Un vol de 320 millions de dollars Le Bitcoin a fait la une des journaux du monde entier, mais ce n'est pas la partie la plus préoccupante de ce qui s'est passé dans l'industrie de la cryptographie ces dernières semaines. La véritable alarme concerne autre chose fuite de données d'identité blockchain qui a exposé des dizaines de milliers de personnes de manière irréversible, cette fois. C'est le paradoxe au centre d'un éditorial publié sur CoinDesk par Evin McMullen, co-fondateur et PDG de Billions Network : l'argent volé sur un réseau public peut être restitué, une identité volée ne le peut pas.
Points clés
- Le 7 septembre, une blockchain utilisée pour déplacer le bitcoin entre les bourses a été exploitée environ 320 millions de dollars
- Les fonds sont potentiellement récupérables car les transactions restent visibles publiquement dans le grand livre
- Trezor a confirmé l'exposition des données personnelles de 67 000 clients via un transporteur
- Une autre fuite distincte s'est produite 200 000 enregistrements reliant les pièces d'identité gouvernementales aux adresses de portefeuille
- Contrairement aux clés cryptographiques, les données d'identité volées ne peuvent pas être modifiées ou remplacées.
L'exploit Bitcoin de 320 millions de dollars qui pourrait revenir
Le 7 septembre, une blockchain utilisée pour transférer des bitcoins entre bourses a perdu environ 320 millions de dollars en une seule attaque. Ce chiffre a dominé les gros titres de la semaine, mais McMullen a déclaré qu'il s'agissait, paradoxalement, du type de perte le plus facile à récupérer.
La raison réside dans la nature même de la blockchain : chaque transaction s’effectue sur un registre public, chaque mouvement reste donc visible et traçable. L'éditorial note que l'agresseur semble être un soi-disant chapeau blanc, déjà en négociations pour restituer les fonds. L’argent volé en chaîne, précisément parce qu’il est traçable, peut être observé, suivi, gelé et, dans certains cas, même restitué à ses propriétaires légitimes.
Fuites de données irréparables
Les violations véritablement irréparables, celles qui devraient inquiéter plus qu'un exploit d'un million de dollars, sont paradoxalement moins médiatisées, précisément parce que ce qui est volé ne peut être restitué. À peu près au même moment que l'attaque de 320 millions de dollars, Trezor a confirmé que d'autres 67 000 clients ils ont vu des noms, des numéros de téléphone et des adresses personnelles révélés par l'intermédiaire d'un fournisseur de transport.
Une fuite distincte rendue publique à propos de 200 000 enregistrements où les numéros d’identification gouvernementaux apparaissaient à côté des adresses de portefeuille vérifiées. Il ne s’agit pas d’incidents isolés : des données d’expédition volées à un fabricant de portefeuilles matériels dès 2020 continuent d’arriver, encore aujourd’hui, sous la forme de lettres physiques demandant des bitcoins aux victimes, six ans après les faits.
La différence avec le monde pur de la cryptographie est claire. Une clé compromise peut être pivotée, remplacée, réinitialisée. L'adresse du domicile, le visage ou le numéro de passeport d'une personne ne sont pas aussi faciles, pas aussi rapides, pas aussi sûrs.
Le cas Trezor et les fournisseurs tiers comme point faible
Le cas Trezor met en évidence que le problème ne vient pas des systèmes internes du fabricant du portefeuille matériel, mais de la chaîne de fournisseurs tiers dont il dépend pour les opérations de routine telles que les expéditions. L’exposition s’est produite via le transporteur, impliquant les noms, numéros de téléphone, e-mails et adresses postales de dizaines de milliers de personnes.
Ce modèle, souligne McMullen, se répète dans l’ensemble du secteur : chaque niveau de l’industrie technologique qui touche le monde réel collecte des données d’identité. Les échanges vérifient qui vous êtes, les fabricants de portefeuilles matériels collectent votre adresse physique de livraison, les plateformes d'accès stockent vos documents vitaux. À mesure que chaque entreprise se développe, elle devient un référentiel distinct : une archive centralisée de données sensibles, une pile de valeur statique qui ne demande qu'à être piratée.
