Après le gel par Tether des USDT liés à Ledger, ce qui est le plus souvent mal interprété, c’est la différence entre « combien ont été gelés » et « combien ont été récupérés ». Je m’intéresse davantage au statut des fonds : empêcher une adresse de transférer des jetons et restituer réellement les actifs aux victimes sont deux choses distinctes, entre lesquelles il reste des étapes à vérifier. Les informations sur le gel méritent notre attention, mais elles ne doivent pas être présentées comme la preuve que la récupération des fonds est achevée.
L’article précédent portait sur la suspension préventive des ventes par Ledger via le canal CryptoBilis : le 9 octobre à 21:32, heure de Pékin, le compte officiel d’assistance a déclaré enquêter sur des signalements de pertes financières de personnes ayant acheté des produits auprès de ce revendeur en Asie du Sud-Est, et a demandé la suspension des ventes et des expéditions. Cette déclaration confirmait l’enquête et les mesures prises concernant le canal de vente, mais ne publiait, dans le texte principal accessible, ni montant définitif des pertes ni mécanisme de l’attaque. À la relecture aujourd’hui, on ne peut toujours pas extrapoler cette suspension des ventes pour affirmer que tous les produits matériels ont été compromis.
La nouveauté, cette fois, est le périmètre du gel présenté dans l’enquête sur la chaîne réalisée à partir des données brutes par Bitquery. Le rapport indique que, le 9 octobre entre 12:09 et 14:10 UTC, soit entre 20:09 et 22:10, heure de Pékin, Tether a imposé des restrictions à 37 adresses associées, dont 20 détenaient au total environ 10 millions d’USDT. Le nombre 37 correspond aux adresses concernées par les mesures ; le nombre 20, aux adresses qui détenaient encore un solde d’USDT correspondant à ce moment-là. Il ne faut pas confondre ces deux nombres avec un nombre de victimes.
Le rapport indique également qu’à 15:30 UTC, soit à 23:30, heure de Pékin, les restrictions ont été levées sur quatre portefeuilles classés comme intermédiaires dans des transactions de gré à gré. Cela nous rappelle que le passage de fonds par une adresse ne prouve pas automatiquement que son propriétaire est l’attaquant ; une adresse peut aussi servir à gérer les actifs d’autres personnes. Les flux sur la chaîne, l’attribution des adresses et l’établissement des responsabilités doivent être étayés par des éléments distincts : on ne peut pas désigner quelqu’un comme coupable sur la seule base d’une flèche de transfert.
Le schéma des mouvements de fonds du rapport s’arrête au 9 octobre à 16:45 UTC, soit le 10 octobre à 00:45, heure de Pékin. La consultation effectuée cette fois à 12:41 porte sur cet instantané historique, et non sur les soldes actuellement visibles sur la chaîne. Pour savoir si les fonds ont ensuite continué à être transférés, si le gel s’est étendu ou a été levé, ou s’il y a eu réémission ou restitution, il faut consulter de nouveaux enregistrements sur la chaîne et des annonces sur les mesures prises. On ne peut pas extrapoler à partir du schéma statique de la nuit dernière pour en tirer une conclusion en temps réel.
Un gel peut d’abord réduire le risque que certains jetons continuent d’être déplacés, mais cela ne signifie pas que tous les actifs détenus par l’autre partie sont soumis aux mêmes restrictions. Les capacités de traitement diffèrent selon les actifs et les mécanismes d’émission ; même si les fonds restent traçables, cela ne signifie pas que leur contrôle soit revenu à leur détenteur initial. « Retrouvable », « impossible à déplacer » et « déjà restitué » sont trois statuts qui méritent d’être vérifiés séparément.
Je ne considère pas l’interprétation des données sur la chaîne dans cette enquête comme la conclusion définitive de Ledger sur l’incident. Les statistiques et analyses de l’organisme d’enquête ont leur propre périmètre d’observation, tandis que l’enquête officielle sur les appareils répond à d’autres questions : à quelle étape les clés ont-elles fuité, quels acheteurs sont concernés et quelles mesures ciblées prendre ? Confondre ces deux types d’éléments peut donner une apparence d’exhaustivité aux chiffres, tout en conduisant à présenter les causes de manière trop catégorique.
Par rapport à la suspension des ventes évoquée dans l’article précédent, les éléments nouveaux sont le périmètre des adresses gelées et des soldes concernés, les étapes ultérieures de l’évolution des restrictions, ainsi que la limite temporelle de l’instantané du rapport. Ce qui pourrait véritablement modifier l’analyse, ce sont de nouveaux enregistrements vérifiables de restrictions ou de levées de restrictions, des avancées concrètes concernant la restitution et une identification officielle de l’étape à l’origine du problème. En attendant l’apparition de ces éléments, le gel constitue une avancée dans le traitement de l’incident ; la restitution des fonds sur les comptes des victimes reste à prouver séparément.
