Après avoir "volé" 16 millions de dollars, cet adolescent hacker semble vouloir tester "Le code est une loi" devant les tribunaux
imagesjpegQuelque 16 millions de dollars de crypto-monnaie ont été volés dans un exploit d’un protocole de finance décentralisée (DeFi) la semaine dernière, et les victimes pensent qu’elles savent exactement qui l’a fait.
Malgré les menaces de l’équipe, cependant, l’agresseur présumé – un adolescent canadien étudiant diplômé – refuse de restituer les fonds, ouvrant potentiellement la voie à une confrontation juridique révolutionnaire.
D’un côté du conflit se trouve un enfant prodige des mathématiques et un fervent défenseur de l’éthique d’autorégulation de DeFi «le code est la loi». De l’autre, une paire de développeurs DeFi et leurs conseillers qui se sont sentis obligés de faire une série sans précédent de choix éthiques troublants au nom d’une communauté DAO.
L’enjeu de la lutte est un certain nombre de questions épineuses qui ont jusqu’à présent été occultées avec succès par la croissance explosive de DeFi : quel est le rôle des forces de l’ordre dans un secteur non réglementé de 220 milliards de dollars ? Quand, le cas échéant, les gendarmes doivent-ils être convoqués ? Et, plus important encore, la notion de « le code est une loi » est-elle suffisante pour faire face à toutes les complexités éthiques de DeFi ?
Première violation
Le 14 octobre, le compte Twitter officiel d’Indexed, un protocole DeFi régi par DAO, a signalé une erreur avec deux de ses pools de liquidités de type fonds indiciel rééquilibrant automatiquement, un qui avait drainé près de la moitié des 34 millions de dollars de valeur totale d’Indexed verrouillés.
Nous avons connaissance d’un incident qui vient d’avoir lieu au sein des piscines DEFI5 et CC10.
En y regardant.
Une analyse de la publication Rekt axée sur les exploits montre que l’erreur était en fait une attaque lancée à partir d’une adresse Ethereum financée par le mélangeur de confidentialité Tornado Cash. À partir de cette adresse, un attaquant a utilisé des prêts flash pour réduire le solde des pools et racheter les actifs des composants à un taux fortement réduit.
Dans les jours qui ont suivi, l’équipe d’Indexed et une « salle de guerre » ad hoc d’experts de l’industrie se sont réunies pour atténuer les dommages et recueillir des informations. Et au cours de leur enquête, ils pensent avoir trouvé l’identité réelle de l’attaquant : c’est un prodige des mathématiques de 18 ans qui s’appelle « Andy ».
L’équipe principale d’Indexed et les membres de la communauté DeFi qui prétendent avoir parlé avec Andy disent qu’il a refusé de restituer les fonds et qu’il a l’intention de faire face à toute accusation pénale résultant de son exploit devant le tribunal – arguant qu’il a simplement exécuté un acte tout à fait légal. commerce d’arbitrage.
De même Andy n’a pas confirmé qu’il avait mené l’attaque)
Parlons sérieusement maintenant :
Je tiens à remercier tous ceux qui m’ont envoyé des lettres de soutien. J’ai une faveur à demander à mes followers et amis. Je recherche les avocats crypto les plus élites. J’aurai besoin de toute une équipe.
Si l’affaire est portée devant un juge, il pourrait s’agir d’un test de « le code fait loi » – une expression populaire dans les cercles DeFi faisant référence à un état d’esprit commun. En l’absence de réglementation, selon la pensée, l’écosystème DeFi est purement accusatoire et tout ce qui est autorisé par le code est également par nature éthiquement autorisé ; là où un homme peut voir un exploit, un autre peut simplement voir « le commerce de crypto. »
Un certain nombre d’experts juridiques qui ont parlé à CoinDesk ont toutefois rejeté cette notion et ont déclaré que même si une affaire peut être complexe et peut-être nouvelle, un tribunal ne cédera pas nécessairement à l’éthique officieuse de DeFi.
