Le rêve de toute personne, avoir une voiture à taille réelle télécommandable. Mieux encore, comme la célèbre coccinelle de Walt Disney, dans « Un amour de coccinelle » en 1968, une automobile vivante. Il aura fallu attendre 2022 pour que cela soit possible, grâce à DavidColombo, pas de lien de parenté avec l’inspecteur du même nom. C’est une histoire à la fois stupéfiante et effrayante, d’un jeune homme de tout juste dix-neuf qui de chez lui intervenait sur des commandes et fonctions des voitures Tesla.
Non, ce n’est pas un canular, ne vous pincez pas, ce n’est pas la peine, en plus ça fait mal. Le spécialiste en sécurité informatique du nom de David Colombo a réussi à opérer sur des Tesla situées à l’autre bout du monde. Il pouvait, par exemple, démarrer le véhicule sans que le propriétaire comprenne comment cela est possible, et bien d’autres encore. Heureusement, il n’est pas du côté obscur de la force. Le jeune homme de 19 ans est un individu qualifié de WhiteHat. De ce fait, il a immédiatement alerté les médias pour que l’information soit diffusée avant qu’un être malveillant ne fasse la même chose.
Le fondateur de colombo_tech expliquait qu’il pouvait contrôler à distance 25 Tesla dans 13 pays. Le fantasme s’arrête là. « je ne peux pas intervenir sur la conduite d’une personne (à part lancer la musique au volume maximum ou faire clignoter les feux) et je ne peux pas non plus conduire ces Tesla à distance », gazouille-t-il. (Crédits : capture d’écran/Twitter)
Attachez vos ceintures, David Colombo a pu verrouiller et déverrouiller la voiture, baisser les fenêtres, démarrer sans la carte ou encore désactiver le système de sécurité dans sa globalité. Il peut savoir si un individu se trouve à l’intérieur du véhicule. Dans une interview, accordée à Bloomberg, David Colombo a fourni des captures d’écran et d’autres documents relatifs à ses recherches, identifiant le fabricant du logiciel et donnant des précisions sur les vulnérabilités. Il a demandé que ne soit pas publié de détails, tant qu’un correctif n’a pas vu le jour.
Il ne s’agit pas d’un « contrôle total à distance », c’est-à-dire la possibilité de contrôler à distance la direction, l’accélération et le freinage.
Bloomberg confirme que tout est vrai après lecture et vérification. Selon les premières informations, le jeune homme aurait utilisé des API vulnérables présentes dans d’autres applications que celle de Tesla, installées dans le téléphone des détenteurs desdits véhicules. « Ce n’est pas une vulnérabilité de l’infrastructure de Tesla. C’est la faute des propriétaires. » Il affirme avoir été en contact avec des membres de l’équipe de sécurité de Tesla, ainsi qu’avec le fabricant du logiciel tiers. Cette découverte met en exergue les risques liés à l’utilisation naïve de l’Internetdesobjets (IoT), où tout, des automobiles aux réfrigérateurs, est connecté en ligne — et devient donc potentiellement vulnérable aux menaces de piratage. « Il suffit de ne pas connecter les objets critiques à l’internet, déclare-t-il. C’est très simple. Et si vous devez le faire, assurez-vous qu’il est configuré de manière sécurisée »
deuxième attaque majeure ce mois-ci, après 610 millions d’euros sur la plate-forme d’échanges de cryptomonnaie Poly Networks, c’est un nouveau vol qui fait les gros titres de la presse : « Nouveau piratage d’une plate-forme de cryptomonnaies ». En effet, la plate-forme japonaise Liquid avait annoncé le vol de plus de 97 millions de dollars, et indiqué aux utilisateurs de ne plus déposer de cryptomonnaies sur leurs portefeuilles jusqu’à nouvel ordre. Dans le même domaine, les forces de l’ordre espagnoles démantelaient une ferme à cryptomonnaie à Yeles, proche de Tolède..
