WazirX obtient le feu vert juridique pour rembourser la faille de 235 M$

Les piratages et les violations de crypto ne sont pas rares. Cependant, avec une industrie qui mûrit jour après jour, de nombreux contrôles et contrepoids déployés aux bons nœuds au bon moment ont aidé le secteur à inverser efficacement la hausse.

Selon les rapports annuels sur la valeur totale volée dans les piratages de crypto et le nombre de piratages publiés par Chainalysis, la valeur totale annuelle volée dans les piratages de crypto est passée de 543 millions de dollars US en 2019 à 3,3 milliards de dollars US en 2021, puis à 3,7 milliards de dollars US en 2022, avant de redescendre brièvement à 531 millions de dollars US en 2020. Cependant, la valeur a connu une forte baisse en 2023, passant de 3,7 milliards de dollars US en 2022 à 1,8 milliard de dollars US en 2023. En 2024, la valeur est de nouveau montée à 2,2 milliards de dollars US mais est restée bien inférieure à celle de 2022.

Bien que de tels piratages et violations puissent être considérés comme des goulets d’étranglement potentiels pour toute industrie en pleine expansion, certaines violations laissent une impression durable sur les acteurs du secteur et façonnent la manière dont ils devront agir à l’avenir. 

Un tel piratage était celui de WazirX. Discuter de WazirX est encore plus pertinent aujourd’hui, car il vient d’obtenir l’approbation du tribunal pour un remboursement de 235 millions de dollars US. Nous aborderons ce que ce remboursement implique et son importance dans un instant. Mais, avant d’approfondir, nous devons revenir au passé récent pour voir ce qui est arrivé à WazirX. 

Bref aperçu de la faille de sécurité de WazirX

Le 18 juillet 2024, WazirX, une plateforme d’échange de crypto de premier plan basée en Inde, a subi une faille de sécurité. L’équipe de WazirX a publié une déclaration indiquant qu’elle avait subi une cyberattaque sur l’un de ses portefeuilles multisig, entraînant le vol d’actifs numériques dépassant 230 millions de dollars. Ce portefeuille était géré à l’aide de l’infrastructure de garde d’actifs numériques et de portefeuille de Liminal. En conséquence de l’attaque, la capacité de WazirX à maintenir des collatéraux 1:1 avec les actifs a été profondément affectée.

En réponse immédiate au vol, l’équipe de WazirX a déposé une plainte policière en ligne sur le Portail national de signalement de la cybercriminalité et a traité une plainte physique. Elle a également signalé l’incident à l’Unité de renseignement financier (FIU) Inde et à CERT-In.

L’équipe a également contacté plus de 500 échanges pour bloquer les adresses identifiées. De plus, WazirX a annoncé un programme de prime pour récupérer les actifs volés, offrant des récompenses allant jusqu’à 10 000 $ en USDT pour des renseignements exploitables menant au gel et à la récupération des fonds volés. L’équipe a également décidé d’offrir 10 %, soit jusqu’à 23 millions de dollars, en tant que prime White Hat.

Depuis le piratage, WazirX a pris une série de mesures, détaillées dans une chronique jour par jour disponible sur le site Web de WazirX. Notamment, le 6 décembre 2024, la société mère de WazirX, Zettail Pte Ltd., a déposé une demande auprès de la Haute Cour de Singapour sollicitant l’autorisation de convoquer une réunion de ses créanciers pour présenter et voter sur un plan de règlement.

Avant cela, le 17 octobre 2024, WazirX a décidé de déposer une déclaration sous serment détaillant environ 240 000 portefeuilles avec soldes. Cette déclaration devait être déposée auprès de la Haute Cour de Singapour et fournie aux créanciers dans le cadre du processus de restructuration de Zettail Pte Ltd.

Il convient de noter que la plateforme avait également déposé une demande de moratoire auprès de la Haute Cour de Singapour le 28 août 2024, selon une mise à jour publiée à cette date. La demande a été déposée en vertu de la loi sur l’insolvabilité, la restructuration et la dissolution de 2018 afin de fournir l’espace nécessaire pour restructurer les passifs crypto de la plateforme via un plan de règlement.

Toutes ces interactions entre la Haute Cour de Singapour et WazirX ont reçu des réponses judiciaires. Bien que nous discutions de ces réponses en détail, nous examinerons brièvement une autre mise à jour cruciale dans cette affaire : la déclaration conjointe des États-Unis, de la Corée du Sud et du Japon.

Déclaration conjointe des États-Unis, de la Corée du Sud et du Japon sur Wazir X

Une déclaration conjointe émise par les États-Unis, la Corée du Sud et le Japon aurait confirmé l’implication de hackers nord-coréens dans l’orchestration de l’attaque contre WazirX. C’était la première attribution officielle de l’attaque à la Corée du Nord par trois nations conjointement.