‘Cellule de crise’
Peu de temps après la découverte de l’attaque, l’équipe de base d’Indexed a trouvé un certain nombre d’indices les amenant à croire qu’ils avaient identifié le pirate informatique : un jeune développeur qui parlait avec un membre de l’équipe Laurence Day depuis des mois.
« C’était parfaitement affable, amical, des sourires, beaucoup d’emojis. Un mec parfaitement normal », a déclaré Day à propos d’Andy dans une interview avec CoinDesk.
Bien que Day n’ait pas écrit le code du protocole, il le maintient et, par conséquent, « le comprend assez profondément ».
« Je n’ai pas l’impression d’avoir été pris au piège ou quelque chose du genre parce que je discutais d’informations accessibles au public, mais cela m’a pris par surprise », a ajouté Day.
Une fois qu’ils ont eu un suspect, l’équipe a assemblé sa « salle de guerre » en ligne. Les membres comprenaient le contributeur de Curve Julien Bouteloup, le fondateur de Rotki Lefteris Karapetsas et le contributeur principal pseudonyme de Yearn.Finance « Banteg », entre autres.
Dans une interview avec CoinDesk, Banteg a déclaré que la décision de rejoindre la salle de guerre était facile.
« Je ne refuse pas ces invitations parce que je sais ce que l’on ressent lorsque vous vous trouvez dans une situation comme celle-ci, et je pense que je peux fournir un soutien significatif et la perspective extérieure nécessaire pour aider à la gérer avec élégance et éviter les erreurs stupides causées par le stress aucun humain ne devrait endurer seul », ont-ils déclaré.
Débat éthique
Une fois que l’équipe a eu des informations sur l’attaquant, elle a décidé de lancer un ultimatum : restituer les fonds ou être signalé aux autorités chargées de l’application des lois.
Nous présentons maintenant un ultimatumco/6up6ekN26g/li>
Dans le passé, les menaces de doxxing se sont avérées efficaces. À la suite d’un exploit de 3 millions de dollars d’une baisse de jeton non fongible (NFT) en septembre, les développeurs ont réussi à intimider l’attaquant pour qu’il restitue les fonds volés après, entre autres tactiques de négociation, commandé de la soupe miso chez l’attaquant.
Lire la suite : 3 millions de dollars ont été volés, mais le vrai vol, ce sont ces Kia Sedonas, disent des développeurs anonymes
En fait, donner suite à la menace est peut-être nouveau, cependant, et la décision a suscité un débat interne important au sein de l’équipe.
Selon le contributeur principal d’Indexed, Dillon Kellar, la nature de la structure DAO d’Indexed a fortement influencé la réflexion de l’équipe.
à ce moment-là si nous gardons cela informations pour nous-mêmes et nous ne pouvons pas le faire », a déclaré Kellar.
D’autres membres de DAO peuvent souhaiter poursuivre individuellement ou collectivement une rémunération devant un tribunal civil, et si les membres de l’équipe principale retenaient les informations personnelles d’Andy, cela pourrait les empêcher de le faire – provoquant finalement un argument moral en faveur du doxxing.
Il s’agit d’une réponse acculée », a déclaré Day.
Banteg a également exprimé son malaise face à la décision, mais a soutenu la poursuite de celle-ci.
« C’est du jamais vu. Du point de vue éthique, comme vous pouvez l’imaginer, tout cela semble assez mal à l’aise. Je pense qu’Indexed a donné au pirate plus qu’assez de moyens de s’en sortir, mais il pense qu’il est invincible.
En fin de compte, la salle de guerre avait un consensus complet.
a déclaré Day
Enfant prodige
Cependant, alors que la date limite de l’équipe passait sans un mot d’Andy, Banteg a fait une découverte surprise : l’attaquant n’est pas seulement « immensément talentueux » – à seulement 18 ans, c’est un génie adolescent.
