Comment une récente décision de justice aide le gouvernement américain à poursuivre les criminels de crypto-monnaie

La crypto-monnaie est une aubaine pour les cybercriminels, leur permettant de profiter de ransomwares, de blanchir de l’argent et de déplacer des fonds volés à l’international en toute impunité. Dans de nombreux cas, à moins que ces criminels ne soient négligents ou ne soient basés dans un pays qui prend au sérieux la lutte contre la cybercriminalité, il n’y a aucun moyen de récupérer cet argent une fois dépensé. Mais les forces de l’ordre américaines se concentrent désormais sur l’arrêt de ces transferts illégaux de cryptomonnaies, plutôt que d’essayer de les gérer après coup.

Ces efforts viennent de recevoir une impulsion majeure. En août, un tribunal du Texas a statué que le gouvernement américain pouvait sanctionner non seulement les portefeuilles ou les échanges de cryptomonnaies, mais également un mélangeur de cryptomonnaies open source appelé Tornado Cash, utilisé pour dissimuler plus de 7 milliards de dollars de transactions illicites depuis sa création en 2019. Cela fait partie d’une stratégie américaine plus vaste visant à prévenir les cybercrimes liés aux cryptomonnaies en ciblant l’infrastructure sous-jacente des cryptomonnaies sur laquelle les criminels s’appuient, une stratégie qui représente un écart assez important par rapport aux efforts antérieurs du gouvernement.

En novembre 2018, le Trésor a sanctionné pour la première fois les adresses de portefeuilles de monnaie numérique dans le cadre de ses mesures visant deux individus iraniens qui ont aidé à convertir des paiements d’extorsion effectués dans le cadre des attaques du ransomware SamSam. Mais le Trésor a rapidement compris que sanctionner des adresses de portefeuille spécifiques n’était pas un moyen très efficace de bloquer les paiements aux criminels : ils pouvaient créer de nouveaux portefeuilles, avec de nouvelles adresses, aussi rapidement (en fait, beaucoup plus rapidement) que le Trésor ne pouvait les détecter et les sanctionner.

S’il était relativement facile pour les criminels de créer de nouveaux portefeuilles, il n’était pas aussi facile pour eux de trouver de nouveaux échanges pour traiter leurs transactions et convertir leur cryptomonnaie volée en monnaie fiduciaire. De nombreuses bourses, en particulier dans les pays où la crypto-monnaie est réglementée dans une certaine mesure, conservent des enregistrements des transactions qu’elles traitent, exigent que leurs clients leur fournissent une pièce d’identité lorsqu’ils convertissent des devises, ou imposent des limites sur la quantité de devises pouvant être convertie en une seule fois.

Cependant, il existe encore des bourses prêtes à faire des affaires avec des criminels. En septembre 2021, le Département du Trésor a sanctionné un échange de crypto-monnaie appelé SUEX qui était largement utilisé par les criminels pour traiter des transactions (selon l’analyse du Trésor, plus de 40 % des transactions SUEX étaient associées à des acteurs illicites).

Le Trésor a alors décidé de s’attaquer à l’infrastructure que les criminels utilisent pour dissimuler leurs fonds et les rendre plus difficiles à retracer. Il s’est concentré sur les mélangeurs de crypto-monnaie, qui permettent aux utilisateurs de mélanger et de mélanger leurs fonds volés d’une manière qui rend beaucoup plus difficile la liaison de paiements de crypto-monnaie spécifiques à un compte ou un portefeuille d’origine spécifique. Ainsi, en août 2022, le Trésor a annoncé qu’il sanctionnerait son premier mixeur, Tornado Cash, dont il avait déterminé qu’il était largement utilisé par des criminels, notamment le groupe nord-coréen Lazarus, parrainé par l’État, responsable de la violation de Sony Pictures en 2014 et de WannaCry en 2017. campagne de ransomware, parmi de nombreuses autres cyberattaques très médiatisées.

