Découvrir qu'un portefeuille crypto a été piraté déclenche une forme de panique particulière, aggravée par le fait que, contrairement à une carte bancaire volée, une transaction blockchain confirmée ne peut pas simplement être annulée par un appel téléphonique. Ce qui se passe dans les minutes et les heures suivant la découverte détermine véritablement l'ampleur de ce qui peut encore être contenu, et il vaut la peine d'avoir en tête une séquence claire et ordonnée avant même d'en avoir besoin.
Confinement immédiat, dans l'ordre
Couper d'abord tout accès supplémentaire
Si la compromission est toujours active, c'est-à-dire que les fonds continuent de bouger ou que l'attaquant semble encore disposer d'une forme d'accès, la priorité absolue est de couper cet accès plutôt que d'évaluer l'ampleur totale de ce qui s'est passé. Déconnectez l'appareil concerné d'internet, fermez toute session de navigateur de portefeuille active, et déconnectez le portefeuille de toutes les applications décentralisées auxquelles il a un accès d'autorisation.
Transférer les fonds restants vers un nouveau portefeuille
Tous les actifs restant dans le portefeuille compromis doivent être immédiatement transférés vers un tout nouveau portefeuille, généré avec une phrase de récupération fraîchement créée sur un appareil distinct et de confiance. Ne réutilisez jamais la phrase de récupération ou la clé privée du portefeuille compromis sous quelque forme que ce soit, même si seule une partie des avoirs du portefeuille a été touchée, car il n'existe aucun moyen fiable de confirmer que le reste de la phrase n'a pas également été exposé.
Révoquer les autorisations permanentes
Une fois les fonds restants sécurisés, examinez et révoquez toute autorisation de jeton que le portefeuille compromis avait accordée, car certaines attaques reposent sur une autorisation permanente pouvant être exercée à nouveau plus tard plutôt que sur un transfert immédiat et unique. Notre guide sur la révocation des autorisations de jetons détaille ce processus.
Si plusieurs personnes avaient accès au portefeuille
Lorsqu'un portefeuille compromis était partagé entre cofondateurs, une équipe d'entreprise ou des membres d'une famille, le confinement comprend une étape supplémentaire au-delà de la sécurisation de l'accès technique : avertir immédiatement toute autre personne disposant d'un accès légitime, car elle peut détenir une part d'une configuration multisig, une phrase de sauvegarde, ou une autorisation sur un compte connecté qui doit également être révoquée ou renouvelée. Une compromission qui a commencé sur l'appareil d'une seule personne peut sinon s'étendre silencieusement à toute autre personne faisant encore confiance à la même infrastructure de portefeuille partagée. Les entreprises confrontées à ce type de compromission devraient également conserver des registres adaptés à une enquête d'entreprise formelle, car la norme de preuve pour une perte d'entreprise est souvent plus élevée que pour une perte individuelle.
Un portefeuille piraté ne peut pas être rendu à nouveau sûr. Il ne peut être qu'abandonné au profit d'un nouveau. Continuer à utiliser un portefeuille compromis, même avec prudence, laisse tout actif restant exposé au même accès déjà obtenu par l'attaquant.
Une chronologie réaliste d'une réponse bien menée
- Minute zéro à cinq : la compromission est remarquée, soit via une alerte de transaction inattendue soit via un solde de portefeuille qui ne correspond plus aux attentes, et l'appareil concerné est immédiatement déconnecté d'internet.
- Minute cinq à vingt : les fonds restants sont transférés vers un nouveau portefeuille généré sur un appareil distinct et de confiance, en priorisant les actifs les plus précieux d'abord si le temps ou les frais de gas rendent impraticable un transfert simultané de tout.
- Minute vingt à soixante : chaque connexion à une application décentralisée et chaque autorisation de jeton liée au portefeuille compromis sont examinées et révoquées à l'aide d'un outil de vérification d'autorisation réputé.
- Heure une à trois : l'incident est documenté en détail, y compris les identifiants de transaction, les adresses de destination, les horodatages, et des captures d'écran, tant que la séquence des événements reste fraîche et facile à se rappeler avec précision.
- Heure trois à vingt-quatre : des signalements sont déposés auprès de toute plateforme d'échange associée à l'adresse réceptrice et auprès de l'organisme national de signalement de cybercriminalité approprié, et une décision est prise quant à l'opportunité de poursuivre une enquête de traçage professionnelle compte tenu du montant en jeu.
