Business de la vie privée : L'équation impossible ?

Est-il encore possible de développer des business autour de la vie privée dans les cryptos ? On pourrait en douter compte tenu du nombre d'affaires où des développeurs spécialisés subissent la pression de nombreux États.

Le 24 avril, c'était au tour des créateurs de Samourai Wallet, Keonne Rodriguez et William Lonergan Hill, d'être arrêtés aux États-Unis.

Samourai est un wallet bien connu de la communauté bitcoin. Il permet d'ajouter une couche d'anonymat sur des transactions. L'application mobile (désormais retirée des stores d'Apple et Google) s'appuie sur un "mixeur" du nom de Whirlpool. Un mixeur mélange plusieurs transactions entre elles afin de briser le lien entre l'émetteur et le bénéficiaire. À l'issue de l'opération, il devient beaucoup plus difficile de remonter les transactions sur la blockchain.

Selon le département de la Justice américain, Samourai Wallet aurait facilité plus de 2 milliards de dollars de transactions considérées comme "illégales" et contribué au blanchiment de près de 100 millions de dollars liés à des "activités criminelles". Les deux développeurs risquent jusqu'à 25 ans de prison.

Cette affaire n'est pas sans rappeler Tornado Cash, qui avait abouti à l'arrestation de son développeur principal Alexey Pertsev à l'été 2022. Tornado Cash propose quasiment la même chose que Whirlpool, mais sur Ethereum. La justice néerlandaise a requis 5 ans d'emprisonnement contre Alexey Pertsev et son procès s'est ouvert la semaine dernière.

"L'arrestation des membres de Samourai Wallet confirme une fois de plus que les autorités ciblent clairement ce type d'outils, pourtant indispensables pour préserver un semblant de confidentialité sur la blockchain", déplore Alexis Roussel, directeur des opérations de la start-up suisse Nym, qui a lancé un réseau de communication garantissant la confidentialité de ses utilisateurs.

“On utilise un marteau au lieu d'un scalpel” (Coinbase)

"Contrairement à l'idée régulièrement répandue par ses détracteurs, Bitcoin n'a jamais été conçu pour garantir la vie privée de ses utilisateurs”, insiste Frédéric Ocana, hacker éthique et directeur du programme cybersécurité à la Banque de France de 2017 à 2021. “C'est principalement un outil qui permet de réaliser des transactions financières incensurables en dehors du système bancaire”, explique-t-il.

Selon lui, les cryptomonnaies sont facilement traçables et c'est cela qui a engendré la création d'outils tels que les mixeurs pour offrir à leurs utilisateurs plus de vie privée, à commencer par Bitcoin Fog à partir de 2012, Blender en 2017 et plus récemment Tornado Cash ou Whirlpool.

“Les grandes entreprises auront toujours les moyens de développer des outils pour gérer leur confidentialité, ce qui est loin d'être évident pour les particuliers”, remarque Alexis Roussel. D'où l'existence d'un business s'adressant à eux. Et certains projets cryptos y voient également un intérêt. "Si vous subissez une fuite d'un de vos wallets sur les réseaux sociaux, un mixeur permet de retrouver un peu de discrétion”, confie un porteur de projet.

Le problème, c'est que les mixeurs de cryptomonnaies sont également utilisés par des criminels, à commencer par le groupe de hackers Lazarus (proche du gouvernement nord-coréen). Selon l'enquêteur ZachXBT, très réputé dans l'écosystème, il aurait réussi à blanchir l'équivalent de 200 millions de dollars entre 2020 et 2023, en s'aidant notamment de mixeurs.

Faut-il pour autant les interdire et jeter leurs développeurs en prison ? Pour certaines entreprises tout à fait respectables comme Coinbase, “on utilise un marteau au lieu d'un scalpel”, indiquait-elle dans un billet publié sur son site web en septembre 2022.

“Nous n'avons aucun problème avec le fait que le Trésor sanctionne les mauvais acteurs et nous adoptons une position ferme contre les comportements illégaux. Mais dans ce cas, le Trésor est allé beaucoup plus loin en sanctionnant une technologie entière au lieu de personnes spécifiques. Le problème est double : il existe des applications légitimes pour ce type de technologie et, à la suite de ces sanctions, de nombreux utilisateurs innocents ont maintenant leurs fonds bloqués et ont perdu l'accès à un outil crucial de confidentialité”, abonde Coinbase.

Les angles d'attaque utilisés par les autorités

La plupart du temps, on reproche aux développeurs de mixeurs des cas de blanchiment, mais aussi d'opérer une entreprise de transfert de fonds (Money Services Business - MSB) illégalement.

Cette licence est délivrée par les régulateurs aux entreprises considérées comme fournissant des services de conversion ou de transmission de flux financiers.

“Sauf que le périmètre réglementaire de cette licence n'est pas clair”, explique à The Big Whale Laurent MT, un développeur qui a travaillé sur Samourai Wallet. “Jusqu'à Tornado Cash, la règle pour ne pas être hors-la-loi stipulait que l'entité à l'origine du mixeur ne devait jamais prendre le contrôle des fonds”, complète-t-il.

Dans le cas de Tornado Cash et Samourai, les autorités leur reprochent d'avoir prélevé des frais de transaction et donc d'avoir indirectement profité financièrement d'opérations de blanchiment. En outre, elles estiment également qu'en tant qu'entreprise de transfert de fonds, Samourai Wallet et Tornado Cash auraient dû remplir leur devoir de lutte contre cette pratique.

“Cet angle d'attaque nie le principe de neutralité de ces technologies”, s'inquiète Laurent MT. “Un développeur n'a pas à remplir le rôle de la police, cette confusion me fait penser qu'ils sont prêts à tout pour éviter la prolifération d'outils qu'ils connaissent encore mal", insiste-t-il.

Prouver sa bonne foi au régulateur

Que faire alors pour éviter la case prison ? "L'essentiel est de prouver sa bonne foi au régulateur tout en prenant soin de ne pas le provoquer", rappelle Frédéric Ocana.

Dans le cas de Tornado Cash ou Samourai, il s'agira notamment de démontrer que leur fonctionnement n'est pas optimal pour blanchir des fonds. En effet, pour être le plus efficace possible, Whirlpool recommande de laisser ses fonds le plus longtemps possible à l'intérieur du mixeur afin que les fonds soient bien mélangés. Or, c'est justement ce que souhaite éviter un criminel.

"Lorsqu'un acteur cherche à blanchir des fonds, il doit le faire le plus rapidement possible à la manière d'un 'go fast' pour mettre les sommes volées en dehors du périmètre de toute saisie”, détaille Frédéric Ocana. “C'est notamment pour cette raison que les schémas utilisés par Lazarus laissaient énormément de traces malgré leur utilisation de mixeurs”, poursuit-il.

Est-ce que cela convaincra la justice ? Pas si sûr…

“Au final, l'approche la plus sûre est certainement de s'inspirer de la conception de Bitcoin, c'est-à-dire éditer un protocole totalement décentralisé et ne pas percevoir de revenus à partir de celui-ci”, souligne Laurent MT. Mais sans la promesse de revenus futurs, cela limitera les incitations des développeurs à créer de nouveaux logiciels de ce type…

"Je ne suis pas optimiste concernant l'approche des États vis-à-vis de la vie privée. La transparence des blockchains et la possibilité de s’échanger des fonds sans intermédiaire bouleverse les certitudes. C'est ce qui devrait motiver les autorités à sanctionner très durement ceux qui ont développé des logiciels apportant de la confidentialité dans les transactions financières", concède Alexis Roussel.