Le vol de cryptomonnaies touche de plus en plus d’investisseurs et peut se produire de différentes manières. Piratage de plateformes, malwares, ou phishing, les hackers ne manquent pas de ressources pour s’emparer des précieux jetons de leurs victimes. Chris Campbell vous livre ici ses meilleures astuces pour vous protéger des escrocs.
Alors qu’il n’était âgé que de 13 printemps, Ellis Pinsky – aujourd’hui connu sous le nom de « Baby Al Capone » – a découvert le côté obscur d’Internet.
Comme la plupart des adolescents (ces usines à hormones ambulantes), son habitat naturel était constitué de salles peu éclairées et de champs de bataille virtuels. En gros, il passait ses journées à appuyer frénétiquement sur des boutons et à inventer des insultes plus originales les unes que les autres.
Jusqu’à ce qu’un jour, un joueur rival lui envoie un message glaçant à l’issue d’une partie très animée :
« Quel temps fait-il à Irvington ? »
Ellis a battu en retraite, il a quitté le jeu.
Et pourtant…
Lorsque l’écran s’est assombri et qu’il a surmonté la peur initiale d’avoir vu son ennemi juré découvrir son adresse physique…
Ellis s’est enthousiasmé.
Un changement de paradigme s’est opéré dans son jeune esprit : et s’il se mettait lui aussi au piratage ?
Soudain, Call of Duty est devenu un jeu d’enfant. C’est ainsi qu’a commencé l’un des plus grands braquages de cryptomonnaies de l’Histoire.
Aujourd’hui, nous allons parler de cette affaire rocambolesque.
Nous expliquerons comment cela s’est produit, pourquoi cette attaque pose vraiment problème et, enfin, le dispositif simple que vous pouvez utiliser pour vous protéger.
Commençons par le point culminant du parcours de tout héros (ou, dans le cas présent, de tout antihéros) : le mentor.
Le mentor
En creusant un peu, Ellis a rapidement trouvé un mentor en la personne d’un pirate informatique nommé « Ferno ».
Sous la direction de Ferno, il a appris à retrouver les données personnelles des utilisateurs en ligne, en échangeant des mots de passe, des courriels et des numéros de sécurité sociale.
Ferno n’a pas tardé à faire découvrir OGUsers à Ellis, un forum où les jeunes hackers partagent leurs techniques.
Déterminé à tout apprendre, Ellis a rapidement surpassé son mentor et acquis une réputation de hacker invétéré.
Et, tenez-vous bien…
Dès l’âge de 14 ans, Ellis a commencé à recruter des initiés chez les principaux opérateurs de téléphonie mobile. Grâce à ce réseau, il pouvait pirater le téléphone de n’importe qui et accéder à pratiquement tous les comptes qu’il voulait.
Comptes bancaires. Profils de réseaux sociaux. Comptes cryptos. Et tout le reste.
Le monde lui appartenait.
En janvier 2018, les capacités d’Ellis ont été mises à l’épreuve lorsqu’il a été contacté par un utilisateur nommé Harry.
Le casse du siècle
Harry avait une cible de choix en tête : Michael Terpin, le fondateur du site de rencontre Match.com.
Harry a découvert que Terpin, figure emblématique à l’époque, possédait des millions de dollars en cryptomonnaies. Et il voulait l’aide d’Ellis pour le voler.
Le 7 janvier 2018, alors que Terpin se trouvait à une conférence à Las Vegas, Ellis et Harry ont mis leur plan à exécution.
Un employé d’AT&T a facilité l’échange de SIM, donnant à Ellis et Harry l’accès à la messagerie électronique de Terpin. Ils ont exécuté un script pour rechercher dans ses courriels des références à des mots de passe cryptographiques (clés privées), et ont fini par trouver un fichier nommé « keys ».
A l’intérieur, ils ont découvert les clés de quelques portefeuilles cryptos. En déverrouillant ces portefeuilles, ils sont tombés sur une mine d’or : au total, il y en avait pour environ 24 M$ de cryptomonnaies.
Ellis a fait appel à des amis d’OGUsers pour échanger les fonds volés contre des bitcoins, en les payant environ 20 000 $ par lot.
L’un de ces amis était Nicholas Truglia, un hacker spécialisé dans l’échange de SIM.
MAIS… il y avait un problème au paradis des adolescents millionnaires.
Nicholas, connu pour son comportement imprudent, a continué à effectuer des piratages même après le vol de Terpin.
Sauf qu’à son insu, un utilisateur se faisant passer pour un ami avait rassemblé des preuves contre lui et les avait communiquées aux avocats de Terpin.
Les forces de l’ordre ont retrouvé des preuves écrites incriminant Nicholas, retraçant les fonds piratés jusqu’aux portefeuilles sur Coinbase.
Et le 13 novembre 2018, l’appartement de Nicholas a été perquisitionné.
Les enquêteurs ont trouvé des messages compromettants dans sa sauvegarde iCloud datant du jour du piratage de Terpin, révélant sa soudaine richesse et ses dépenses extravagantes en escortes et en billets pour le Super Bowl.
En 2019, les avocats de Terpin ont intenté une action civile en vertu de la loi RICO, réclamant 72 M$ de dédommagement, soit trois fois le montant volé.