Tous les cas ne suivront pas exactement ce rythme, et une compromission découverte plusieurs jours après sa survenue ne peut évidemment pas recréer rétroactivement la première heure. L'intérêt de penser en termes de chronologie est d'établir un ordre d'opérations par défaut, afin qu'une victime au milieu d'un événement stressant et confus n'ait pas à inventer un plan de réponse à partir de zéro en temps réel.
Comment la situation évolue avec le temps
Dans la première heure suivant un piratage, la priorité est presque entièrement le confinement, arrêter les pertes supplémentaires et sécuriser ce qui reste. Dans le premier jour, la priorité se déplace vers la documentation et le signalement, car les plateformes d'échange susceptibles de pouvoir encore geler des fonds agissent généralement plus vite, si tant est qu'elles agissent, plus tôt elles sont notifiées. Dans la première semaine, si les fonds volés n'ont pas déjà été gelés sur une plateforme d'échange, l'attention réaliste se déplace à nouveau vers le traçage et la constitution d'un dossier documenté pour les forces de l'ordre ou une action civile, car les fonds ont généralement transité par suffisamment de portefeuilles intermédiaires à ce stade pour que toute opportunité de gel à la destination d'origine ait probablement disparu. Comprendre quelle phase s'applique à un cas donné aide à fixer des attentes réalistes. Une victime qui signale un vol un mois après qu'il s'est produit n'est pas dans la même position que celle qui le signale dans l'heure, et les prochaines étapes appropriées diffèrent en conséquence, même si la perte sous-jacente et son impact émotionnel restent les mêmes.
Documentation, avant que la mémoire ne s'estompe
- Chaque identifiant de transaction non autorisée et les adresses de portefeuille aux deux extrémités de chaque transfert.
- Les horodatages exacts de chaque transaction et du moment où la compromission a été remarquée pour la première fois.
- Des captures d'écran des transactions, de tout message ou faux site de phishing impliqué, et de toute notification d'activité de compte connexe.
- Un compte-rendu écrit de ce qui s'est passé immédiatement avant la compromission, y compris tout site visité, message reçu ou logiciel installé les jours précédents.
Cette documentation compte plus que ne le réalisent initialement la plupart des victimes. C'est le fondement de tout signalement aux forces de l'ordre, de toute demande à une plateforme d'échange de signaler une adresse réceptrice, et de tout effort de traçage blockchain tentant d'établir où les fonds se sont finalement établis. Ce type de preuve devient nettement plus difficile à reconstituer même quelques jours plus tard, une fois que le souvenir de la séquence exacte commence à s'estomper.
Signaler l'incident
Signalez le vol à la plateforme d'échange associée à l'adresse de portefeuille réceptrice, si elle peut être identifiée, car les plateformes d'échange peuvent parfois signaler ou geler des fonds qui n'ont pas encore été retirés ou convertis. Séparément, déposez un signalement auprès de l'autorité nationale de cybercriminalité appropriée, comme le Centre de plaintes pour crimes sur internet du FBI aux États-Unis, même si le recouvrement via les seules forces de l'ordre reste incertain. Un signalement documenté compte également pour toute finalité future d'assurance, fiscale ou juridique liée à la perte.
- La date, l'heure et le fuseau horaire exacts de la transaction non autorisée, ainsi que le réseau blockchain concerné.
- Le hachage ou l'identifiant complet de transaction pour chaque transfert non autorisé, pas seulement le premier si plusieurs se sont produits.
- L'adresse de portefeuille qui a envoyé les fonds et chaque adresse de destination vers laquelle ils se sont déplacés, si elles sont connues.
- Tout fichier, message, e-mail ou site web que l'on pense lié à la manière dont la compromission s'est produite, joint ou décrit avec autant de détails que possible.
Il vaut la peine de fixer des attentes réalistes quant à ce qu'un signalement aux forces de l'ordre accomplit à court terme. Des organismes comme le IC3 du FBI agrègent principalement les signalements pour identifier des schémas et des opérations criminelles plus vastes, et un cas individuel, en particulier un cas modeste, peut ne pas se voir attribuer immédiatement un enquêteur dédié. Cela ne rend pas le signalement inutile pour autant. Les données agrégées de nombreux signalements individuels soutiennent souvent finalement une saisie ou une poursuite plus vaste, et un signalement documenté reste nécessaire pour toute future réclamation d'assurance, fiscale ou civile liée à la perte, qu'un enquêteur soit assigné immédiatement ou non.