Selon une version mise en cache de son site Web personnel aujourd’hui disparu, Andy achèvera bientôt sa maîtrise en mathématiques de l’Université de Waterloo (également l’alma mater du cofondateur d’Ethereum, Vitalik Buterin); il est l’auteur d’articles sur « Enumerating Smooth Schubert Varieties » et « Grothendieck’s Classification of Line Bundles over the Riemann Sphere » parmi d’autres sujets complexes ; et selon un article de 2016 du Globe and Mail du Canada, il a terminé ses mathématiques au secondaire à seulement 13 ans.
Sa présence en ligne indique également une séquence de vanité. Sur un forum Wikipédia en 2016, Andy s’est présenté comme un « expert en mathématiques et en physique théorique ». Il s’est même inscrit dans un wiki de jeu télévisé en tant que « mathématicien notable ».
La revendication est maintenant une « blague noire » dans la salle de guerre indexée, a déclaré Day : il est devenu exactement cela, mais pas pour sa bourse.
a ajouté Day.
Préoccupations paternelles
Cette découverte a présenté à la salle de guerre une autre énigme éthique, car beaucoup ont estimé que rapporter un adolescent avait un poids supplémentaire. Les nouvelles informations les ont empêchés de « lâcher le marteau » immédiatement, comme l’a dit Kellar.
« J’ai enseigné l’informatique et je n’ai jamais eu quelqu’un du niveau d’Andy, mais je connais le type. Quand vous êtes ce type particulier de personne – regardez, 18 ans est un homme aux yeux de la loi, mais mentalement, vous êtes toujours un enfant », a déclaré Day. « Je ne sais pas si cela a l’air d’être dénigrant pour lui ou si j’ai l’air excessivement sympathique, mais je pense qu’il s’agit d’un cas de vaste, vaste compétence au détriment de presque tout le reste. »
De même, Jason Gottlieb du cabinet d’avocats américain Morrison Cohen a présenté la situation en termes paternalistes. Gottlieb a été retenu par Day et Kellar pour représenter Indexed dans le signalement des crimes aux forces de l’ordre.
«Je pense que le fait qu’il n’ait que 18 ans est quelque chose qui pourrait être une cause d’empathie. J’ai un fils qui a presque cet âge, donc du point de vue d’un père, j’ai une certaine empathie, sachant que les adolescents peuvent faire des bêtises. Je sais que j’ai fait des bêtises quand j’étais adolescent », a déclaré Gottlieb.
Cependant, les nouvelles informations ont conduit l’équipe à de nouvelles pistes, notamment la découverte qu’Andy aurait fréquenté des cercles extrémistes en ligne. Au cours de l’enquête, l’équipe a découvert qu’il faisait partie d’une fuite de données d’un service Web hébergeant des communautés alt-right.
Il existe également une foule d’autres indices suggérant des idéologies haineuses : les données d’appel pour l’attaque d’Andy comprenaient une insulte raciale ; l’adresse attaquante d’Ethereum commence par « BA5Ed1488 », une référence numérologique à un slogan néo-nazi ; un fil de tweet bizarre de ZetaZero incluait la mise entre crochets de certains mots, un sifflet antisémite populaire pour chien.
De plus, le compte ZetaZero a récemment retweeté un article qualifiant Andy de « dylan Roof of Balancer pools », une référence à un terroriste suprémaciste blanc qui a tué neuf fidèles noirs en 2015.
Alors que les membres de la salle de guerre ont déclaré qu’ils ne pouvaient pas identifier un moment particulier où ils ont pris la ferme décision de divulguer les informations d’Andy malgré son âge, les liens avec l’extrémisme ont joué dans leur réflexion.
Et s’il avait divulgué ce genre de choses avec nous a déclaré Day.
Kellar a également déclaré que l’âge seul ne pouvait pas détourner l’attention de la gravité des actions d’Andy.