Nicholas était cuit.
La surprise de Noël
Peu après Noël 2018, les avocats de Terpin ont contacté la mère d’Ellis. Ils ont accusé Ellis d’être le cerveau du piratage de 24 M$.
Sa mère a engagé un avocat, et Ellis a rendu ce qu’il avait : 562 BTC, une montre Patek Philippe et 100 000 $ en espèces.
Cependant, la valeur des bitcoins restitués est tombée à 2 M$.
Le jour de son 18e anniversaire, Ellis a reçu une nouvelle plainte de Terpin, qui lui réclamait la valeur en dollars au moment du piratage (plus de 10 M$) ainsi que 72 M$ de dédommagement.
Deux semaines après la publication de la nouvelle, quatre hommes masqués se sont introduits dans la maison d’Ellis, pensant probablement y trouver l’argent.
Mais Ellis avait anticipé l’attaque en achetant un fusil de chasse quelques mois auparavant. Sa famille s’est barricadée à l’étage jusqu’à l’arrivée de la police.
Les suites de l’affaire
Au terme d’une longue procédure judiciaire, Nicholas a plaidé coupable de plusieurs chefs d’accusation de fraude électronique. Il a été condamné à 18 mois de prison, et à 20 M$ de dédommagement à Terpin.
Il a fini de purger sa peine en 2023, mais a été de nouveau arrêté pour outrage civil après avoir affirmé qu’il n’avait pas accès aux fonds nécessaires pour payer la somme.
Il pourrait rester en prison jusqu’à ce que la dette soit remboursée.
Ellis, trop jeune pour purger une peine de prison, a été condamné à payer 22 M$ de dédommagement en plus de ce qu’il avait déjà restitué.
Il est actuellement inscrit à l’université de New York, où il étudie l’informatique et la philosophie.
Que faut-il retenir de cette histoire ?
Certains voient dans cette affaire une mise en garde contre l’argent facile et le côté obscur d’Internet.
C’est vrai qu’il y a de ça…
Mais il y a plus grave encore : des jeunes de 14 ans s’attaquant non seulement à vos cryptomonnaies, mais aussi à toute votre vie en ligne.
Heureusement, il existe des moyens simples de se protéger.
Des mesures simples que voici.
- Ne cliquez jamais sur un lien dans un courriel : tapez toujours l’URL directement dans votre navigateur pour vous assurer que vous ne tombez pas dans le piège du hameçonnage.
- N’appelez jamais un numéro figurant dans un courriel : les escrocs utilisent souvent de faux numéros de téléphone. Vérifiez les numéros sur les sites web officiels.
- Enregistrez bien vos identifiants basés sur des applications : conservez vos codes d’authentification sur un téléphone séparé, bon marché, que vous pouvez connecter au WiFi si nécessaire.
- Ne stockez pas vos mots de passe ou vos clés cryptographiques sur votre appareil : Surtout pas dans votre messagerie. Notez-les et mettez-les en lieu sûr.
Conseils de pro :
- Utilisez un gestionnaire de mots de passe : des outils comme LastPass ou 1Password peuvent générer et stocker des mots de passe complexes, réduisant ainsi le risque de violations liées aux mots de passe.
- Activez l’authentification multifactorielle (MFA) : cette fonction ajoute une couche de sécurité supplémentaire. Même si quelqu’un vole votre mot de passe, il ne peut pas accéder à votre compte sans le deuxième facteur.
- Mettez régulièrement à jour vos mots de passe : changez régulièrement vos mots de passe, en particulier pour les comptes financiers.
Mais même ces conseils de pro peuvent échouer si votre mot de passe principal, vos codes SMS ou les codes de votre application d’authentification sont compromis, car ils peuvent toujours être hameçonnés ou interceptés.
Il existe un dispositif qui ajoute une couche de sécurité infalsifiable que les solutions logicielles seules ne peuvent égaler.
Le Yubikey, gardien de vos cryptomonnaies
Le Yubikey est le MEILLEUR et le PLUS FACILE moyen de se protéger.
Qu’est-ce que c’est ? Un Yubikey est une clé de sécurité physique que vous branchez sur votre appareil. Elle constitue un deuxième facteur d’authentification.
Pourquoi l’utiliser ? Le Yubikey est pratiquement inviolable par phishing. Même si les pirates obtiennent votre mot de passe, ils ne peuvent pas accéder à vos comptes sans votre Yubikey physique.
Comment utiliser votre Yubikey :
- Connectez votre Yubikey à vos comptes : suivez les instructions pour associer votre Yubikey à chaque compte qui le prend en charge (la plupart des grandes plateformes le font).
- Conservez une clé de secours : conservez un deuxième Yubikey en lieu sûr au cas où vous perdriez le premier.
- Utilisez-le régulièrement : prenez l’habitude d’utiliser votre Yubikey chaque fois que vous vous connectez.
En appliquant ces mesures, vous pourrez réduire considérablement votre vulnérabilité face aux pirates informatiques et protéger vos biens numériques et vos informations personnelles.
Sans ce dispositif, votre vie numérique est un diamant dans un tuk-tuk public.
Avec lui, c’est un diamant dans une chambre forte sous-marine.
A bientôt !
Chris Campbell