La déclaration conjointe a identifié le tristement célèbre Lazarus Group, un collectif de hackers affilié à la Corée du Nord, comme un acteur clé.

“Le programme cyber de la RPDC menace nos trois pays ainsi que la communauté internationale au sens large et, en particulier, représente une menace importante pour l’intégrité et la stabilité du système financier international.”

Le gouvernement indien n’a pas encore commenté officiellement ce développement. Cependant, des rapports suggèrent que l’attaque a suscité des appels à des réglementations plus strictes et à une collaboration public‑privé pour protéger les actifs numériques. 

Au milieu de tous ces mouvements mondiaux et des discussions sur la sécurité des actifs numériques, WazirX a obtenu l’approbation du tribunal pour un remboursement de 235 millions de dollars US lié au piratage.

Feu vert juridique pour rembourser la faille de 235 M$

Le 23 janvier 2025, WazirX a reçu l’approbation de la Cour de Singapour pour rembourser les victimes du piratage de 235 millions de dollars US mené par le Lazarus Group de Corée du Nord. Les utilisateurs récupéreront jusqu’à 80 % des fonds volés.

Si nous examinons plus en profondeur les documents juridiques, le nom figurant sur la demande d’affidavit supplémentaire était Nischal Shetty, répertorié comme Directeur avec le numéro de compte permanent BNTPS2268H. Nischal Shetty s’est déclaré directeur de Zettai Pte Ltd (« Zettai »).

Conformément aux directives émises par l’honorable Commissaire judiciaire Kristy Tan lors de l’audience de OA 1284 le 22 janvier 2025, M. Shetty a confirmé l’engagement de Zettai à fournir les documents suivants aux créanciers du plan au moins une semaine avant la période prévue pendant laquelle les créanciers du plan voteront sur le plan proposé:

Ces documents comprenaient:

• Les états financiers audités de Zettai pour l’exercice clos le 31 mars 2024.
• Les résultats de la vérification indépendante du chiffre des actifs de la plateforme.
• Les résultats de la vérification indépendante du chiffre des passifs non garantis associés aux soldes de crypto-monnaies dus aux utilisateurs de la plateforme au 18 juillet 2024 — jour du piratage.
• Les prévisions financières et l’analyse de liquidation de Kroll.
• La déclaration explicative mise à jour de Zettai s’il y a des changements découlant des informations financières ou une déclaration de confirmation.

Plans de la société mère de WazirX, Zettai, pour respecter les engagements de divulgation

Concernant les états financiers audités, la société s’est engagée à assurer le suivi et à travailler avec ses auditeurs pour accélérer la finalisation de l’audit.

Pour la vérification des actifs de la plateforme, la plateforme précise à quoi se réfèrent les actifs de la plateforme. Par exemple, les actifs liquides nets de la plateforme sont définis comme l’ensemble des actifs en tokens associés aux opérations de la plateforme après la période de remise, qui sont actuellement sous le contrôle de la société et peuvent généralement être traités ou réalisés rapidement.

Les actifs illiquides de la plateforme ont été définis dans le plan comme des actifs en tokens détenus dans des portefeuilles contrôlés par Binance et identifiés par la société comme étant associés aux soldes de crypto-monnaies des utilisateurs de la plateforme (c’est‑à‑dire les actifs de portefeuille illiquides) et aux tokens ERC‑20 volés lors de la cyberattaque (c’est‑à‑dire les actifs volés).

Dans l’affidavit, il a été proposé que la vérification des actifs de la plateforme soit effectuée par M. Joshua Taylor d’Alvarez & Marsal (SE Asia) Pte Ltd et par M. Henry Anthony Chambers d’Alvarez & Marsal Disputes and Investigations Limited.

En plus des actifs de la plateforme, il a également été proposé que la vérification des passifs de la plateforme soit effectuée par A&M.

Enfin, il a été convenu et consigné dans l’affidavit qu’une fois les engagements de divulgation remplis, Zettai procéderait au reste de la réunion du plan comme prévu ou ajusterait les délais si des amendements à la déclaration explicative découlaient des engagements de divulgation, c’est‑à‑dire pour tenir compte de la tenue d’un deuxième webinaire en ligne.

Que va-t-il se passer sur le terrain ?

Alors que ces engagements juridiques continuent de définir les contours du fonctionnement du plan de règlement, le cœur du focus reste celui de Zettai — la société mère de WazirX — un engagement envers un plan de restructuration visant à la récupération des créanciers et à éviter la liquidation via un processus supervisé par le tribunal. WazirX estime que les utilisateurs pourraient récupérer entre 75 % et 80 % de leurs soldes de compte grâce à des distributions de tokens, selon les rapports.

