas, les plaignants ont cherché à obtenir une compensation pour leurs pertes auprès des sociétés de téléphonie mobile – mais jusqu’à présent, ces poursuites n’ont en grande partie pas donné de résultats et sont souvent poussées en arbitrage.

Rasch a déclaré qu’il était logique que certaines victimes de vol de crypto-monnaie dépensent de l’argent pour retrouver leurs agresseurs et les poursuivre civilement. Mais il a déclaré que les démarches nécessaires pour plaider cette cause sont énormes et coûteuses, et il n’y a aucune garantie que ces investissements seront rentables sur la route.

« Ces crimes peuvent être extrêmement difficiles et coûteux à traquer », a-t-il déclaré. « C’est conçu pour être difficile à faire, mais ce n’est pas non plus conçu pour être impossible à faire. »

Comme en témoigne l’article de CNBC de cette semaine sur une augmentation marquée des rapports de personnes ayant leur Coinbase comptes vidés par des fraudeurs, de nombreuses personnes investissant dans des crypto-monnaies découvrent à leurs dépens que, contrairement aux transactions bancaires traditionnelles, les fonds perdus à cause du vol sont susceptibles de rester perdus car les transactions sont irréversibles.

Traditionnellement, les principaux échanges cryptographiques ont déclaré qu’ils ne sont pas responsables des fonds perdus ou volés. Mais peut-être en réponse à l’histoire de CNBC, Coinbase a déclaré qu’il introduisait une nouvelle « garantie » pilote pour les clients britanniques uniquement, dans laquelle ils seraient éligibles à un remboursement pouvant aller jusqu’à 150 000 £ si quelqu’un obtient un accès non autorisé à leur compte et vole des fonds.

Cependant, il semble peu probable que la nouvelle garantie de Coinbase couvre des cas comme celui de Schober – même s’il résidait au Royaume-Uni et que le vol s’est produit aujourd’hui. L’une des mises en garde qui n’est pas couverte par la garantie est l’envoi accidentel de fonds à la mauvaise adresse.