En 2021, un client nommé Rusty a contacté Chris Brooks, spécialiste de la récupération de crypto-actifs, affirmant que lui et deux autres personnes avaient gagné 5 000 bitcoins lors d'un procès — soit environ 53 millions de dollars à l'époque. Un appel Zoom fut immédiatement organisé.

« Il y avait trois gars sur l'appel, et l'un d'eux brandit un téléphone. Il contient quelque chose comme 53 millions de dollars sur une adresse Bitcoin », se souvient Brooks, fondateur et directeur général de CryptoAssetRecovery.com.

Les hommes ont déclaré qu'ils pouvaient retirer jusqu'à 300 000 dollars par semaine, mais qu'ils voulaient extraire toute la fortune. Si Brooks et son fils Charlie volaient jusqu'en Géorgie pour les aider à percer le portefeuille, promettaient-ils, ils en feraient des millionnaires. Brooks et son fils ont acheté des billets d'avion et sont partis le lendemain.

Au déjeuner, Rusty — un vétéran de l'armée mesurant 1,90 m — a révélé que le portefeuille contenait soi-disant plus de 5 000 BTC. « Rusty sort son téléphone et nous montre un milliard de dollars en ETH. Et c'est là que je me suis dit : bon, il se passe quelque chose de très bizarre ici. »

Le groupe a ensuite conduit environ une heure jusqu'à un centre commercial appartenant à l'un des hommes, où, dans un bureau à l'arrière, Brooks et son fils ont reçu des carnets contenant des dizaines de phrases seed de récupération. Ils ont passé la journée à ouvrir des portefeuilles.

Ils ont trouvé environ 10 dollars en bitcoin.

Brooks n'a jamais établi si les portefeuilles qui leur avaient été remis avaient déjà contenu les BTC ou les ETH que Rusty prétendait posséder — et le duo n'a jamais été remboursé de ses vols.

Brooks soupçonne désormais que Rusty avait été victime d'une escroquerie : des personnes lui avaient fait croire qu'il possédait une immense fortune crypto qui n'a jamais existé. Cet épisode a constitué une leçon précoce pour l'entreprise de récupération : parfois la crypto est perdue, parfois le portefeuille est perdu, parfois le mot de passe est perdu — et parfois l'argent n'a tout simplement jamais existé.

À lire aussi : Les attaques Coldcard signifient-elles que tous les portefeuilles matériels sont désormais vulnérables ?

Perdre sa crypto ne signifie pas toujours qu'elle a disparu

Pour les spécialistes de la récupération de portefeuilles, « crypto perdue » peut recouvrir plusieurs réalités très différentes. Ils ne récupèrent pas des bitcoins sur la blockchain ; ils récupèrent les informations nécessaires pour accéder à un portefeuille qui existe déjà. Un portefeuille matériel jeté, un mot de passe oublié ou une phrase seed partielle ne signifie pas nécessairement que la crypto sous-jacente a disparu.

« Si quelques mots vous manquent, on peut souvent les retrouver », explique à Magazine Bruno Krauss, cofondateur et directeur technique de l'entreprise de récupération ReWallet.

Le standard BIP39 de phrase seed du Bitcoin s'appuie sur une liste de 2 048 mots, ce qui signifie que si quelqu'un se souvient de la plupart des mots, les spécialistes peuvent parfois rechercher systématiquement les possibilités restantes. Moins il manque d'éléments, plus l'énigme est gérable. La récupération de mot de passe fonctionne à peu près de la même manière.

Krauss raconte que ReWallet a un jour retrouvé un mot de passe de 20 caractères protégeant environ 3 millions de dollars en rétro-ingénierant un générateur de mots de passe défectueux. D'autres cas dépendent moins d'exploits techniques que de la compréhension de la façon dont une personne construit ses mots de passe — en l'interrogeant sur ses plats et lieux préférés, les prénoms et anniversaires de ses enfants, des étapes ou souvenirs marquants.

Dans un cas, une cliente était convaincue d'avoir utilisé les prénoms de ses enfants, avant de réaliser que le mot de passe était en réalité un numéro de téléphone lié à un service de livraison local : « Elle ne savait pas pourquoi, puis elle y a réfléchi et elle a compris : ah, d'accord, c'était parce que ce jour-là j'ai reçu le colis livré au magasin et je me suis dit, tiens, ce serait un joli mot de passe. »

Les phrases secrètes ajoutent une couche de complexité

Bennet, un éducateur Bitcoin qui a étudié la sécurité des portefeuilles, pointe une catégorie particulièrement trompeuse : la phrase secrète (passphrase). Une passphrase est une information supplémentaire superposée à la seed. Si l'on saisit une passphrase différente, on n'obtient pas nécessairement de message d'erreur — on peut simplement obtenir un autre portefeuille valide.

« Une mauvaise passphrase ne génère pas d'erreur ; l'opération réussit et affiche un solde nul », explique-t-il à Magazine. Les utilisateurs peuvent donc saisir correctement une phrase seed correcte et croire que leurs BTC ont disparu.

« Les passphrases n'ont non plus aucun mécanisme pour protéger les utilisateurs d'eux-mêmes ; pas de liste de 2 048 mots valides, pas de somme de contrôle. Donc si vous avez oublié une passphrase, c'est essentiellement la même question : quelle était son degré d'aléa ? Si elle est suffisamment aléatoire, il n'y a souvent aucun moyen de la retrouver. »

Pour les portefeuilles matériels perdus ou cassés, même la détention du dispositif endommagé n'est pas toujours d'une grande aide. Si la phrase seed de sauvegarde survit, les clés peuvent généralement être restaurées sur un autre appareil — c'est pourquoi les spécialistes de la récupération n'ont pas nécessairement besoin du matériel d'origine, juste d'assez d'informations pour reconstruire l'accès aux clés.

