Un Canadien de 19 ans, avec un talent pour imiter le support technique, vient d’admettre l’un des vols de crypto les plus théâtraux de l’année. Trenton Johnston a plaidé coupable cette semaine devant le tribunal de district des États-Unis à Miami pour conspiration en vue de commettre du blanchiment d'argent, après que les procureurs fédéraux ont déclaré qu'il et ses complices avaient siphonné au moins 13,04 millions de dollars de victimes en prétendant être des employés de Google, Trezor, et d'autres entreprises de crypto. L'accord de plaidoyer permet à Johnston d'éviter des accusations de fraude électronique qui auraient pu entraîner jusqu'à 40 ans de prison, et les lignes directrices de la peine suggèrent maintenant qu'il recevra quelque chose de plus proche de quatre ou cinq ans à la place. Le jeune homme de 20 ans, qui a célébré son anniversaire en détention, a également accepté d'être expulsé vers le Canada une fois sa peine purgée. Son coaccusé, un homme de Miami identifié dans les documents de plaidoyer comme Tardibone, a plaidé coupable le même jour.

Le stratagème lui-même a duré des mois et, avec du recul, s’avère déprimant de faible technologie. Il n’y avait ni exploits zero-day, ni détournements de smart contracts nouveaux, ni solution ingénieuse de forensics sur la blockchain. Les enquêteurs indiquent que Johnston et son groupe se contentaient d’appeler et d’envoyer des e-mails aux victimes en prétendant être les personnes en qui ces victimes avaient déjà confiance. Les fonds étaient ensuite déplacés à travers des portefeuilles et des plateformes d’échange assez vite pour rendre la récupération quasiment impossible pour les personnes qui les ont perdus.

L’arnaque était presque embarrassamment simple

Selon l’acte de plaidoyer, le groupe s’est fait passer pour du personnel d’assistance de Google, pour le fabricant de wallet matériel Trezor, et pour divers échanges, a dit aux victimes que leurs comptes avaient été compromis, puis les a guidées à travers des étapes de « vérification » se terminant par le fait que les victimes transféraient elles-mêmes leur crypto vers des portefeuilles contrôlés par l’attaquant. C’est le même script d’ingénierie sociale qui épuise discrètement les détenteurs de cryptos depuis des années, habillé d’un vocabulaire technique suffisant pour paraître officiel. Dans cet univers, on a tous déjà entendu cent fois que le vrai personnel d’assistance n’appelle jamais de nulle part et ne vous demande pas de déplacer vos actifs, mais sur le moment, avec un inconnu qui explique calmement que « quelqu’un en Russie essaie d’accéder à votre portefeuille », cette leçon a tendance à s’évaporer. Le fait qu’un seul adolescent et quelques complices aient réussi à effacer plus de treize millions de dollars de cette façon montre à quelle fréquence le script fonctionne encore. Rien de tout cela n’exigeait qu’ils cassent une quelconque cryptographie. Il leur fallait seulement quelqu’un de l’autre côté du téléphone, qui ait envie d’être serviable.

1,19 million de dollars en trois mois, principalement en dépenses de puissance

Une fois l’argent arrivé, Johnston aurait apparemment décidé que la subtilité était réservée aux autres. Des documents judiciaires allèguent qu’il a dépensé environ 1,19 million de dollars en achats de luxe sur quelque trois mois plus tôt cette année, avec l’aide d’un concessionnaire de voitures « exotiques » décrit dans la demande de plaidoyer, visiblement très peu curieux de savoir d’où provenaient les fonds d’un adolescent. La liste de courses ressemble à une parodie de tableau de vision crypto : une Lamborghini Aventador SVJ, deux BMW, des bijoux et même une location d’avion privé, histoire d’en rajouter. La couverture par la CBC de l’accord de plaidoyer détaille les preuves avec une précision douloureuse. Les procureurs affirment que des schémas de dépenses comme celui-ci sont exactement la façon dont les enquêteurs ont retracé l’opération de blanchiment jusqu’à lui — ce qui a tendance à se produire lorsque les produits d’une arnaque téléphonique discrète commencent à apparaître comme un supercar orange vif dans un concessionnaire.

Ce n’est même pas la première grosse opération crypto visant des ados du Canada

Johnston rejoint une tendance malheureuse : des adolescents canadiens qui se retrouvent au cœur de gigantesques vols de cryptomonnaies. Un autre homme de Hamilton, arrêté alors qu’il était adolescent pour un vol par SIM-swap d’un seul jour de 48 millions de dollars canadiens il y a quelques années, est actuellement en prison aux États-Unis après avoir plaidé coupable à une nouvelle série de vols de cryptos qu’il aurait menée pendant qu’il était sous caution. Aucune de ces affaires ne consiste à casser la cryptographie derrière Bitcoin ou Ethereum. Ce sont de vieilles arnaques classiques qui se soldent par des transferts vers des actifs numériques : les fonds sont alors plus faciles à déplacer rapidement et bien plus difficiles à récupérer une fois qu’ils ont atterri sur la blockchain. Résultat : un flux constant de jeunes prévenus, des montants en dollars qui donnent le vertige, et des victimes qui ont souvent des options juridiques très limitées une fois que les pièces ont disparu.

Ce que tout le monde qui détient de la crypto devrait retenir

Le point à souligner ici, c’est que le vrai support Google, le vrai support Trezor et le vrai support Coinbase ne vous appelleront pas, ne vous enverront pas d’e-mail de nulle part, et ne vous enverront pas de SMS vous demandant de « déplacer vos fonds vers un portefeuille sûr ». Si vous entendez ces mots, c’est la menace. Les wallets matériels restent la bonne réponse pour des soldes sérieux, mais un wallet matériel ne vous protège qu’à partir du moment où vous approuvez vous-même la mauvaise transaction. Faire une pause de dix secondes avant d’approuver quoi que ce soit aurait permis d’éviter à l’ensemble des victimes de Johnston plus de 13 millions de dollars, et c’est encore aujourd’hui la meilleure habitude à rendement élevé que n’importe qui dans la crypto puisse construire. Quant à Johnston, il a échangé une peine possible de 40 ans contre quelque chose de plus proche de quatre ou cinq et d’un billet aller simple pour le retour au Canada, ce qui rend l’Aventador plutôt cher à l’heure. La leçon la plus importante, celle qui se répète encore et encore dans ces affaires, est la suivante : la cryptographie est rarement le maillon faible dans la crypto ; la personne derrière le clavier l’est le plus souvent.

---------------

Auteur : Cedric Holloway Rédaction de New YorkNouvelles sur la crypto en continu

Abonnez-vous à GCP via un lecteur