BITCOIN : ATTEINTES ET MOYEN DE BLANCHIMENT

Si le Bitcoin est une devise virtuelle populaire qui intéresse les négociants et les épargnants, comme le monde financier, il a surtout aiguisé l’intérêt de la cybercriminalité, compte tenu de son niveau de prix et de ses variations. Les créateurs de logiciels malveillants seront tentés d’exploiter tous les canaux, pour dérober les portefeuilles en menant des cyber-attaques ou pour extraire des Bitcoins par « mining » en utilisant les ressources informatiques des victimes. L’ingénierie sociale sera utilisée pour recueillir des informations sensibles sur les fonds. Les « botnets » contribueront à réaliser une extraction plus efficace en mettant de nombreuses machines victimes en pool et à permettre des cyber-attaques d’envergure par déni de service distribué (D-DoS) contre les principaux sites et services d’échanges, susceptibles de réduire le niveau de confiance et de causer une chute brutale de la valeur du Bitcoin. Ainsi initiés, les cybercriminels pourraient aisément spéculer par l’achat et la vente de volumes importants au bon moment et en tirer un grand profit.

L’usage de Bitcoin apparaît aussi au niveau de boutiques du Web « invisible », qui servent de vitrines au crime organisé, pour la vente de marchandises : faux papiers, armes, contrefaçons, stupéfiants, données de cartes bancaires, etc., et de services : tueurs à gages (ex. Hitmann Network), prostitution, dons à des organisations terroristes, pornographie enfantine[1]. Des sites comme Silk Road et BlackMarket Reloaded, Sheep marketplace, CC.Planet.onion, etc., pour la plupart fermés, mais remplacés par d’autres, offraient une telle vitrine.

Typologie des risques

Les principales menaces proviennent notamment des développeurs, des traders et administrateurs de plateformes, et de la cybercriminalité[2], au regard du vol de données sensibles et de portefeuilles, et des manipulations de cours. Les vulnérabilités structurelles sont liées aux protocoles, aux algorithmes et à leur implantation sous forme de programmes informatiques, sans garantie par une certification à un niveau de confiance suffisant[3]. Les vulnérabilités conjoncturelles sont liées à la nouveauté et à l’apparente simplicité de Bitcoin autant qu’à la faible sensibilisation des utilisateurs qui ne prennent pas assez au sérieux la sécurité de leurs systèmes, en particulier mobiles. En outre, les attaques ne sont pas exclusives aux PCs sous Windows, par exemple, fin 2011, le code malveillant DevilRobber s’est répandu sous Mac OS X par le biais de sites Web compromis depuis un raccourci d’URL d’un spam ou depuis Facebook ou Twitter, pour infecter des machines Apple en nombre et constituer un « botnet ».

Outre les risques d’atteinte des intérêts légitimes des usagers par des cybercriminels, le Bitcoin offre en plus des avantages à la cybercriminalité. Ceux-ci sont liés à l’instantanéité et à l’irréversibilité des opérations, mais également, à l’opacité et à un certain niveau d’anonymat, pour réaliser et masquer des transferts financiers relevant d’actes illicites par leur blanchiment.

Atteinte aux portefeuilles Bitcoin

Le vol de Bitcoins s’est développé avec la popularité de Bitcoin[4]. Les attaques exploitent le manque de sécurité des systèmes et des portefeuilles, notamment par la découverte du mot ou de la phrase de passe, qui reste malgré tout vulnérable à la présence d’un cheval de Troie de type « keylogger » ou à une attaque par rejeu si le serveur a été compromis par un code malveillant, ce qui permet aux pirates d’accéder au portefeuille de l’utilisateur, chiffré ou non.

