L’heure la plus sombre de WazirX : un examen détaillé du piratage de 230 M$ et ses conséquences

Les utilisateurs indiens de cryptomonnaies traversent une période difficile alors que la plateforme d’échange centralisée (CEX) WazirX peine à trouver un plan de récupération pour ses clients.

WazirX est l’un des principaux échanges de cryptomonnaies en Inde, avec une base d’utilisateurs de plus de 16 millions. Le 18 juillet, il a été piraté pour 230 millions de dollars.

La faille de sécurité a affecté l’un des portefeuilles multi-signatures de WazirX. Un portefeuille multi-signature nécessite plusieurs personnes pour signer une transaction avant qu’elle ne puisse être exécutée. Dans le cas de WazirX, le portefeuille comptait cinq signataires pour sécuriser les actifs des utilisateurs. 

L’attaquant a siphonné 100 millions de dollars en Shiba Inu (SHIB), 52 millions de dollars en Ether, 11 millions de dollars en MATIC et 6 millions de dollars en PEPE. Selon le rapport de juin 2024, ces fonds représentaient plus de 45 % des réserves totales de l’échange, estimées à 500 millions de dollars.

Selon le traceur blockchain Lookonchain, l’exploiteur a converti la plupart des fonds volés en Ethereum (ETH). Les pirates utilisent généralement des services de mixage comme Tornado Cash pour convertir les jetons, car ils peuvent masquer l’activité transactionnelle.

L’exploiteur détient désormais plus de 59 097 ETH, d’une valeur d’environ 200 millions de dollars, répartis dans divers jetons. Ils ont vendu les jetons volés via le DEX populaire Uniswap.

À la suite de l’attaque, les jetons cotés sur la plateforme se sont négociés à de fortes décotes par rapport aux prix locaux et mondiaux en raison d’un manque de liquidité. L’échange a alors suspendu toutes les transactions ainsi que les retraits de crypto et de fiat sur la plateforme. Cela fait presque deux semaines que WazirX a été piraté, et les activités restent en pause.

Avec tout gelé sur la plateforme, le taux BTC/USDT s’échange à 64 052 sur WazirX contre 66 687 sur CoinDCX. Par ailleurs, le taux USDT/INR s’échange à 88,64 sur CoinDCX alors qu’il est de 68,40 sur WazirX. Le jeton natif de l’échange, le WZX, a quant à lui chuté de 36,24 % depuis l’attaque.

Quant à ce qui s’est passé, l’échange a attribué la cause à un “écart” entre les informations affichées sur l’interface numérique de Liminal Custody et le contenu réel de la transaction signée. L’échange a déclaré dans un post :

“Nous suspectons que la charge utile a été remplacée pour transférer le contrôle du portefeuille à un attaquant.”  

Pendant ce temps, Liminal Custody a blâmé WazirX pour l’attaque, affirmant que son infrastructure n’avait pas été compromise.

“Malheureusement, trois des machines des victimes ont été découvertes en train d’injecter des charges utiles malveillantes dans la transaction, indiquant une attaque sophistiquée, bien planifiée et ciblée sur un portefeuille multi-signature Gnosis Smart Contract spécifique.”

– Liminal sur X

Cependant, tout le monde n’est pas satisfait des explications et du jeu du blâme. Selon Pankaj Tanwar, un YouTuber crypto populaire sur X :

“Cette erreur nuira au #Crypto en Inde au-delà de l’imagination.”

WazirX critiqué pour sa « stratégie de perte socialisée »

Étant donné la proportion des fonds volés par rapport aux réserves totales, il y a peu d’espoir de récupérer quoi que ce soit, ce qui, combiné au fait que l’exploiteur a été lié à la Corée du Nord, a fortement anéanti toute perspective de récupération. 

Alors que l’échange a lancé une prime de 23 millions de dollars pour une solution qui a reçu plus de 130 candidatures, il a commencé à explorer la distribution des fonds intacts.

À cet effet, WazirX envisage de restituer 55 % des avoirs cryptographiques tout en bloquant le reste sous forme de jetons équivalents à l’USDT, que les jetons des utilisateurs aient été volés ou non. Cela signifie que même les utilisateurs qui n’ont pas subi de pertes lors du piratage n’auront accès qu’à 55 % de leurs actifs, le reste étant converti en stablecoins et verrouillé.

L’échange fait désormais l’objet d’un examen plus approfondi et de pressions non seulement de la part de ses clients mais aussi de l’ensemble du secteur en raison de ce « Programme de gestion des retraits : sondage d’opinion ». 

Le sondage a été réalisé le 27 juillet, pendant lequel l échange a introduit une « stratégie de perte socialisée pour répartir l’impact de manière équitable parmi tous les utilisateurs ». Cette stratégie permet aux utilisateurs d’accéder instantanément à la majorité de leurs actifs tout en « maintenant la possibilité d’une récupération supplémentaire pour ceux qui choisissent d’attendre ». 

Dans le cadre de ce sondage, les clients ont été invités à voter sur deux options différentes. Dans la première option, les utilisateurs obtiennent l’accès à la majorité de leurs fonds pour le trading, mais ils peuvent également les retirer. Cependant, ils ont une seconde priorité sur les fonds récupérés. En revanche, la seconde option n’autorise pas les retraits, mais les utilisateurs bénéficient d’une première priorité sur les recettes de récupération.

Cette proposition a entraîné des critiques à l’égard de WazirX de la part de ses utilisateurs, l’un d’eux déclarant : « perte socialisée, profits privatisés ». Un autre s’est demandé pourquoi les utilisateurs dont les jetons n’ont pas été volés devraient être pénalisés.