Parce que la vérification d'identité collecte trop de données
Le débat actuel sur sécurité de l'identité blockchain il se concentre sur le mauvais aspect, selon l'auteur. Il y a un débat sur la question de savoir si les plateformes étaient suffisamment sécurisées, si elles ont appliqué les correctifs à temps et si les utilisateurs ont correctement conservé leurs clés. Tout cela suppose que les données auraient dû être collectées dès le départ. Ce n'était pas nécessaire.
Vérifier un fait sur une personne et recueillir son identité sont des opérations différentes, et depuis des années on sait les séparer. Un fournisseur peut confirmer que vous êtes un client réel, vérifié conformément à la réglementation anti-blanchiment d'argent, sans stocker votre passeport sur un serveur. Vous pouvez prouver que vous êtes autorisé à retirer des fonds sans donner à chaque contrepartie une copie complète de votre identité. C'est le principe de la divulgation minimale : le fait est vérifié puis écarté. Aucune identité collectée signifie aucun entrepôt dans lequel s'introduire par effraction, rien à vendre ou à utiliser pour une lettre de menace livrée à votre domicile.
Un précédent similaire a déjà été observé avec les bannières de cookies : les régulateurs ont demandé d'obtenir le consentement en précisant l'objectif mais pas la méthode, et le marché a répondu avec le pop-up qui se ferme sans lecture, des dizaines de fois par semaine. L’industrie de la cryptographie a construit sa propre version du même problème : télécharger sa carte d’identité partout, une copie de son passeport dispersée dans une centaine de bases de données différentes, ne protégeant presque personne mais enrichissant quiconque viole le maillon le plus faible de la chaîne.
La course vers une identité numérique privée et vérifiable
Là confidentialité, identité numérique cela devient un sujet encore plus urgent si l’on considère ce qui s’en vient. Internet se reconstruit autour de logiciels qui agissent en notre nom, et la distinction classique entre robot et humain est déjà en train de s’effondrer. Une troisième catégorie émerge : les agents vérifiés qui effectuent des transactions, avec autorisation, pour de vraies personnes.
Ces agents déplaceront de l'argent et devront démontrer qu'ils sont autorisés et ce qu'ils peuvent faire, à la vitesse et au volume des machines. S'ils héritent du modèle actuel, en faisant glisser l'identité complète du propriétaire dans chaque service avec lequel ils interagissent, le résultat ne sera pas une poignée de coffres-forts vulnérables mais des milliards d'entre eux, continuellement renouvelés, sans relâche.
Il existe déjà des méthodes de vérification qui peuvent confirmer des faits sur une personne sans préserver son identité complète : des technologies démontrables, privées et portables conçues pour les personnes d’aujourd’hui et leurs agents numériques de demain. La question, selon McMullen, n’est pas de savoir s’il faut construire des murs plus hauts autour des données accumulées jusqu’à présent, mais s’il faut arrêter d’accumuler des données qui n’ont jamais eu besoin d’être collectées avant que le référentiel ne devienne l’architecture permanente de l’identité humaine et de celle des machines qui agiront en notre nom.
Questions fréquemment posées
Pourquoi l’argent crypté volé est-il récupérable alors que les données d’identité volées ne le sont pas ?
Parce que la crypto-monnaie volée se déplace sur une blockchain publique avec des transactions visibles qui peuvent être tracées et potentiellement annulées, tandis que les données d'identité sont permanentes et ne peuvent pas être facilement modifiées ou remplacées.
Quelles sont les lacunes des processus actuels de vérification d’identité ?
Ils collectent plus de données d'identité que nécessaire, créant des référentiels centralisés vulnérables aux violations et exposant les utilisateurs à des fuites de données permanentes.
Quelles solutions sont proposées pour protéger l’identité numérique ?
L'éditorial soutient l'adoption de méthodes de vérification préservant la confidentialité et de technologies d'identité privée prouvables, capables de confirmer des faits sur une personne sans conserver l'intégralité de ses données.
Quels sont les risques futurs du développement de l’intelligence artificielle liée à l’identité numérique ?
Les agents IA effectuant des transactions au nom de personnes, des milliards de référentiels centralisés de données d'identité seront créés si les modèles actuels de vérification d'identité restent inchangés, augmentant ainsi le risque de violations.
Contenu créé avec l’aide de l’intelligence artificielle et de la révision éditoriale humaine.
Voir l’article original en italien
