Pourquoi garder vos clés privées en sécurité ne suffira pas toujours à arrêter le vol de crypto-monnaies

Près de 4 000 Bitcoin ont quitté la réserve de Liquid le 6 septembre par le biais d'un retrait approuvé par le réseau, même si les clés privées utilisées pour l'autoriser n'avaient pas été volées. Un logiciel avait accepté un retrait qui n'aurait jamais dû être validé.

Liquid permet aux utilisateurs de déplacer un jeton adossé au Bitcoin sur une blockchain distincte conçue pour des transactions plus rapides et plus privées. Le Bitcoin entre dans une réserve partagée, et les utilisateurs reçoivent des jetons appelés L-BTC, chacun étant censé représenter un BTC. Lorsque les utilisateurs échangent ces jetons, les pièces correspondantes sortent de la réserve.

Selon la reconstruction de l'attaque par TRM Labs, les attaquants ont exploité une faille logicielle pour créer des L-BTC sans avoir mis de Bitcoin en garantie, puis ont échangé ces jetons contre de vraies pièces. Les opérateurs responsables de l'approbation des retraits ont essentiellement fait confiance à des informations erronées.

Si vous avez passé des années à entendre que protéger vos clés signifie protéger vos crypto-monnaies, cela prend un moment à assimiler. Les clés privées sont les secrets qui autorisent les transactions, et les garder à l'abri des voleurs est essentiel. Mais le logiciel peut toujours utiliser ces clés pour approuver un mauvais paiement. Pensez à plusieurs personnes signant un retrait tout en consultant le même solde de compte incorrect.

Une fois cela arrivé, vous cessez de chercher l'explication technique et commencez à poser la question de milliard de dollars : qui paie pour remettre l'argent ?

L'assurance crypto peut aider, mais avoir simplement une police pourrait ne pas être la solution rapide et facile. L'entreprise peut être assurée pour certaines pertes, ou pour des réclamations portées contre elle, sans promettre à chaque client un remboursement complet. Même lorsque l'assureur paie, le montant peut ne pas suffire à remplacer les pièces manquantes.

Pour comprendre cela, nous devons examiner ce qui se passe entre la réclamation d'assurance de l'entreprise et le compte du client. C'est là que la promesse de "protection financière" peut se révéler signifier quelque chose de complètement différent de ce que les gens attendent.

L'entreprise est assurée, mais qu'en est-il de vous ?

Les gens confient des actifs à des services financiers parce qu'ils veulent que quelqu'un d'autre s'occupe d'un travail qu'ils ne peuvent pas faire eux-mêmes. Cela inclut la protection de l'argent, et cela peut également inclure la prise de responsabilité lorsque ces protections échouent. L'assurance peut soutenir cette responsabilité, bien que les termes déterminent combien de soutien elle fournit réellement.

Coinbase offre un bon exemple dans son explication publique de son assurance. L'entreprise dit que son assurance contre le crime protège une "partie" des actifs numériques détenus dans ses systèmes de stockage contre le vol, y compris les violations de cybersécurité. Elle avertit également que les pertes totales pourraient dépasser les récupérations d'assurance, laissant les clients avec des pertes même lorsque l'incident est couvert.

La police exclut les pertes dues à un accès non autorisé à un compte individuel causé par des identifiants de connexion compromis ou perdus. Ainsi, le même résultat pour deux clients, de l'argent manquant de leurs comptes, pourrait impliquer une couverture différente selon la manière dont cela s'est produit.

La divulgation de Coinbase explique plus que le mot "assuré" ne pourrait jamais le faire. Elle informe les clients que la protection a des limites, et que la cause et la taille d'une perte affectent ce que l'assurance peut fournir. Quelqu'un lisant seulement que l'entreprise a une couverture manquerait ces deux qualifications.

Il existe une comparaison familière qui peut rendre cela plus difficile à comprendre. Aux États-Unis, la FDIC protège les dépôts éligibles lorsque une banque assurée fait faillite. Mais elle n'assure pas les actifs numériques, même lorsqu'ils sont achetés par l'intermédiaire d'une banque assurée. L'argent liquide et les crypto-monnaies peuvent apparaître côte à côte dans une application et bénéficier de protections très différentes.

Avec une assurance privée, la première chose à établir est la perte de qui la police couvre. Si la partie assurée est l'entreprise détenant votre Bitcoin, l'accord de l'assureur est avec cette entreprise. Que vous puissiez faire une réclamation directement, et comment tout paiement vous parvienne, dépend des arrangements et de la loi applicables. Et vous ne pouvez pas le voir à partir de votre solde de compte.

Les obligations de l'entreprise envers vous sont également distinctes de son assurance. Si elle doit aux clients plus que ce que son assureur paiera, elle a besoin d'une autre source d'argent pour combler la différence. Inversement, connaître la taille d'une police d'assurance ne détermine pas ce que l'entreprise doit à un client particulier.

C'est pourquoi deux services peuvent tous deux faire de la publicité pour une assurance et offrir différents niveaux de protection financière. L'un pourrait promettre de remplacer des pertes spécifiées et avoir suffisamment d'argent pour couvrir un manque d'assurance, tandis qu'un autre pourrait faire un engagement plus limité. Les clients doivent savoir ce qui leur est promis et si l'entreprise peut se permettre de l'honorer.