La cryptomonnaie n’a peut-être jamais autant fait parler d’elle que ces derniers jours. La plate-forme japonaise Liquid signalait jeudi 19 août 2021, avoir été visée par une attaque informatique au cours de laquelle une somme estimée à 94 millions de dollars soit 80,4 millions d’euros aurait été dérobée. Dans un communiqué, la société indique que ses équipes avaient « détecté un accès non autorisé à certains des portefeuilles de cryptomonnaies gérés par Liquid » et par la suite, découvert qu’un volume « d’environ 91,35 millions de dollars d’actifs a été déplacés hors des portefeuilles Liquid par une partie non autorisée».
Les dirigeants de Liquid invitent tout un chacun à générer de nouvelles adresses de dépôt, que ce soit pour effectuer des retraits ou capitaliser pour les devises à nouveau accessibles. Ils se veulent rassurants, car « il n’y aura aucun impact sur les soldes des utilisateurs de Liquid ». (Crédits : capture d’écran)
Fort heureusement sur la somme totale « 16,13 millions de dollars d’actifs ERC-20 ont été gelés (désactivés pour les mouvements on-chain) grâce à l’aide de la communauté », précise le communiqué. « Soixante-neuf actifs de cryptomonnaies différents ont été détournés et envoyés vers d’autres plates-formes d’échange. Les actifs placés sur Liquid Earn ne sont pas impactés. »
En rétablissement progressif
Elliptic, une société d’analyse de la blockchain, a rédigé un rapport sur l’attaque. Il en ressort que 32, 5 millions de dollars en Ether avaient été volés, ainsi que 12, 9 millions de dollars en XRP, 4, 8 millions de dollars en bitcoins, 200 000 dollars en Tron, 9, 2 millions de dollars en pièces stables et 37, 4 millions de dollars dans d’autres monnaies. La société nipponne a cependant joué la transparence, en publiant chaque jour des informations. « Nous sommes en bonne voie avec la reprise progressive des services de dépôt et de retrait de cryptomonnaies. Nous tenons à rappeler que les utilisateurs doivent générer de nouvelles adresses de portefeuille de dépôt avant d’effectuer des transactions. Les adresses de dépôt pour toutes les monnaies sont modifiées par mesure de sécurité », tweete Liquid.
Black Hat vs White Hat
Le retentissement du vol des 610 millions de dollars amenait Changpeng Zhao, PDG de la bourse de cryptomonnaies Binance à gazouillé : « Nous sommes conscients de l’exploit qui s’est produit aujourd’hui. Bien que personne ne contrôle BSC (ou ETH), nous coordonnons avec tous nos partenaires de sécurité pour aider de manière proactive. Il n’y a aucune garantie. Nous ferons tout ce que nous pourrons. » La somme a de quoi faire tourner la tête de plus d’un quidam. Les actifs volés étaient de 273 millions de dollars en jetons Ethereum, 253 millions de dollars en jetons sur la Smart Chain de Binance et 85 millions de dollars en USDC sur le réseau Polygon.
L’attaque du 26 juillet 1944 s’est déroulée au sein de la paisible gare de Neuvic. Aucun coup de feu n’avait été échangé selon l’enquête. (Crédits : DR)
L’incident concernant Poly Networks a pris une tournure inhabituelle, ou raisonnée selon votre point de vue. La personne ayant dérobé les deniers a déjà rendu la quasi-totalité du butin du cambriolage. La firme aurait laissé entendre que ce dernier serait intéressé pour entériner l’offre d’un demi-million de dollars en échange de la restitution absolue de l’argent : « j’envisage d’accepter la prime comme un bonus », répondait celui derrière « Mr White Hat » dans un message.
Le plus grand casse de l’histoire
Le plus gros casse était d’un montant de 534,8 millions de dollars, volés à l’échange de monnaie numérique japonais Coincheck lors d’une attaque en 2018. Quatre ans auparavant la somme de 450 millions de dollars en bitcoins avait disparu de Mt Gox, basé à Tokyo. Cependant, le plus gros casse de l’histoire, fut réalisé le 26 juillet 1944 en France, en monnaie fiduciaire. Les maquisards de l’Armée secrète (AS) et de l’Organisation de résistance de l’armée (ORA) investissent les abords de la gare et sécurisent le terrain. Aux alentours de 19 h 30, l’omnibus de voyageurs 1709 en provenance de Périgueux et à destination de Bordeaux s’arrête. Le groupe de résistants armés dérobe à la Banque de France un butin qui s’élève à 2, 28 milliards de francs répartis dans 150 sacs (plus de 430 millions d’euros actuels). Tout se déroulait sans violence, en gare de Neuvic, entre Mussidan et Périgueux en Dordogne. Il reste à ce jour en tête le plus gros casse de l’histoire mondiale en monnaie « réelle ».