Tracer où sont allés les fonds
Comme l'activité blockchain est enregistrée de façon permanente, il est souvent possible de tracer exactement où les fonds volés se sont déplacés après le vol initial, même à travers plusieurs sauts ou entre différents réseaux blockchain. Ce traçage ne garantit pas la récupération des fonds, mais il produit un compte-rendu documenté du flux de fonds qui peut soutenir un signalement aux forces de l'ordre ou une demande de gel auprès d'une plateforme d'échange. Une explication générale du fonctionnement de ce processus est présentée dans notre guide sur la manière dont les enquêteurs blockchain tracent les fonds volés, et un déroulé plus spécifique pour le traçage du bitcoin est disponible dans notre guide sur le traçage de bitcoin volé.
Erreurs courantes qui aggravent la situation
- Publier publiquement le vol, y compris l'identifiant de transaction ou l'adresse de portefeuille, sur les réseaux sociaux avant de le signaler à une plateforme d'échange ou à un enquêteur, ce qui peut alerter l'attaquant et l'inciter à accélérer le blanchiment des fonds.
- Tenter de contacter ou de négocier directement avec l'attaquant, que ce soit via un message on-chain ou une adresse e-mail laissée sur un site de phishing, ce qui produit rarement une restitution des fonds et expose parfois la victime à un ciblage supplémentaire.
- Payer des frais d'avance à un inconnu qui contacte la victime en proposant une récupération garantie des fonds peu après que le vol devient visible on-chain, un schéma traité en détail dans notre guide sur les arnaques au recouvrement.
- Continuer à utiliser les mêmes mots de passe, phrases de récupération ou appareils impliqués dans la compromission initiale pour un nouveau portefeuille ou compte, en supposant que la vulnérabilité précise a déjà été corrigée.
- Attendre de rassembler chaque détail parfaitement avant de déposer un quelconque signalement, alors qu'un signalement initial peut généralement être modifié ou complété plus tard à mesure que davantage d'informations deviennent disponibles.
Éviter la deuxième arnaque
Les victimes d'un piratage de portefeuille sont fréquemment ciblées à nouveau peu après par quelqu'un affirmant pouvoir récupérer les fonds volés moyennant des frais d'avance, contactant parfois directement la victime avec des détails qui rendent l'offre crédible. Aucun enquêteur légitime ne peut garantir un résultat de recouvrement précis, car une transaction blockchain ne peut être annulée par personne, y compris les forces de l'ordre. Notre guide sur les arnaques au recouvrement traite des schémas précis à surveiller. Les cabinets qui enquêtent sur ce type de vol, dont Coin Trace, travaillent sur une base documentée et par dossier, et sont directs sur le fait que le recouvrement dépend de la destination des fonds et de l'existence d'une voie viable, et non d'une quelconque garantie donnée d'emblée.
Questions fréquentes
Cela peut parfois aider en alertant la communauté élargie sur une adresse malveillante, mais publier avant de signaler à une plateforme d'échange ou à un enquêteur risque d'alerter l'attaquant pour qu'il déplace ou blanchisse les fonds plus rapidement. Signaler d'abord via les canaux officiels est généralement la séquence la plus sûre.
Parfois, bien que jamais garanti. Le recouvrement dépend généralement de la rapidité avec laquelle le vol a été signalé, du passage des fonds par une plateforme d'échange réglementée pouvant les geler, et de la qualité de documentation du parcours de la transaction. De nombreux cas n'aboutissent pas à un recouvrement complet.
Il n'est pas nécessaire de supprimer le logiciel de portefeuille lui-même, mais la phrase de récupération du portefeuille et toute clé qui en découle ne doivent plus jamais être utilisées pour de nouveaux fonds. Considérez toute la structure du portefeuille comme définitivement retirée.
Le plus tôt possible. La fenêtre pendant laquelle une plateforme d'échange peut signaler ou geler des fonds entrants se réduit rapidement une fois ces fonds retirés ou convertis, donc signaler en quelques heures, plutôt qu'en quelques jours, améliore significativement les chances d'une quelconque intervention.
Oui. Un signalement formel crée un dossier officiel du vol, ce qui peut compter pour les réclamations d'assurance, le signalement fiscal, et toute action civile ou pénale future, et cela contribue également aux données plus larges des forces de l'ordre utilisées pour identifier les récidivistes et des schémas plus vastes.
Sources et lectures complémentaires
- What To Know About Cryptocurrency and Scams · Federal Trade Commission
- New crypto payment scam alert · Federal Trade Commission
- Internet Crime Complaint Center · FBI Internet Crime Complaint Center (IC3)