Étant donné qu’aucune preuve de faute ou de mauvaise conduite de la part de WazirX n’a pu être établie concernant la cyberattaque, et que la déclaration conjointe des gouvernements des États‑Unis, du Japon et de la Corée du Sud a attribué l’attaque à un groupe nord‑coréen, WazirX lancera désormais un processus de vote des utilisateurs, prévu pour se conclure en trois mois, ainsi qu’un audit indépendant par une tierce partie comme mentionné précédemment. Si la majorité des votants soutient la plateforme, le plan sera mis en œuvre et, dans les 10 jours, les actifs liquides nets seront distribués aux utilisateurs en fonction de leurs réclamations, y compris les gains provenant du marché haussier.

Le tribunal a clairement soutenu une résolution rapide et une distribution rapide des fonds comme la meilleure issue pour les utilisateurs.

Il est pertinent de mentionner ici que, dans le cadre des efforts de récupération en cours suite à la cyberattaque, environ 3 M$ en USDT ont été gelés avec succès, comme l’a rapporté WazirX le 17 janvier 2023. Cela a marqué une étape importante dans la protection des intérêts des utilisateurs et la récupération des actifs volés.

WazirX estime que ce gel des fonds était crucial pour mettre en avant des aspects tels que la capacité à agir rapidement, l’accent sur la récupération et l’engagement envers les utilisateurs, car chaque montant gelé et récupéré renforce sa mission de protéger les actifs et de restaurer la confiance.

Après avoir publié cette déclaration sur le gel des fonds, WazirX a également détaillé comment son plan de règlement était meilleur que la liquidation pour les créanciers du plan. La plateforme a indiqué que le plan de règlement était avantageux par rapport à la liquidation car il offrait potentiellement des récupérations plus élevées comparées à une liquidation éventuelle.

Il offrait également un accès nettement plus rapide aux distributions qu’en cas de liquidation éventuelle et donnait aux créanciers du plan davantage de capacité à s’exprimer dans le processus global que lors d’une liquidation. Enfin, le plan de règlement, selon WazirX, présentait un potentiel plus élevé de hausse liée au marché via les distributions de tokens que lors d’une liquidation, où les distributions seraient probablement effectuées en fiat.

Toutes ces évaluations sont devenues plus pertinentes maintenant que l’approbation du tribunal pour les réunions du plan a été accordée. WazirX estime que l’avis de la Haute Cour de Singapour constitue une autre étape importante dans le processus de restructuration, alors qu’il se rapproche de la distribution des actifs liquides nets de la plateforme et du redémarrage de la plateforme WazirX.

L’avenir de WazirX

Dans l’ensemble, l’avenir de WazirX semble meilleur que jamais. Il est également important de rappeler que le tribunal a également accordé à la plateforme un moratoire de 16 semaines, protégeant Zettai des actions juridiques pendant qu’elle cherche à mettre en œuvre le plan.

Alors que les créanciers rejoignent le processus d’examen du plan de règlement proposé, qui décrit comment les actifs seront distribués et comment la plateforme pourra reprendre ses activités, une participation plus large est attendue parmi les utilisateurs de WazirX, dont beaucoup sont restés inactifs.

Nischal Shetty, le fondateur de WazirX, aurait exprimé son optimisme quant à la proposition, déclarant qu’elle offre la meilleure chance aux créanciers de récupérer leurs actifs et à la plateforme de se reconstruire.

Dans les jours à venir, le plan se traduira par la réorganisation des dettes, la distribution des actifs liquides aux créanciers et l’émission de tokens de récupération conçus pour faciliter la récupération supplémentaire d’actifs. Les tokens de récupération représentent les créances restantes et permettent aux créanciers de bénéficier des futurs profits de la plateforme et des actifs récupérés. Les espoirs sont grands, et les spéculations abondent quant à ce que WazirX assistera à un relancement de la plateforme avec des fonctionnalités améliorées telles qu’un échange décentralisé et l’allocation des profits futurs aux récupérations des créanciers au cours des trois prochaines années.

Les créanciers se réuniront en ligne, tandis que les détails du processus de vote seront partagés dans les semaines à venir. Nous avons déjà indiqué pourquoi Zettai, la société mère de WazirX, estime que le plan est plus avantageux que les autres options alternatives disponibles.

Bien que Zettai ait naturellement exhorté ses créanciers à soutenir le plan, des rapports suggèrent que de nombreux analystes partagent également l’opinion que le plan de WazirX aurait des conséquences de grande portée au-delà du simple renouveau d’une plateforme unique.

Les efforts de Zettai serviraient de test du cadre juridique de Singapour pour résoudre les litiges financiers complexes dans le domaine des actifs numériques.

En somme, tous les regards sont tournés vers WazirX, car cela pourrait ouvrir de nouveaux horizons pour les entreprises afin de devenir plus fiables et engagées envers leurs utilisateurs.