Le hack de Liquid à 320 millions de dollars place l’identité au centre
Le hack de Liquid Network et les récentes fuites chez Trezor et d’autres acteurs soulignent que les données KYC sont souvent plus difficiles à réparer que des bitcoins volés.
À retenir
- Liquid Network a perdu environ 320 millions de dollars dans un seul hack le 7 septembre.
- Evin McMullen estime que les bitcoins volés peuvent parfois encore être suivis, mais que les données d’identité divulguées sont presque impossibles à réparer.
- Il avertit que les entreprises crypto stockent trop de données personnelles, tandis que les agents IA augmentent le risque de nouvelles fuites de données.
Le hack d’environ 320 millions de dollars (277 millions d'euros) sur Liquid Network met selon Evin McMullen non seulement la sécurité de la crypto au centre de l’attention, mais surtout la différence entre un vol on-chain réversible et des dommages d’identité durables. Le PDG et cofondateur de Billions affirme que les bitcoins volés peuvent parfois encore être suivis ou restitués, alors que des noms, adresses et numéros d’identité divulgués sont bien plus difficiles à réparer.
Hack de Liquid et fuites de données
Le 7 septembre, une blockchain qui transfère des bitcoins entre des exchanges a perdu environ 320 millions de dollars dans un seul hack. D’après le contexte entourant l’incident, il s’agit de Liquid Network, une sidechain Bitcoin de Blockstream. Les attaquants se seraient présentés comme des hackers white-hat et auraient même laissé un message dans une transaction Bitcoin, dans lequel ils demandaient à Liquid de traiter une vulnérabilité précise.
Dans le même temps, Trezor a indiqué que 67 000 clients supplémentaires avaient été touchés par une fuite de noms, de numéros de téléphone et d’adresses personnelles via un partenaire logistique. Dans un autre incident, environ 200 000 enregistrements ont été exposés, avec des numéros d’identité gouvernementaux aux côtés d’adresses de wallet vérifiées. McMullen souligne aussi que des données d’adresse dérobées en 2020 chez un fabricant de hardware wallet sont encore utilisées des années plus tard dans des lettres d’arnaque au bitcoin envoyées par courrier. Une fuite de données plus importante chez un courtier montre également à quelle vitesse des données d’identité et des adresses de wallet peuvent former un risque durable.
Pourquoi l’identité pèse davantage
Le cœur de son argument est que les entreprises crypto collectent souvent plus d’identité que nécessaire. Les crypto exchanges, les fabricants de hardware wallets et les on-ramps demandent des documents, des adresses et d’autres données sensibles, ce qui en fait une cible attrayante pour les attaquants. Selon McMullen, il s’agit d’un problème structurel, car une caractéristique vérifiée d’un client peut aussi être confirmée sans conserver un dossier d’identité complet.
Il oppose à cela un modèle dans lequel il suffit de prouver, par exemple, qu’une personne est un véritable client non sanctionné, sans qu’un passeport reste stocké sur un serveur. Selon lui, cela devient encore plus important à mesure que des logiciels agissent de plus en plus au nom des utilisateurs.
Les agents IA augmentent le risque
McMullen avertit que l’essor des agents IA pourrait encore accroître la pression sur ce modèle. Si de tels agents effectuent bientôt des paiements au nom des utilisateurs tout en emportant à chaque fois l’identité complète de leur propriétaire, cela pourrait créer non pas quelques, mais des milliards de nouvelles cibles potentielles, selon lui. Pour les lecteurs européens de crypto, cela renvoie à un débat plus large sur la privacy, le KYC et la manière dont les exchanges et les wallets stockent les données.
Sa conclusion est nette : les 320 millions de dollars (277 millions d'euros) de bitcoins volés pourraient éventuellement être récupérés, mais pas les adresses, les ID ni les visages. Le débat se déplace ainsi de la seule sécurité des wallets vers la question de savoir combien de données personnelles l’infrastructure crypto devrait réellement conserver.