«Pour un jeune normal de 18 ans, j’aurais des inquiétudes quant à la divulgation de ses informations. Et cela ne veut pas dire que je ne le fais toujours pas, mais le fait est qu’il est un jeune de 18 ans très avancé. Il a une maîtrise. Il a terminé ses études secondaires à 13 ans. Et il a pris l’initiative de voler 16 millions de dollars. Et s’il veut être assez adulte pour faire ces choses, il est assez adulte pour faire face aux conséquences juridiques », a déclaré Kellar.
Loi sur les codes
Aux yeux de certains membres de la communauté DeFi, cependant, Andy n’a rien volé du tout.
Un cri de ralliement populaire pour de nombreux inconditionnels de DeFi est « le code est la loi », souvent appelé par dérision « loi de code ». Ce point de vue, peut-être mieux expliqué dans un essai de la stagiaire pseudonyme d’e-Girl Capital « Odette », soutient qu’il n’existe pas de « piratage » ou de « tirage de tapis » dans DeFi, et qu’il est de la responsabilité de chaque acteur de examinez minutieusement toutes les actions sur la chaîne – si vous perdez de l’argent à cause d’un piratage ou d’un contrat défectueux, c’est à vous.
Parce que toutes les informations sont librement disponibles sur la chaîne et que les actions sur la chaîne sont immuables, DeFi est finalement un environnement autonome et déterministe fonctionnant en dehors des paramètres réglementaires et éthiques normaux, du moins c’est ce que l’on pense.
qu’est-ce qu’un boomer prend 🙁
le code fait loi si le marché n’est pas régulé
bienvenue sur crypto
pas de place pour les erreurs
tu sommeilles tu perds
Day s’inquiète qu’une faction de la communauté DeFi qui croit que le code est une loi encourage maintenant Andy.
«Je pense qu’il écoute une légion de grenouilles. Ils l’appellent basé, lui demandent de l’argent et le saluent comme un héros », a-t-il déclaré.
Les admirateurs affluant vers les pirates informatiques à succès n’est pas inhabituel. À la suite du piratage de Poly Network de 613 millions de dollars, les mendiants et les admirateurs ont utilisé des messages sur le réseau Ethereum pour encourager le coupable.
Consensus social
Cependant, dans la pratique, la notion de « le code fait loi » a peut-être déjà été réfutée.
« Franchement, c’est fatiguant », a déclaré Lefteris Karapetsas à CoinDesk. « Nous avons eu ce combat il y a cinq ans. »
En 2016, Karapetsas était le responsable technique de Slock.it, une startup qui a dirigé The DAO – une expérience d’investissement précoce notoire dont l’échec a conduit à une scission de la chaîne qui a conduit à la création d’Ethereum Classic.
« La version ‘le code est la loi’ d’Ethereum est née de cela. Ça s’appelle ETC et ça existe toujours. Les partisans de la salade de chou peuvent simplement aller jouer là-bas », a déclaré Karapetsas.
La chaîne canonique actuelle d’Ethereum est le résultat du consensus social atteint par la communauté pour « annuler » efficacement le piratage DAO plutôt que de laisser le code être entièrement déterministe – et c’est une bonne chose, selon Karapetsas.
Lire la suite : Le hack DAO est toujours un mystère
« Aucun constructeur dans cet espace dans leur bon sens ne croit que le code est la loi. C’est juste un mème qui est perpétué par des spectateurs anonymes qui aiment juste voir le chaos se dérouler », a-t-il déclaré.
/li>
Il a ajouté que si la communauté adoptait de tels principes, le résultat final deviendrait rapidement dystopique.
« Si le code était une loi, ce domaine ne serait qu’un terrain de jeu pour les pirates informatiques qui essaieraient en permanence de voler des fonds dans les protocoles. Ils seraient éponymes et idolâtrés. Alors que les utilisateurs seraient blâmés de « ne pas avoir lu le code assez bien ». C’est essentiellement ce que dit tout partisan de la salade de chou », a-t-il déclaré.
Rides juridiques
La question est maintenant de savoir si « le code est une loi » résistera devant un tribunal.