Mais sanctionner un protocole de mixage n’était pas exactement la même chose que sanctionner une adresse de portefeuille de crypto-monnaie spécifique ou un échange particulier. Contrairement à un échange, Tornado Cash n’était pas une entreprise formelle. Il s’agissait essentiellement d’un code open source sur GitHub que n’importe qui pouvait utiliser pour mélanger sa crypto-monnaie, et était vaguement développé et maintenu par une organisation autonome décentralisée, appelée DAO, que le chercheur en sécurité Nicholas Weaver a décrit. comme fondamentalement une société qui ne prend pas la peine de remplir la paperasse pour obtenir les protections juridiques d’une société.

Lorsque le Département du Trésor a annoncé les sanctions, Tornado Cash a été immédiatement retiré de GitHub. Cela a alarmé non seulement les cybercriminels, mais aussi certains défenseurs de la liberté sur Internet et les bourses de crypto-monnaie qui s’inquiétaient de l’avenir de leur secteur et se demandaient si le gouvernement était libre de simplement supprimer d’Internet tout protocole de crypto-monnaie qui ne lui plaisait pas. Coinbase, un échange de crypto-monnaie populaire aux États-Unis, a même financé un procès contre le Trésor, contestant les sanctions au motif qu’un DAO ne pouvait pas être sanctionné parce qu’il ne s’agissait pas d’une entreprise formelle, et arguant que la suppression du code de GitHub empêchait les gens de faire des dons de crypto-monnaie et constituait également une violation du premier amendement en forçant la suppression du discours en ligne (dans ce cas, du code).

Le Trésor a tenté d’apaiser ces inquiétudes en précisant que même si les sanctions interdisaient d’effectuer des transactions avec Tornado Cash, elles n’empêchaient pas les gens de consulter ou d’interagir avec le code du protocole. Cette clarification n’a pas satisfait tout le monde, d’autant plus qu’elle est intervenue après que le code ait déjà été supprimé. L’Electronic Frontier Foundation, par exemple, a plaidé pour que le gouvernement déclare d’emblée que ses sanctions ne s’appliqueraient pas au projet open source hébergé sur GitHub mais qu’elles s’appliqueraient uniquement aux transactions réelles, et non à la publication du code. lui-même.

Mais pour le juge Robert Pitman, qui a statué sur l’affaire financée par Coinbase contre le Trésor, il n’y avait aucun problème du premier amendement avec les sanctions de Tornado Cash. D’une part, a souligné Pitman, les gens peuvent toujours utiliser d’autres services pour faire des dons à d’importantes causes politiques et sociales. D’autre part, le Trésor avait déjà déclaré que ses sanctions ne restreindraient pas l’interaction avec le code open source à moins que ces interactions ne constituent une transaction. Cela signifiait que les gens pouvaient légalement analyser le code et l’utiliser pour enseigner les concepts de crypto-monnaie, a déclaré Pitman, tant qu’ils ne l’exécutaient pas et ne l’utilisaient pas pour effectuer des transactions en crypto-monnaie.

Quant à l’argument selon lequel Tornado Cash ne pouvait pas être sanctionné parce qu’il était géré par un DAO plutôt que par une organisation centralisée, Pitman a souligné qu’il n’était pas très convaincant étant donné que le DAO était capable de faire bon nombre des mêmes choses qu’une entreprise, y compris placer des offres d’emploi et des contributeurs payants à la base de code.

Le Trésor a une bataille difficile à mener, Paul Grewal, directeur juridique de Coinbases, a déjà dit la société soutiendra un appel contre la décision de Pitman, mais la décision reste une victoire désespérément nécessaire. C’est un signe positif que le gouvernement disposera probablement d’une certaine marge de manœuvre lorsqu’il s’agira de contrôler non seulement les portefeuilles et les entreprises de crypto-monnaie, mais également les réseaux plus amorphes et moins organisés de personnes soutenant des protocoles et des projets qui ont la capacité de faire des milliards de dollars de dommage.

Future Tense est un partenariat entre Slate, New America et l’Arizona State University qui examine les technologies émergentes, les politiques publiques et la société.