L’auteur d’un logiciel dénommé « Bitcoin Jacker » encourage autrui à utiliser son code malveillant pour la recherche systématique de portefeuilles en Bitcoins et ensuite les copier sur un serveur FTP public afin de permettre à un maximum de personnes de tenter d’en déchiffrer le contenu par des essais en force brute de mots de passe faibles, dans le but d’en voler les Bitcoins[5]. Le couplage de ce dernier à un logiciel « keylogger », (ex. Private Keylogger), sera naturellement plus efficient, pour pouvoir saisir à la volée les mots de passe des portefeuilles introduits au clavier par l’utilisateur légitime, et ainsi les rendre immédiatement utilisables sans passer par la seconde phase. D’autres logiciels comme « Bitcoin Infostealer.Coinbit » ont été créés dans l’intention similaire de découvrir des portefeuilles non chiffrés pour les transmettre par l’intermédiaire d’un serveur de messagerie.

Le marché noir participe en continu à l’amélioration apportée par des groupes criminels qui louent ou vendent leurs services sur le Web « invisible ».

Atteinte aux ressources du « mining »

Concernant le « mining » pratiqué en nuage ou au travers d’un pool centralisé ou non, il existe une menace d’attaque par déni de service distribué (D-DoS) ou de pratiques malhonnêtes internes. Dans tous les cas, y compris avec un logiciel fourni et installé localement, le risque lié à un code malveillant est une constante qui dépend du niveau de sécurité de l’ensemble utilisé, même si le système Bitcoin vérifie la validité de chaque transaction et peut se protéger de plusieurs formes d’attaques. En effet, en 2011 il a été vu le détournement de temps CPU de machines distantes par des codes JavaScript pouvant fonctionner comme outils de « mining » à l’insu des visiteurs de sites Web. En 2013, il a été découvert de façon croissante plus de 5 000 codes binaires exécutables permettant un tel détournement sur une longue période. Vu les propositions du marché noir sur le Web caché, il ne serait pas extraordinaire de découvrir que des microordinateurs sont ou ont été compromis par milliers pour constituant un « botnet » pour en détourner les ressources vers à une activité de « mining », non sans avoir repéré et dérobé les portefeuilles Bitcoin contenus…[6).

Atteinte liée à la malléabilité d’une transaction Bitcoin

Les transactions de Bitcoins exigent les données critiques usuelles à toute transaction. Il s’agit des adresses des portefeuilles de Bitcoins identifiant respectivement l’expéditeur et la destinataire, de la signature de l’expéditeur réalisée à l’aide de sa clé privée pour vérifier son consentement, de la clé publique du destinataire et du montant de la transaction. L’ensemble est combiné avec des données subsidiaires[7] puis haché pour produire un condensé unique, lequel est employé comme identifiant pour pister la transaction. Une variation, même infime, dans les données de transaction produirait un condensé totalement différent. Ces données et cet identifiant sont alors inclus dans la blockchain pour vérification par les mineurs. Les fonds seront transférés à condition que ces données soient intégralement présentes et que les identifiants reçus et calculés soient identiques. Dans le cas contraire, la transaction serait rejetée.

Il en découle une vulnérabilité dénommée « malléabilité de transaction » qui peut être exploitée. Il est en effet possible de procéder à des changements dans les données qui produiront un condensé différent de celui d’origine, sans infirmer la transaction mutée. Pour cela, cette dernière devra être relayée pour être annoncée avant la transaction d’origine aux nœuds les plus importants, pour augmenter la réussite de se voir inclure dans la blockchain. Ces transactions seront traitées en tant que double au niveau de cette dernière et la transaction mutée sera confirmée au détriment de celle d’origine et les fonds seront transférés vers le destinataire indiqué.

L’emploi d’une telle vulnérabilité permettrait aux attaquants de réaliser des milliers de transactions pour transférer des Bitcoins sur des comptes intermédiaires puis de les transférer vers d’autres, avec des difficultés de traçabilité[8].

