La semaine dernière, des pirates nord-coréens présumés ont drainé 387,5 millions de dollars de la plateforme d'échange crypto Bitget, et les enquêteurs ont rapidement signalé et tracé les adresses destinataires. La PDG de Bitget, Gracy Chen, a alors formulé une exigence controversée : que la plateforme décentralisée de swaps inter-chaînes THORChain « refuse le service à ces adresses ».

THORChain a riposté en déclarant : « THORChain est décentralisé et sans permission comme Bitcoin, Ethereum et BNB Chain. Quelle responsabilité Bitcoin, Ethereum et BNB Chain devraient-elles assumer lorsqu'elles traitent des fonds volés connus ? » Cette confrontation a aiguillé une question aux enjeux bien au-delà d'un simple piratage : quel degré de contrôle un protocole décentralisé peut-il exercer avant de perdre la protection juridique qu'offre une véritable décentralisation ?

Le refus a immédiatement suscité des critiques, d'autant que le protocole s'était arrêté sans hésiter en mai lorsque 10,7 millions de dollars de ses propres fonds ont été exploités. Autre complication : THORChain a retiré sa clé d'administration et affirme n'avoir aucun moyen simple de censurer des adresses, même s'il le souhaitait.

La controverse n'est pas sans précédent. THORChain avait déjà été utilisé pour échanger environ 1,2 milliard de dollars des fonds volés lors du piratage de 1,46 milliard de dollars de la plateforme Bybit — un épisode survenu par hasard 11 jours seulement après le retrait de la clé d'administration du protocole. Et parce que THORChain est un lieu d'échange plutôt qu'un mixer, les fonds qui le traversent restent traçables on-chain même après être ressortis de l'autre côté.

NEAR Intents a adopté l'approche inverse. Son programme automatisé SHIELD a empêché les adresses liées au piratage d'échanger 50 millions de dollars sur la plateforme, et a même refusé la prime de 5 % que Bitget offrait pour ce faire. Aujourd'hui, NEAR Intents essuie les tirs des maximalistes de la décentralisation, jugé pas assez sans permission.

Pour décrypter les questions juridiques en jeu, Magazine s'est entretenu avec Yuriy Brisov de D&A Partners. Voici une version éditée de la conversation.

Magazine : Bitget a demandé à THORChain de bloquer les fonds liés au piratage, et le protocole a répondu qu'il est décentral et sans permission. Est-ce une défense juridique ? A-t-il l'obligation de bloquer ces adresses ?

Brisov : Cela dépend du niveau de décentralisation. Lorsqu'ils bloquent des adresses, ils démontrent que leurs nœuds ne sont pas véritablement décentralisés. C'est bon pour la communauté quand ce pouvoir est utilisé pour prévenir des activités malveillantes — mais en même temps, cela expose le projet à toute autre revendication juridique. Leur seule protection, c'est « nous sommes décentralisés ».

Dans l'affaire Uniswap, ils ont dit : « nous sommes véritablement décentralisés et nous ne pouvons rien faire. » [Des investisseurs ont poursuivi Uniswap après avoir acheté 38 tokens de type rugpull et escroqueries, mais un juge a rejeté l'affaire en mars — NdlR.] C'est la défense la plus solide dont dispose tout protocole DeFi. Si un projet montre qu'il peut bloquer, contrôler ou intervenir d'une quelconque manière — même dans une tentative de bonne foi de prévenir la fraude — il s'expose à l'argument selon lequel son contrôle ne devrait pas se limiter aux cas de fraude évidents. Les plaignants peuvent exiger que le projet gère aussi les questions de due diligence, applique le KYC et adopte des mesures de protection AML.

À lire aussi : Uniswap obtient le rejet d'une action collective l'accusant d'avoir facilité des « rug pulls » crypto

Magazine : NEAR Intents a bloqué ces adresses, et Bitget a remercié la plateforme de l'avoir fait. Cela signifie-t-il que NEAR a démontré qu'Intents n'est pas décentralisé et devra donc intervenir dans bien d'autres situations ?

Brisov : Si vous démontrez que vous avez le contrôle des actifs, vous vous exposez potentiellement à toutes sortes de revendications — systèmes pump-and-dump, volatilité, ou toute autre plainte d'investisseurs ayant subi des dommages. Ils peuvent désormais dire que vous avez le contrôle. Pourquoi l'avoir utilisé dans un cas et pas dans un autre ? Pourquoi ne pas contrôler tous les émetteurs de tokens sur votre plateforme ? Pourquoi ne pas fournir des formulaires KYC comme n'importe quelle plateforme centralisée ?