À lire aussi : La police irlandaise ouvre un portefeuille Bitcoin des années après une prétendue perte des clés

La récupération peut aussi consister à corriger des erreurs plutôt qu'à retrouver un portefeuille perdu. Une crypto envoyée sur la mauvaise blockchain — par exemple du BNB sur Ethereum — peut parfois être récupérée si le portefeuille destinataire est sous le contrôle de l'utilisateur.

Brooks indique que Crypto Asset Recovery a été mandatée pour percer plus de 3 000 portefeuilles appartenant à environ 1 500 personnes, et a réussi à craquer les mots de passe d'environ 63 % d'entre eux.

Parfois, c'est vraiment perdu

Il existe toutefois une limite infranchissable. « Si votre seed est véritablement aléatoire et que vous la perdez complètement, vos bitcoins sont perdus », affirme Bennet.

C'est l'un des compromis fondamentaux de l'auto-conservation (self-custody). Un portefeuille Bitcoin ne dispose ni d'un système de récupération bancaire, ni d'un administrateur central capable de vérifier votre identité et de restaurer votre compte. L'ampleur du problème est considérable : le cabinet d'analyse blockchain Chainalysis a estimé que plusieurs millions de bitcoins — une part substantielle de tous ceux qui existeront jamais — se trouvent dans des portefeuilles dont les clés sont hors de portée, ce qui explique en partie l'émergence d'une industrie de niche autour des identifiants perdus.

Lucien Bourdon, analyste Bitcoin chez le fabricant de portefeuilles matériels Trezor, est encore plus catégorique : si la sauvegarde du portefeuille est perdue et que le portefeuille contenant les clés est inaccessible, « aucune société de récupération ne peut aider ». Il avertit : « Si elles le pouvaient, le portefeuille pourrait être forcé, et l'auto-conservation serait fondamentalement compromise. »

Grâce à l'aléa, deviner une clé privée est pratiquement impossible. Dans la récente affaire du portefeuille matériel Bitcoin Coldcard, un bug de firmware a affaibli l'aléa des seeds sur certains appareils, rendant ces seeds attaquables par force brute sans accès physique — même si la faiblesse des générateurs de nombres aléatoires n'est pas un problème nouveau.

Mais si une seed ou une clé privée réellement aléatoire a été complètement détruite, le nombre de possibilités est tout simplement trop grand. Krauss note que les spécialistes de la récupération peuvent occasionnellement trouver des chemins techniques vers des portefeuilles que leurs propriétaires croyaient définitivement inaccessibles, et que les anciens logiciels de portefeuille, les fichiers corrompus, les mots de passe mal générés et les vulnérabilités matérielles peuvent tous créer des opportunités inhabituelles : « Ne désespérez pas des cas limites. »

Les spécialistes de la récupération sont parfois des escrocs

Il existe une ironie inconfortable dans ce secteur : la personne qui peut vous aider à retrouver l'accès à votre crypto a besoin des informations mêmes qui permettent d'y accéder. Une phrase seed n'est pas un mot de passe que l'on peut changer après qu'il ait été vu ; quiconque possède la sauvegarde du portefeuille peut souvent contrôler les fonds. Choisir un spécialiste de la récupération est donc en soi une décision de sécurité — un point également souligné par les régulateurs. Le régulateur financier de Californie, par exemple, a averti le public que les escroqueries de « récupération crypto » à frais anticipés se sont multipliées, des fraudeurs se faisant passer pour des experts en récupération d'actifs et facturant à l'avance des services jamais fournis.

« Si vous décidez de le faire, faites vos devoirs. Cherchez des entreprises avec un vrai historique et des avis que vous pouvez remonter jusqu'à de véritables clients. Vérifiez qu'elles sont rémunérées au succès plutôt qu'à l'avance. Et transférez vos fonds vers un portefeuille neuf avec une nouvelle sauvegarde dès que vous avez retrouvé l'accès », conseille Bourdon, ajoutant que les utilisateurs doivent se méfier de tout message non sollicité prétendant pouvoir récupérer leurs fonds.

Krauss cite d'autres signes d'alerte : des personnes qui poussent les utilisateurs vers WhatsApp, qui les contactent depuis des adresses e-mail personnelles comme Gmail, qui exigent des paiements anticipés ou qui leur demandent d'ouvrir des comptes sur une plateforme d'échange. Les sociétés de récupération qui prélèvent un pourcentage des fonds effectivement récupérés ne sont pas inhabituelles, mais payer d'avance quelqu'un qui promet de récupérer un portefeuille devrait déclencher toutes les alarmes.

L'affaire Rusty a appris une autre leçon à Brooks : si la récupération crypto peut sembler un travail purement technique, une personne persuadée d'assoir sur des millions, voire des milliards de dollars, peut aussi constituer un risque pour la sécurité. Crypto Asset Recovery ne se déplace plus pour rencontrer ses clients en personne ; l'entreprise traite désormais les dossiers à distance, les informations sensibles de portefeuille étant traitées via des systèmes automatisés et isolés (air-gapped).

Selon Brooks, environ 71 % des portefeuilles que l'entreprise perce contiennent moins de 100 dollars, et elle ne facture aucun frais pour la récupération d'actifs en dessous de ce montant.

S'il y a une chose qu'il aimerait que les utilisateurs de crypto comprennent en matière de récupération d'actifs, c'est celle-ci : « Apprenez ce qu'est une seed de récupération et pourquoi elle est importante. C'est le moyen le plus simple de ne jamais avoir à nous parler. »

Magazine : Le mystère entoure la destruction de 1 million de dollars en bitcoins par un OG