Bitcoin en faveur du blanchiment

Il est recherché une anonymisation renforcée, le masquage des origines et l’obscurcissement de l’historique des Bitcoins, en particulier s’ils sont issus ou participent à des activités illégales, tout en permettant des dépôts et retraits immédiats et automatiques, avec de surcroît des adresses multiples pour être au service de la logistique financière et un instrument de blanchiment. BitLaunder.com annonce clairement ce service en passant par l’application BitLaunder. De plus, le support de la carte BitPlastic permet la conversion des Bitcoins en argent comptant de façon anonyme à partir de distributeurs ATM ou des transferts variés, notamment par Western Union. Les offres ne manquent pas sur l’Internet : bitlaundry, coinchimp, etc., autant prometteuses que risquées et sans garanties toutefois de ne pas voir les Bitcoins disparaître…

BITCOIN / SECURITE ET ANONYMAT

Mesures inhérentes à la sécurité attendues

Bitcoin étant un système de crypto-monnaie informatique décentralisé, sa maîtrise repose sur la sécurité cryptologique et informatique et celle des réseaux pour contrer les menaces.

Compte tenu des enjeux, le niveau d’assurance des fonctionnalités de sécurité est essentiel et devrait être démontré par une certification, dès la conception jusqu’au paramétrage et à l’utilisation. En outre, l’apport permanent de correctifs est indispensable pour réduire les vulnérabilités.

Au niveau de l’utilisateur, la sécurité dépend de plusieurs éléments. Il s’agit de l’objet numérique employé et du système d’exploitation installé, de l’application Bitcoin de génération et de gestion du portefeuille électronique, et du portefeuille lui-même. La sécurité du navigateur et des serveurs distants et de la transmission est également concernée.

Concernant les portefeuilles Bitcoin, les mesures de prévention visent à éviter la compromission et le détournement des clés et des fichiers sensibles (ex. wallet.dat). Il s’agit de disposer d’un mot de passe de qualité pour le stockage et la mise en ligne, d’envisager le chiffrement des données sensibles et de s’assurer d’un couple de clés unique à chaque transaction pour améliorer l’anonymat. Les mesures de protection sont nécessaires en cas de vol ou de pertes matérielles et pour maintenir l’intégrité des portefeuilles. Il s’agit de disposer de sauvegardes sûres et régulières et sur un autre support des fichiers vitaux, en particulier des portefeuilles, sans lesquels les Bitcoins de ces derniers seraient perdus. Un portefeuille sur support papier représenterait l’enregistrement de données privées employées pour stocker des Bitcoins dans un format autre, restant toutefois sensible au vol comme un billet de banque. Un portefeuille sur support microélectronique augmenterait la sécurité et la facilité d’usage, au mieux comme substitut d’une carte bancaire, mais avec une moindre à garantie et des frais supplémentaires.

Des failles de la sécurité étant régulièrement découvertes dans les systèmes d’exploitation comme dans les applications, il est indispensable d’appliquer au plus vite les corrections authentifiées. En raison de la fréquence des compromissions, il est conseillé de chiffrer les portefeuilles, ainsi que les mots de passe, les clés privées et d’autres données sensibles employées, sinon de les maintenir sur une image chiffrée de disque dur créée par un logiciel tiers digne de confiance[9]. En effet, un fichier comme wallet.dat étant en texte clair, n’importe qui pourrait accéder à un portefeuille non chiffré et récupérer les Bitcoins contenus.

Si les portefeuilles sont en ligne, il est possible d’accéder, légitimement ou non, aux portefeuilles depuis n’importe quel ordinateur dans le monde. Si le niveau de sécurité est insuffisant, le service peut être compromis et les Bitcoins seraient perdus. Un dispositif matériel[10] s’avèrerait utile pour contenir les données sensibles : clés privées, mots de passe, adresse électronique, tandis que ce mode d’accès en ligne se résumerait à annoncer au blockchain des transactions signées à l’aide de ce dispositif matériel.

Par ailleurs, des applications mobiles Bitcoin sont disponibles pour envoyer des Bitcoins depuis un portefeuille par un code QR ou sans contact (NFC), ce qui ouvre à la possibilité de perte en cas de compromission du périphérique mobile. Les portefeuilles mobiles peuvent peut-être se révéler utiles pour réaliser de petites dépenses, mais pas pour stocker l’épargne en Bitcoins.

Défi lié à l’anonymat des uns et des autres

D’ordinaire, le secret et l’anonymat ont toujours joué un rôle central dans les échanges de monnaies et des transferts de fonds, le plus souvent pour la protection contre les voleurs et à l’opposé, parfois pour couvrir l’identité de personnes liées à des crimes et délits ou cherchant à échapper à la fiscalité.