Magazine : THORChain soutient que l'arrêt du protocole en mai a d'abord été déclenché par un système automatisé et qu'il n'a pas la capacité de bloquer des adresses spécifiques. Si c'est vrai, est-ce une défense ?

Brisov : Ça pourrait l'être. On ne sait pas encore, car cela n'a pas été contesté. Mais toute forme de contrôle affaiblit tout projet DeFi face à tout plaignant.

Magazine : D'un autre côté, le protocole pourrait mettre à jour son logiciel s'il souhaitait bloquer certaines adresses. Un projet pourrait-il avoir des ennuis judiciaires pour imprudence ou négligence s'il refuse d'imposer de telles mesures ?

Brisov : Cela dépend de la manière dont c'est fait techniquement. Supposons qu'un oracle puisse détecter toute adresse IP nord-coréenne et la bloquer automatiquement, sans qu'une personne appuie sur un bouton — « voilà un pirate nord-coréen, bloquons-le ». Alors c'est acceptable. Mais si une équipe supervise la situation et dit : « Nous voyons que c'est une activité illicite, bloquons ces adresses », et appuie sur le bouton manuellement, alors d'un point de vue juridique — même si c'est un bon acte qui bénéficie à la communauté — le projet n'est pas pleinement décentralisé au sens juridique. Cela prive du protection qu'offrent des réglementations comme MiCA [les lois européennes sur les marchés des crypto-actifs] ou la compréhension générale de la SEC et de la CFTC : si vous êtes pleinement décentralisé, vous ne pouvez pas être tenu responsable des actions des participants de votre écosème.

Magazine : La technologie de NEAR s'appelle SHIELD. Elle identifie automatiquement les adresses associées à des piratages connus sur les blockchains publiques et les empêche automatiquement d'accéder à Intents. Cela rend-il plus probable sa qualification de décentralisé ?

Brisov : Absolument. Ils montrent qu'ils sont des acteurs de bonne foi qui intègrent des mesures de protection dans leurs protocoles. Il n'y a pas d'équipe de conformité assise et contrôlant l'opération manuellement. C'est une solution intelligente, et c'est ce que nous recommandons à toutes les entreprises DeFi.

Magazine : En février 2025, THORChain a retiré la clé d'administration qui aurait permis à l'équipe principale d'apporter ce type de changements unilatéraux. Compte tenu de l'absence de clé d'administration et du fait qu'il exploite une centaine de validateurs, le protocole est-il suffisamment décentralisé ?

Brisov : Probablement, mais nous ne pouvons pas l'affirmer avec certitude. Je dirais que oui.

Magazine : THORChain n'est pas un mixer. On peut échanger des fonds volés à Bitget sur THORChain, mais en ressortant de l'autre côté, ils restent de manière transparente liés aux pirates de Bitget. Comment cela s'inscrit-il dans la définition du blanchiment d'argent ? Ou s'agit-il de recel ?

Brisov : Je ne vois pas comment ils pourraient être tenus responsables de blanchiment d'argent — même Tornado Cash, qui était dans une certaine mesure conçu pour blanchir de l'argent, [a échappé aux sanctions américaines car les contrats intelligents immuables ne sont pas des biens sanctionnables en matière de blanchiment — NdlR]. Le droit américain considère une chose comme étant soit un bien, soit non. Le blanchiment d'argent consiste à déplacer illicitement des biens par des canaux légaux : on génère des produits d'une activité illicite, qui constituent des biens, puis on les fait circuler par certains canaux pour tenter de les légaliser. Mais les contrats intelligents ne sont pas du tout des biens. On ne les contrôle pas. On ne les possède pas. C'est ainsi que Tornado Cash a gagné son procès face aux sanctions de l'OFAC — il a simplement prouvé qu'il n'exerçait aucun contrôle sur ses contrats intelligents.

Magazine : Le piratage de Bybit a eu lieu il y a 18 mois. Cela signifie-t-il qu'aucune action en justice ne sera intentée contre THORChain, ou ces affaires prennent-elles simplement du temps ?

Brisov : Cela pourrait assurément arriver à l'avenir. Après l'affaire Bybit, ils se sont sérieusement exposés à d'éventuelles revendications.

Pour l'heure, l'argument de la décentralisation du protocole reste juridiquement non éprouvé — Brisov a noté qu'aucune contestation de l'arrêt automatisé n'a encore été engagée — et il a indiqué que d'éventuelles revendications liées à l'épisode Bybit pourraient encore émerger, des évolutions qui mettraient directement à l'épreuve cette défense de l'absence de permissions.

Magazine : Grandes Questions : Satoshi possède-t-il réellement 1,1 million de Bitcoin ?