Gottlieb a confirmé à CoinDesk qu’il avait transmis toutes les informations pertinentes à plusieurs organismes chargés de l’application des lois, mais a refusé de préciser lesquelles.
Bien que la question soit ouverte de savoir si ces agences auront l’expertise technique pour analyser l’affaire et émettre un mandat d’arrêt, Gottlieb a suggéré qu’elles étaient plus avancées que certains natifs de DeFi pourraient le penser.
et il y a des gens dans les forces de l’ordre qui s’occupent des piratages et des vols de crypto-monnaie. »
Gottlieb a noté que les personnes à qui il a parlé sont « très sophistiquées » dans leur compréhension de l’espace et qu’elles sont « intéressées » par l’affaire.
Qu’il soit ou non arrêté, Andy peut également avoir des motifs de déposer des contre-accusations.
Matt Burgoyne, avocat spécialisé dans les valeurs mobilières et la cryptographie au sein du cabinet canadien McLeod Law LLP, a déclaré qu’avant même que l’affaire ne soit devant un juge, il pourrait déjà y avoir des complications. Burgoyne a déclaré à CoinDesk qu’il ne représentait pas Andy.
« Le doxxing peut être illégal au Canada et l’étendue des conséquences juridiques dépend des circonstances. Le doxxing peut donner lieu à des accusations de harcèlement criminel, d’atteinte à la vie privée et de harcèlement criminel. Je ne crois pas que cela ira devant les tribunaux et si c’était le cas, je suis sûr qu’il y aurait des dommages des deux côtés », a-t-il déclaré.
Erich Dylus, ingénieur juridique pour le réseau Oracle API3, a exprimé son malaise personnel face au doxxing et a également déclaré que cela pourrait conduire à des contre-accusations.
«Je pense que le doxxing public peut être extrêmement dangereux et conduit souvent à un vigilantisme indésirable ou à un procès par l’opinion publique. Sans parler d’ouvrir potentiellement des voies de responsabilité pour les doxxers », a-t-il déclaré.
Dans un tweet jeudi, Kellar a déclaré qu’Andy et sa famille avaient reçu des menaces et a appelé la communauté à cesser les abus et à poursuivre d’autres « recours juridiques ».
Si vous pensez que nos efforts pour remédier à la situation ont été insuffisants, il existe des recours juridiques que vous pouvez exercer ; le menacer lui ou sa famille n’en fait pas partie.
Voler dans l’assiette de collecte
Une fois ces griefs analysés, cependant, la question se pose alors de savoir si un tribunal peut s’attaquer à la complexité des AMM pondérés, des prêts flash et des soi-disant « exploits économiques ».
Geoff Costeloe, associé de la société canadienne Lindsey MacCarthy LLP et membre de LexDAO, a déclaré que la structure DAO d’Indexed pourrait entraîner des problèmes.
« Je vais suivre le côté récupération de l’affaire », a-t-il déclaré. « Parce qu’Indexed est un DAO décentralisé, je suis curieux de voir comment ils déposent leur réclamation et comment ils décrivent leur relation avec le protocole et les autres membres du DAO. Diront-ils qu’il s’agit d’un partenariat ou d’une société? Ou diront-ils qu’ils sont des individus ? »
Gottlieb, l’avocat d’Indexed, a écarté ces préoccupations. Il a comparé l’exploit à une congrégation d’église qui avait collecté des fonds pour une cause quelconque : s’il est volé, ce n’est pas moins un crime simplement parce qu’il serait difficile de savoir précisément qui possédait quoi à un moment précis.
Illusion pure
Sur la demi-douzaine d’avocats auxquels CoinDesk a parlé, tous ont convenu que même si l’affaire potentielle peut sembler créer un certain nombre de précédents à première vue, la réalité est qu’un tribunal évaluera probablement l’exploit en termes simples.
L’avocat de la crypto, Stephen Palley, a averti que si l’affaire arrivait devant les tribunaux, cela pourrait être un moment qui mettra définitivement fin aux notions fantaisistes d’autorégulation de DeFi.