Le nombre considérable d’utilisateurs d’Internet et des réseaux sociaux, la complexité et la diversité des systèmes : fixes, mobiles, ATM, etc., et des services, changent les transactions financières à un niveau jamais atteint en nombre et en variété, avec des déploiements rapides au niveau mondial.

Il s’agit de pouvoir tracer les transactions financières numériques liées au terrorisme et à la criminalité. Pour être en mesure de surmonter les défis techniques et organisationnels liés à la détection et à la surveillance de ces transactions, ceux-ci exigeront néanmoins une part de régulation et la collaboration des pouvoirs publics avec l’industrie, en appréhendant les changements culturels et technologiques au sein des organismes gouvernementaux. Avec Bitcoin, l’anonymat n’est pas une question simple alors que les utilisateurs sont déjà identifiés par des clés publiques.

Brèche dans l’anonymat utile à l’inforensique

Pour instaurer la confiance nécessaire à son développement et permettre la disponibilité des données par distribution, en l’absence d’autorité centrale, Bitcoin dispose de la blockchain qui contient en totalité l’historique des transactions accessibles à tous. Ceci permet la collecte de données qui y sont représentées et constitue une brèche dans l’anonymat qui ne peut donc être réel et complet, et donc une opportunité à exploiter lors d’investigations judiciaires.

L’analyse de ce registre permettrait de tracer un ensemble de transactions frauduleuses relevant d’un compte ou d’un pseudonyme, en rapport avec des paiements pour des services en ligne, des produits illicites, des demandes de rançon, des escroqueries, des opérations de blanchiment. Il serait ainsi possible de faire le rapprochement entre différents acteurs de réseaux illicites ou criminels : pirates, escrocs, activistes, etc., et de déterminer les groupes et acteurs les plus déterminants par l’analyse criminelle. Elle permettrait aussi de détecter des schémas frauduleux ou des anomalies lors des transactions, telles que la dispersion de montants, la création de plusieurs adresses Bitcoin pour des opérations de blanchiment, etc.

La blockchain s’avérera très utile à l’analyse inforensique pour la recherche de preuves numériques liées à Bitcoin. Des outils comme CryptoCrumb sont déjà dédiés à l’analyse de la blockchain, et d’autres, à la visualisation du réseau d’utilisateurs.

De façon annexe, la blockchain pourrait servir à véhiculer d’autres informations que les transactions financières. De façon ciblée ou non, il est en effet possible de diffuser des messages, des annonces et des images avec des fichiers variés : TXT, PDF, JPG, etc., associés à de fausses adresses Bitcoin. Cet usage parallèle serait alors en mesure de discréditer Bitcoin ou de lancer des « spams ».

Des mesures et services anti-inforensiques apparaissent déjà, au prétexte du respect de la vie privée, en s’appuyant sur des monnaies voisines, mais plus anonymes et cryptées (ex. BitcoinDark), sur des protocoles spéciaux (ex. CoinJoint, Darksend+), sur un tiers de confiance intermédiaire.

CONCLUSION

Alors que les États-nations ont cherché à disposer de systèmes monétaires régulés par des accords internationaux longuement négociés pour assurer d’une certaine stabilité, les crises financières ont altéré la confiance. Dans ce temps, différentes technologies permettent d’imaginer d’autres systèmes et d’autres monnaies sur lesquels il faut s’interroger.

Bitcoin est un système décentralisé fondé sur un protocole technique implémentant des algorithmes sous forme informatique pour assurer des transactions. C’est aussi une unité de compte fractionnable qui circule sur son réseau pair-à-pair par Internet pour exercer un pouvoir de transformation et de gestion de sa propre masse monétaire. Sa maîtrise comme sa faiblesse reposent à la fois sur la sécurité cryptologique et informatique et sur la confiance au fur et à mesure de son histoire, depuis sa création en 2009.

