L'ancien CTO de Ripple n’est pas pressé pour ses 7 002 Bitcoins

Stefan Thomas est un multimillionaire Bitcoin, en théorie.

Stefan Thomas est un Bitcoin-multimillionnaire — en théorie. Il a perdu son mot de passe. Il lui reste encore deux tentatives. Des développeurs ont trouvé une méthode pour le déceler. Mais Thomas, qui fut par ailleurs l’ancien CTO de Ripple, bloque lui-même l’accès.

En 2011, le développeur Stefan Thomas a publié une vidéo YouTube sur la cryptomonnaie Bitcoin, encore peu connue. Un fan lui a envoyé 7 002 Bitcoin en guise de remerciement. Le cadeau, qui valait à l’époque quelques milliers de dollars, a été stocké sur une clé USB IronKey. Celles-ci sont considérées comme extrêmement sécurisées. Après dix tentatives de mot de passe infructueuses, le contenu est effacé. On soupçonne que Thomas, CTO chez Ripple entre 2012 et 2018, aurait mal rangé le mot de passe et n’a plus accès à l’actif, qui vaut aujourd’hui 240 millions de dollars. Il a déjà tenté huit fois sans succès, et il lui reste deux tentatives.

L’entreprise IT Unciphered affirme avoir développé une nouvelle procédure qui contourne la serrure. Mais il semble que Stefan Thomas n’ait aucunement l’intention d’agir rapidement.

Not your keys, not your coins

Cela ressemble à la percée tant attendue: les développeurs d’Unciphered prétendent avoir trouvé une méthode pour contourner la fonction de mot de passe des IronKeys, extrêmement réfractaire et limitée à dix tentatives. Pour preuve, ils ont craqué la serrure de mot de passe d’un rédacteur du magazine technologique Wired. Il aurait fallu 200 milliards de tentatives par un ordinateur puissant. Finalement, ils ont toutefois découvert la phrase de passe composée de trois mots.

Ils ont approché Stefan Thomas, dont l’affaire est connue dans la cryptosphère depuis plusieurs années, avec l’histoire de réussite. Mais à leur grande surprise, ils tombaient sur des oreilles sourdes: même avant le début des négociations sur des prestations, Thomas a rejeté. Deux autres entreprises avaient déjà obtenu des mandats et avaient priorité, même s’ils n’avaient pas encore trouvé la technologie appropriée. Après douze ans d’attente, il semble avoir suffisamment de patience.

"Nous sommes entrés"

Dans une lettre ouverte, l’entreprise a à nouveau proposé son aide à Stefan Thomas. Elle laisse entendre comment elle compte déchiffrer le mot de passe. Elle n’entre pas dans les détails – secret professionnel. Mais aussi parce que "la plupart des appareils certifiés pour ce niveau de protection sont utilisés pour stocker des informations sensibles du secteur public". IronKey a été cofinancé par le Département américain de la Sécurité intérieure. Il était destiné à un usage par le gouvernement américain, l’armée et les services de renseignement.

"Nous avons commencé par rétroconcevoir tous les protocoles de communication entre les puces, puis le firmware du contrôleur et les détails de l’implémentation cryptographique, et enfin nous avons rassemblé tous les aspects du fonctionnement de l’appareil", expliquent-ils, de façon concise. Des millions de dollars ont été investis dans la construction de l’infrastructure technologique et juridique. Le magazine technologique Wired a eu accès à la configuration de test.

Une clé USB a été passée au scanner par tomographie électronique et décomposée en éléments séparés. La puce a été découpée au laser et plongée dans de l’acide nitrique, puis les couches d’époxy ont été retirées. La puce a été poncée avec une solution de dioxyde de silicium et une lingette, et chaque couche a été photographiée au microscope optique ou au microscope électronique à balayage. Les développeurs ont répété le processus jusqu’à pouvoir réaliser un modèle 3D complet du processeur.

"Ensuite, nous avons examiné tout ce que nous savons sur l’appareil et utilisé l’expertise de certains des meilleurs hardware hackers, cryptomatheux et développeurs d’exploits de l’industrie pour rechercher des signes de vulnérabilités", explique Unciphered. "Après avoir livré cette prouesse pour la première fois, nous nous sommes entraînés et exercés. Nous devions nous assurer que chaque aspect du piratage était reproductible. Et depuis, nous avons répété ce processus des milliers de fois."

Plus de trois millions de Bitcoin perdus

Même si Stefan Thomas refuse l’offre, de nombreux pairs pourraient tirer parti de la nouvelle méthode pour récupérer les Bitcoin perdus. Surtout au début, lorsque l’on n’imaginait pas encore que l’on pouvait gagner autant d’argent avec Bitcoin, les mots de passe ont été mal gérés. La société d’analyse Chainalysis estime que 3,7 millions de Bitcoin ont été perdus à jamais. Si la nouvelle méthode s’avère efficace, il pourrait rester un espoir pour ces personnes.