L’article précédent portait sur la suspension préventive des ventes par Ledger via le canal CryptoBilis : le 9 octobre à 21:32, heure de Pékin, le compte officiel d’assistance a déclaré enquêter sur des signalements de pertes financières de personnes ayant acheté des produits auprès de ce revendeur en Asie du Sud-Est, et a demandé la suspension des ventes et des expéditions. Cette déclaration confirmait l’enquête et les mesures prises concernant le canal de vente, mais ne publiait, dans le texte principal accessible, ni montant définitif des pertes ni mécanisme de l’attaque. À la relecture aujourd’hui, on ne peut toujours pas extrapoler cette suspension des ventes pour affirmer que tous les produits matériels ont été compromis.
La nouveauté, cette fois, est le périmètre du gel présenté dans l’enquête sur la chaîne réalisée à partir des données brutes par Bitquery. Le rapport indique que, le 9 octobre entre 12:09 et 14:10 UTC, soit entre 20:09 et 22:10, heure de Pékin, Tether a imposé des restrictions à 37 adresses associées, dont 20 détenaient au total environ 10 millions d’USDT. Le nombre 37 correspond aux adresses concernées par les mesures ; le nombre 20, aux adresses qui détenaient encore un solde d’USDT correspondant à ce moment-là. Il ne faut pas confondre ces deux nombres avec un nombre de victimes.
Le rapport indique également qu’à 15:30 UTC, soit à 23:30, heure de Pékin, les restrictions ont été levées sur quatre portefeuilles classés comme intermédiaires dans des transactions de gré à gré. Cela nous rappelle que le passage de fonds par une adresse ne prouve pas automatiquement que son propriétaire est l’attaquant ; une adresse peut aussi servir à gérer les actifs d’autres personnes. Les flux sur la chaîne, l’attribution des adresses et l’établissement des responsabilités doivent être étayés par des éléments distincts : on ne peut pas désigner quelqu’un comme coupable sur la seule base d’une flèche de transfert.
Le schéma des mouvements de fonds du rapport s’arrête au 9 octobre à 16:45 UTC, soit le 10 octobre à 00:45, heure de Pékin. La consultation effectuée cette fois à 12:41 porte sur cet instantané historique, et non sur les soldes actuellement visibles sur la chaîne. Pour savoir si les fonds ont ensuite continué à être transférés, si le gel s’est étendu ou a été levé, ou s’il y a eu réémission ou restitution, il faut consulter de nouveaux enregistrements sur la chaîne et des annonces sur les mesures prises. On ne peut pas extrapoler à partir du schéma statique de la nuit dernière pour en tirer une conclusion en temps réel.
Un gel peut d’abord réduire le risque que certains jetons continuent d’être déplacés, mais cela ne signifie pas que tous les actifs détenus par l’autre partie sont soumis aux mêmes restrictions. Les capacités de traitement diffèrent selon les actifs et les mécanismes d’émission ; même si les fonds restent traçables, cela ne signifie pas que leur contrôle soit revenu à leur détenteur initial. « Retrouvable », « impossible à déplacer » et « déjà restitué » sont trois statuts qui méritent d’être vérifiés séparément.
Je ne considère pas l’interprétation des données sur la chaîne dans cette enquête comme la conclusion définitive de Ledger sur l’incident. Les statistiques et analyses de l’organisme d’enquête ont leur propre périmètre d’observation, tandis que l’enquête officielle sur les appareils répond à d’autres questions : à quelle étape les clés ont-elles fuité, quels acheteurs sont concernés et quelles mesures ciblées prendre ? Confondre ces deux types d’éléments peut donner une apparence d’exhaustivité aux chiffres, tout en conduisant à présenter les causes de manière trop catégorique.
Par rapport à la suspension des ventes évoquée dans l’article précédent, les éléments nouveaux sont le périmètre des adresses gelées et des soldes concernés, les étapes ultérieures de l’évolution des restrictions, ainsi que la limite temporelle de l’instantané du rapport. Ce qui pourrait véritablement modifier l’analyse, ce sont de nouveaux enregistrements vérifiables de restrictions ou de levées de restrictions, des avancées concrètes concernant la restitution et une identification officielle de l’étape à l’origine du problème. En attendant l’apparition de ces éléments, le gel constitue une avancée dans le traitement de l’incident ; la restitution des fonds sur les comptes des victimes reste à prouver séparément.