La forte volatilité du taux de change du Bitcoin se traduit par des variations importantes promptes à des activités financières spéculatives ordinaires de toutes sortes et d’autres, associées à des actions visant à induire une perte de confiance. Malgré ces variations, les tout premiers adeptes de Bitcoin, et en particulier les créateurs, ont amassé des fortunes virtuelles quand la création de Bitcoins était facile, d’où leur incitation à maintenir le développement du système.

Un premier paradoxe est lié à la présence de Bitcoins dans des produits financiers qui sont des répliques de ceux classiquement rencontrés et que la communauté Bitcoin, après avoir cherché à s’écarter du système traditionnel, a maintenant besoin des banques et d’une certaine régulation, pour que Bitcoin puisse être largement admis. Un second paradoxe relève de son caractère inégalitaire du fait de la détention de sa masse monétaire par peu de personnes, à l’opposé d’une monnaie virtuelle circulante qui contribuerait à l’économie. Bitcoin se présentait comme une alternative au monopole bancaire, le voilà empreint d’une mainmise par ses créateurs !

Avec 12,5 millions de Bitcoins à la mi-2014 créés par « mining », soit l’équivalent de 6 milliards d’euros, et une limite de 21 millions qui devrait être atteinte aux environs de 2140, l’unité Bitcoin ne paraît pas avoir un poids suffisant pour pouvoir concurrencer les monnaies de référence. Il s’agit davantage d’une commodité générée par ordinateur plus qu’une monnaie. Outre le fait que le Bitcoin peut être considéré par certains comme une valeur de refuge ou un moyen anonyme, même si c’est un leurre, il n’est ni régulé ni garanti par les États. En outre, il est utilisé pour la vente de biens et de services interdits, le financement illicite et le blanchiment, facilitant les opérations du crime organisé et le développement des fraudes et trafics en tous genres. Les distributeurs automatiques de Bitcoins (BTM) et surtout les plateformes explicites dédiées au blanchiment y participent déjà, mais avec des frais et des risques importants. Avec les produits financiers complexes qui se développent en Bitcoins, l’origine des fonds restera difficile à déterminer du fait de flux engendrés et de l’opacité des mouvements sans réel contrôle. Bitcoin nécessite à l’évidence une régulation équilibrée dans le respect de la vie privée et des intérêts des personnes comme des États.

Compte tenu des risques informatiques généraux, que ce soit au niveau de l’utilisateur ou des plateformes, et d’autres inhérents aux principes de Bitcoin et en particulier aux portefeuilles, il n’est pas certain que le consommateur moyen sera tenté d’adopter le Bitcoin, en dehors des micro-paiements. En cela, Bitcoin s’inscrit dans un dilemme lié à l’acceptation ou non par les vendeurs et à la possession ou non par un nombre suffisant de consommateurs, pour pouvoir atteindre une masse critique. Il faut ajouter que les mesures à mettre en œuvre pour durcir la sécurité des Bitcoins pourraient se traduire par plus de complexité et par des frais pas moins élevés que ceux des cartes bancaires, à niveau de sécurité comparable. Par ailleurs, si d’autres gouvernements que la Chine et la Russie déclaraient les paiements illégaux ou imposaient des gains de la vente des Bitcoins, comme les États-Unis, l’usage des Bitcoins pourrait être sérieusement compromis.

Les gouvernements et institutions financières seraient avisés de prendre la mesure et la portée de ce phénomène en apprenant des bienfaits comme des erreurs de Bitcoin pour faire mieux. Il y va de l’intérêt de l’économie et des citoyens et de la lutte contre le crime organisé, la cybercriminalité, le blanchiment et la finance criminelle. Ceci permettrait que Bitcoin ne soit pas vu seulement comme une aubaine pour certains et pour d’autres, un moyen d’évasion fiscale ou au service de délinquants et d’organisations criminelles, mais comme une alternative au service de l’économie. C’est pourquoi la question : Pourquoi tant d’emballement ? reste entière et se pose même de façon plus aigüe après cet exposé qui s’accorde toutefois avec cette maxime ancienne[11] mais clairvoyante : « Ne mettez pas votre confiance dans l’argent, mais mettez votre argent en confiance ».