610 millions rendus
La société de sécurité blockchain SlowMist indiquait avoir déjà retrouvé l’identité de l’attaquant. Elle affirmait connaître son adresse électronique, ses informations IP et l’empreinte digitale de son « système informatique ». Est-ce par peur des représailles ou pour toute autre raison que plus de la moitié du fonds était revenu ? Ainsi, le jeudi 12 août à 10 heures, la somme de « 342 millions de dollars de crypto-actifs avaient été rendus, dont 4, 6 millions en Ethereum, 252 millions en BinanceCoin et 85 millions en OxPolygon », déclarait Poly Networks sur Twitter.
Les cryptomonnaies sont multiples et fluctuent, mais attirent de nombreuses convoitises de tous bords. (Crédits : DR)
Lundi 23 août 2021, au matin, Poly Networks avait été contacté par « Mr White Hat », qui fournissait une clé privée pour le reste des fonds en suspens. « Pour être honnête, j’avais des ambitions un peu égoïstes, de faire quelque chose de marrant, mais pas nuisible… puis j’ai réalisé que d’être un leader moral serait le piratage le plus cool que je pourrai jamais faire », avait-il déclaré via un message relayé sur Twitter. Certains sont moins regardants, car depuis fin avril, les vols de cryptomonnaies, piratages et fraudes avaient atteint 432 millions de dollars, indique CipherTrace.
Ferme de cryptomonnaie démantelée
Si l’Espagne est connue pour être un grenier de l’Europe, pour cultiver de nombreux fruits et légumes, elle l’est désormais pour un autre style de culture. La police a fait une descente, vendredi 20 août 2021 dans une villa de Yeles, dans la province de Tolède pour démanteler une ferme illégale de cryptomonnaies. « À l’intérieur, une femme a été reconnue comme responsable présumé d’un délit d’escroquerie à la fourniture d’électricité puisque, pour entretenir l’installation, elle aurait réalisé un raccordement électrique avec une forte consommation illégale », indique la police dans un communiqué.
Un système de ventilation ingénieux, mais point discret avait été mis en place pour éviter la surchauffe. (Crédits : Ministère de l’intérieur espagnol)
Elle a été identifiée, et accusée par les agents d’un délit de fraude à l’électricité. Le délit de fraude à l’électricité est réglementée par l’article 255 du code pénal, et puni d’une amende de trois à douze mois. Si une personne a été reconnue coupable et condamnée, pour un délit mineur de fraude à l’électricité d’un montant inférieur à 400 euros, à une amende d’un mois, elle devra s’acquitter de la somme de 150 euros (30 jours x 5 euros par jour = 150 euros). Enfin, il convient de noter que les condamnations pour le délit mineur d’escroquerie aux fluides électriques, une fois définitives, sont inscrites au « casier judiciaire ».
Un bruit assourdissant
« Parfois, selon la police ces pièces sont utilisées comme moyen de paiement régulier dans le cadre d’activités illicites liées à la criminalité technologique et au blanchiment d’argent ». Dans ce type d’installation de minage de cryptomonnaies, la rentabilité dépend souvent de l’utilisation de faibles prix de l’électricité. La mine disposait de 111 processeurs et de systèmes d’air conditionné sophistiqués pour empêcher la température de monter, produisant un bourdonnement assourdissant.
Lors de la perquisition, les agents ont trouvé un enchevêtrement de matériel informatique. (Crédits : Ministère de l’intérieur espagnol)
La consommation ahurissante du logement est l’une des raisons de l’enquête. La personne ciblée a employé un raccordement illégal au réseau de distribution basse tension, ce via une alimentation électrique triphasée. Elle a été trahie par des émissions thermiques anormales. Ces signes révèlent souvent des cultures de marijuana (nécessitant des lampes à sodium, hygrométrie…) comme celles présentes dans les logements insalubres et les villas de la Cañada Real, mais aussi à des fermes de cryptomonnaies.