« C’est le comble de la stupidité de dire que le code est la loi dans cette situation. C’est une incantation magique qui ne veut rien dire », a déclaré l’avocat d’Anderson Kill à CoinDesk.
« Il n’y a rien de terriblement nouveau ici », a-t-il ajouté. « Vieux vin, nouvelles bouteilles ; cupidité humaine égoïste. Est-ce que braquer une banque est un «exploit économique»? Dire cela est vraiment stupide. Il n’y a rien à ce sujet, s’il est géré correctement, qui soit un précédent révolutionnaire.
Si une porte d’une banque est ouverte et que vous entrez et que le coffre-fort est ouvert et que vous prenez l’argent et partez, c’est une très bonne idée de vous défendre lorsque la police arrive en disant « lissen ossifers, door is law ! »
Ils vous laisseront partir alors.
Garanti.
Plusieurs avocats et membres de l’équipe de base d’Index ont souligné en particulier des signes de l’intention d’Andy qui pourraient éroder sa défense.
« Ce n’était pas un cas où il y avait un contrat qui comportait juste une simple erreur, ce que certaines personnes appellent un exploit économique », a déclaré Kellar, membre de l’équipe principale d’Indexed. « Il n’a pas tiré sur un levier qui a craché trop de pièces, c’était une attaque sophistiquée qui a exploité une vulnérabilité très spécifique que personne n’a trouvée pendant un an. »
Une séquence d’actions menant à l’attaque sapera toute tentative d’Andy de présenter l’exploit comme un « heureux accident », a ajouté Kellar.
« Si un le caissier ou le système fait une erreur et quelqu’un s’enrichit injustement, cela n’impose certainement pas de sanctions pénales à la personne qui a reçu une aubaine », a déclaré Costeloe, l’avocat de MacCarthy LLP. « Ils se sont peut-être enrichis injustement, mais ils se sont aussi enrichis innocemment, sans aucune intention de leur part. La situation avec Indexed est un peu différente parce que le pirate a écrit du code et attaqué le protocole d’une manière qui montre clairement l’intention de s’enrichir.
En fin de compte, plusieurs avocats ont rejeté l’argument « le code est la loi », le qualifiant d' »illusion » et le jugeant « délirant ».
Détermination sinistre
Jeudi matin, le prétendu compte Twitter ZetaZero d’Andy a publié un court fil dans lequel il a qualifié la bataille juridique à venir de « duel ».
Parlons sérieusement maintenant :
Je tiens à remercier tous ceux qui m’ont envoyé des lettres de soutien. J’ai une faveur à demander à mes followers et amis. Je recherche les avocats crypto les plus élites. J’aurai besoin de toute une équipe.
Malgré l’inertie apparente inclinant vers une confrontation juridique, Gottlieb et Palley ont tous deux noté que si Andy devait restituer les fonds, il y avait une chance que l’incident n’ait pas à être plaidé.
Palley a déclaré que le retour des fonds « n’annule pas le crime », mais cela pourrait amener un procureur à refuser de porter plainte.
L’équipe de base d’Indexed, cependant, a atteint un point de « sombre détermination », selon Day.
« J’ai eu le temps de traiter tout cela maintenant, et il va me arriver un maelström qui se déclenche sur Twitter, mais dans l’ensemble, je sais que c’était la bonne chose à faire. Dillon et je serai des parias dans certaines parties de l’espace maintenant, mais c’était la bonne chose à faire », a-t-il déclaré à propos du doxxing Andy.
Kellar a clairement indiqué qu’ils considéraient également le tribunal comme un résultat de plus en plus probable.
« Certaines personnes ont dit qu’il pourrait déménager au Venezuela ou dans un endroit sans extradition – je ne pense pas que cela se produira. Il semble vraiment qu’il souhaite que cette affaire crée un précédent, donc s’il ne rembourse pas les fonds, je m’attends à ce que cela aille devant les tribunaux », a déclaré Kellar.
et il va l’obtenir