Les logiciels échouent, et la facture a besoin d'un propriétaire

Le vol piloté par logiciel peut être assurable même lorsque les clés privées restent sécurisées. Relm, un assureur spécialisé servant les entreprises de crypto, décrit une couverture contre la criminalité des actifs numériques qui peut répondre aux exploits d'infrastructure et au vol impliquant des contrats intelligents, les programmes qui effectuent des transactions automatiquement.

Le même assureur propose une couverture pour erreurs et omissions technologiques, qui traite des réclamations découlant de problèmes avec les produits ou services d'une entreprise. Selon la police, elle peut payer pour défendre une réclamation et pour un règlement ou un jugement couvert. Mais cela sert un objectif différent de celui de rembourser directement l'entreprise pour les actifs qu'elle a perdus.

Imaginez une entreprise qui stocke des Bitcoins pour des clients et s'appuie sur le logiciel d'une autre entreprise pour traiter les retraits. Si une erreur logicielle permet à de l'argent de sortir, le fournisseur de stockage pourrait demander un paiement en vertu de sa propre couverture. Il pourrait également poursuivre une réclamation contre l'entreprise de logiciels, dont la police de responsabilité pourrait aider à payer ce que cette entreprise doit.

Pendant ce temps, les clients veulent accéder à leurs soldes. Leur besoin est immédiat, même si les entreprises établissent la responsabilité et que les assureurs évaluent les réclamations. Que le fournisseur de stockage paie les clients pendant ce processus dépend de ses obligations et de sa capacité à financer le remboursement.

Liquid montre pourquoi la récupération des actifs et l'attribution de la responsabilité sont deux tâches différentes. Selon l'enquête de Bitquery, les attaquants ont restitué 3 400 BTC le 7 septembre. Le 12 septembre, CryptoSlate a rapporté que Blockstream avait rejeté une demande de prime.

Chaque pièce retournée réduit le montant nécessaire pour restaurer la réserve. Mais le remboursement d'un attaquant ne détermine pas qui doit contribuer à un manque. Cela dépend des obligations que le registre de transaction, aussi détaillé soit-il, ne peut établir à lui seul.

Récupérer vos dollars n'est pas toujours récupérer vos Bitcoins

Même un paiement convenu nécessite une définition de ce qui est remplacé. Les personnes qui détenaient des Bitcoins peuvent s'attendre au même nombre de pièces, mais leur accord de compensation pourrait plutôt spécifier un montant en dollars.

Considérons une perte hypothétique d'un Bitcoin d'une valeur de 80 000 $. Supposons que la compensation soit fixée à cette valeur, mais que le Bitcoin coûte 100 000 $ au moment du paiement. Le bénéficiaire reçoit les 80 000 $ promis, qui n'achètent maintenant que 0,8 BTC. Le montant en dollars a été remboursé en totalité, tandis qu'un cinquième de la détention originale de Bitcoin est toujours manquant.

Si le prix baisse pendant l'attente, les mêmes dollars peuvent acheter plus de Bitcoins. Le point est que l'accord détermine qui supporte le risque de ces mouvements de prix. Cet exemple ne décrit aucune police particulière ; les contrats peuvent utiliser différentes dates d'évaluation ou prévoir un remplacement en pièces.

Les récupérations ont aussi besoin de règles. Si un assureur paie et que certains des Bitcoins manquants sont ensuite restitués, l'accord doit tenir compte de qui les reçoit. Récupérer des pièces dans un portefeuille n'est qu'une étape pour résoudre une perte : les répartir entre les personnes ayant droit au remboursement est une toute autre question.

Ensuite, il y a le coût de l'incapacité à utiliser l'argent. Quelqu'un qui finit par récupérer chaque pièce peut avoir passé des semaines incapable de faire un paiement ou de déplacer ses économies. Remplacer l'actif ne compense pas automatiquement ces conséquences, qui nécessiteraient leur propre base de remboursement.

Ces complications exposent une limite à l'instruction selon laquelle les clients devraient faire leurs propres recherches. Peu de gens peuvent inspecter le logiciel approuvant leurs retraits de Bitcoin. Encore moins peuvent comparer ses éventuels échecs avec une police d'assurance qu'ils ne verront peut-être jamais, négociée entre leur fournisseur et une autre entreprise.

Choisir un service financier ne devrait pas nécessiter ce niveau d'expertise. Les fournisseurs devraient expliquer le remboursement aussi clairement qu'ils expliquent les frais, en indiquant quelles pertes ils s'engagent à rembourser et si le remboursement signifie des pièces ou des dollars. Ils devraient également expliquer comment ils financeraient un écart entre ce qu'ils doivent aux clients et ce que leur assureur paie.

Cette information permettrait aux gens d'évaluer le prix d'accepter plus de risques eux-mêmes. Certains choisiront un service moins cher avec une protection limitée, tandis que d'autres paieront plus pour qu'une entreprise prenne des obligations soutenues par suffisamment d'argent pour les honorer.

Le Bitcoin manquant de Liquid a commencé avec un logiciel acceptant quelque chose qu'il aurait dû rejeter. La plus grande leçon ici atteint quiconque comptant sur une entreprise pour protéger ses actifs : la sécurité réduit la probabilité d'une perte, tandis que la protection financière détermine comment cette perte est partagée. Les clients méritent de connaître leur part avant qu'on leur demande de la supporter.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.