Les autorités américaines procèdent à une arrestation dans le cadre de la première affaire criminelle impliquant une attaque contre un smart contract exploité par une bourse d'échange décentralisée.

Le 11 juillet 2023, le procureur des États-Unis pour le district sud de New York, l'agent spécial chargé du bureau local de San Diego de Homeland Security Investigations ("HSI") et l'agent spécial chargé du bureau local de Los Angeles de l'Internal Revenue Service - Criminal Investigation ("IRS"), ont annoncé la publication d'un acte d'accusation accusant Shakeeb Ahmed (le défendeur) de fraude électronique et de blanchiment d'argent dans le cadre de son attaque contre une bourse de crypto-monnaies décentralisée (la "bourse de crypto-monnaies"). Ahmed a également été arrêté le même matin à New York. Il s'agit de la première affaire pénale impliquant une attaque contre un smart contract exploité par une bourse décentralisée. TRM Labs est fier d'avoir soutenu les forces de l'ordre tout au long de cette enquête et la victime pendant la réponse à l'incident.

Selon l'acte d'accusation, en juillet 2022, Ahmed, ingénieur en sécurité de formation, a mené une attaque contre la Crypto Exchange en exploitant une vulnérabilité dans l'un des contrats intelligents de la Crypto Exchange et en insérant de fausses données de tarification pour faire en sorte que ce smart contract génère frauduleusement des frais gonflés d'une valeur d'environ 9 millions de dollars qu'Ahmed n'avait pas légitimement gagnés, frais qu'Ahmed a pu retirer de la Crypto Exchange sous la forme de crypto-monnaie. 

Après avoir volé les frais, Ahmed a eu des échanges avec le Crypto Exchange au cours desquels il a décidé de restituer tous les fonds volés, à l'exception de 1,5 million de dollars, si le Crypto Exchange acceptait de ne pas signaler l'attaque aux forces de l'ordre.  

Selon l'acte d'accusation, Ahmed a blanchi les millions de frais qu'il a volés à la Crypto Exchange pour en dissimuler la source et la propriété, notamment par des échanges de jetons, des sauts de chaîne, l'utilisation de pièces confidentielles comme Monero et l'utilisation d'échanges offshore.

Ci-dessous, nous discuterons de l'exploit, de la réponse à l'incident et de l'enquête à l'aide de l'blockchain intelligence TRM.‍

L'Exploit‍

Selon l'acte d'accusation, au moment de l'attaque, le défendeur "était un ingénieur principal en sécurité pour une entreprise technologique internationale dont le CV reflétait des compétences dans, entre autres, l'ingénierie inverse des contrats intelligents et des audits de la blockchain, qui sont certaines des compétences spécialisées qu'Ahmed a utilisées pour exécuter l'attaque." Le Crypto Exchange, toujours selon l'acte d'accusation, est un "teneur de marché automatisé" qui s'appuie sur des contrats intelligents pour permettre à ses clients d'échanger des actifs sur la blockchain Solana. Plus précisément, le Crypto Exchange a créé un marché pour les échanges en regroupant les liquidités de ses clients (par exemple, le client dépose 100 USD sur l'échange au prix du marché, l'échange paie au client des frais pour la mise à disposition des liquidités).

Le 2 juillet 2022, la Crypto Exchange a notifié au public qu'elle subissait une attaque et qu'elle prendrait rapidement des mesures correctives pour protéger les fonds des clients. Cette attaque aurait été menée par le défendeur qui a exploité le smart contract associé à la bourse en fournissant de fausses données pour faire croire qu'il avait fourni un grand volume de liquidités à la bourse, ce qu'il n'avait pas fait en réalité. En conséquence, le défendeur a frauduleusement reçu des frais substantiels de la part de la bourse. 

En outre, après avoir compris comment exploiter le smart contract de la bourse, le défendeur aurait utilisé des fonds provenant de "prêts éclair" pour effectuer une série de dépôts sur la bourse, générant ainsi des frais frauduleux supplémentaires. Le défendeur a ensuite créé un autre compte frauduleux sur la bourse et a manipulé davantage le smart contract afin de pouvoir retirer rapidement les fonds principaux de la bourse.

Le prévenu aurait obtenu frauduleusement, au total, plus de 9 millions de dollars de crypto-monnaies de la Bourse en manipulant le smart contract En utilisant TRM Labs Graph Visualizervous pouvez voir l'exploit provenant de l'adresse de l'exploiteur, traversant les blockchains de Solana à Ethereum, et se déplaçant vers les adresses ETH suivantes.

Après l'exploit, le défendeur avait besoin d'obscurcir le flux des fonds obtenus frauduleusement, il a donc commencé à utiliser des techniques de blanchiment d'argent sophistiquées pour cacher la destination des fonds. Le défendeur semble avoir échangé des fonds entre blockchains à plusieurs reprises, utilisé des "mélangeurs" de crypto-monnaies et déplacé des fonds dans des crypto-monnaies à confidentialité renforcée afin de dissimuler le flux de fonds.‍

La réponse‍

Après le piratage, la Bourse a collaboré avec l'équipe de réponse aux incidents de TRM et les enquêteurs du HSI et de l'IRS pour suivre et tracer les flux de fonds avant et après l'exploit.

Au cours de l'enquête et de la réponse à l'incident, le défendeur a restitué tous les fonds, à l'exception de 1,5 million USD de crypto-monnaie, qu'il prétendait recevoir pour avoir mis en évidence la vulnérabilité du protocole de smart contract

Selon l'acte d'accusation, les enquêteurs ont utilisé ces données sur la chaîne avec une enquête hors chaîne pour finalement identifier et arrêter le défendeur. Cette enquête hors chaîne a révélé qu'après l'attentat, l'accusé a recherché en ligne des informations sur l'attentat, sur sa propre responsabilité pénale, sur les avocats de la défense spécialisés dans les affaires similaires, sur la capacité des forces de l'ordre à enquêter avec succès sur l'attentat et sur la fuite des États-Unis pour éviter les poursuites pénales.  

Par exemple, selon l'acte d'accusation, deux jours après l'attaque, l'accusé a effectué une recherche sur Internet pour le terme "defi hack", a lu plusieurs articles de presse sur le piratage du Crypto Exchange, et a effectué des recherches sur Internet ou a visité des sites Web liés à sa capacité à fuir les États-Unis, à éviter l'extradition et à conserver sa crypto-monnaie volée : il a effectué des recherches sur les termes "puis-je traverser la frontière avec la crypto", "comment empêcher le gouvernement fédéral de saisir les actifs" et "acheter la citoyenneté" ; et il a visité un site Web intitulé "16 pays où vos investissements peuvent acheter la citoyenneté...". . ."

Cette affaire illustre les efforts sophistiqués et coordonnés des organismes américains d'application de la loi tels que le HSI et l'IRS, en utilisant l'blockchain intelligence, pour perturber et punir la fraude dans l'écosystème des crypto-monnaies. Elle souligne également l'importance de pouvoir tracer et suivre les flux de fonds à travers les blockchains pour arrêter les acteurs illicites qui cherchent à obscurcir les transactions.