Les plateformes concurrentes de crypto ont également exprimé leurs avis sur la dernière décision de WazirX, le cofondateur de CoinDCX, Sumit Gupta, déclarant que cette décision n’est « pas centrée sur la communauté ». La manière dont WazirX gère la situation « ne leur plaira pas », a déclaré Gupta, ajoutant que cela « porte également préjudice aux autres participants de l’écosystème ». 

Arjun Vijay, cofondateur de Giottus, a déclaré que le sondage de WazirX « n’est pas dans le meilleur intérêt de l’écosystème » car il est « conçu pour forcer les clients » à choisir l’option permettant d’obtenir la priorité sur les recettes de récupération.

Le cofondateur d’Unocoin, le Dr Sathvik Vishwanath, a également exprimé sa déception quant à la manière dont le problème est géré, affirmant que cela « ne fait qu’aggraver la situation » alors que l’événement a déjà mis l’industrie crypto « en difficulté ». 

WazirX s’est défendu en affirmant que le sondage n’était pas « légalement contraignant » mais simplement une étape dans l’effort de l’échange pour comprendre ce que les clients souhaitent. L’échange continuera de recueillir des idées et des retours des utilisateurs.

En évoquant la raison de son plan de partage des pertes, le vice-président de WazirX, Rajagopal Menon, a indiqué qu’ils ont étudié d’autres grands échanges ayant dû faire face à des situations similaires. Les deux principaux piratages examinés étaient ceux de Mt. Gox et de Bitfinex. 

Après avoir traité la majorité des transactions Bitcoin, Mt. Gox a été piraté en 2014, entraînant la perte de 850 000 BTC. Par la suite, Mt. Gox a fait faillite, et ce n’est qu’une décennie plus tard, en juillet 2024, que les utilisateurs ont commencé à recevoir une petite partie de leurs avoirs initiaux.

Ensuite, il y a eu Bitfinex, qui a perdu 119 756 BTC lors d’un piratage en 2016. L’échange a géré la situation en répartissant la perte parmi tous les utilisateurs, en réduisant les soldes de 36 % et en attribuant à ses clients des jetons BFX représentant leurs pertes. 

Plus d’options & même les fonds de l’ED bloqués chez WazirX

En plus de la « stratégie de perte socialisée », l’échange a exploré d’autres options, notamment en sollicitant l’aide de Binance. WazirX s’est tourné vers son ancien partenaire pour aider à sortir ses clients de la crise, selon un rapport du média local Moneycontrol, qui a cité une source anonyme. 

Des sources de l’industrie ont également indiqué que Binance contrôle un excédent des revenus de l’échange ainsi qu’environ 80 millions de dollars de son jeton WRX. La source aurait déclaré :

“Leur litige juridique est toujours en cours. Certaines composantes de l’activité de WazirX sont encore sous le contrôle de Binance, y compris les revenus — leur excédent. Même son jeton WRX est sous leur contrôle. Ainsi, ils ont contacté Binance et les discussions sont en cours, mais à un stade précoce.”

Dans son rapport de preuve de réserves de janvier 2023, WazirX a indiqué que 90 % des actifs de ses utilisateurs étaient détenus dans des portefeuilles Binance. Quelques mois plus tard, dans un article de blog, WazirX a déclaré que son jeton natif était contrôlé par Binance, ce dernier ayant mené l’IEO WRX au cours duquel 108 401 BNB d’une valeur de 2 millions de dollars ont été vendus, dont les recettes « ont été collectées et conservées par Binance ». 

Tout cela est survenu après que le cofondateur de WazirX, Nischal Shetty, ait eu une dispute publique sur X avec le PDG de Binance, Changpeng Zhao, concernant qui contrôle WazirX. Fait intéressant, en novembre 2019, la plus grande bourse du monde, Binance, avait déclaré avoir acheté WazirX, histoire qui a changé lorsque, à l’été 2022, les autorités indiennes ont perquisitionné le bureau de WazirX à Mumbai, soupçonnant une implication dans le blanchiment d’argent.

En réponse, la Direction d’exécution (ED) de l’Inde a gelé les fonds de WazirX, et le ministère des Finances du pays a annoncé une enquête sur l’échange en vertu de la loi sur la gestion des changes étrangers (FEMA).

À présent, des rapports suggèrent que même l’ED détenait près de 1,1 million de dollars d’actifs cryptographiques saisis sur WazirX. Ces fonds, saisis dans le cadre d’une affaire de corruption concernant une application de jeu appelée E‑Nuggets, ont été transférés sur la plateforme quelques mois avant le piratage.

Le média indien The Print a rapporté qu’après l’enquête sur E‑Nuggets, l’ED a demandé à toutes les plateformes crypto locales, dont WazirX et CoinDCX, d’aider à localiser les comptes sources. Cela a conduit à la découverte de l’Adresse de Paiement Virtuel (VPA) utilisée pour acheter des cryptos. En conséquence, l’ED a gelé tous les fonds dans 70 comptes crypto maintenus chez ZebPay, WazirX et Binance basé à Dubaï.

Ainsi, après avoir saisi les cryptos, les autorités ont ouvert un compte crypto pour l’ED et ont transféré toutes les cryptos de WazirX, l’échange étant local et disposant de la plus grande base d’utilisateurs et liquidité. Mais maintenant, WazirX a été piraté et a perdu 45 % de ses fonds. Il serait intéressant de voir si les autorités interviendront enfin pour offrir des orientations et une aide à l’industrie.

Ce n’est pas que les piratages soient rares dans le domaine de la crypto. L’année dernière, des attaquants ont volé 1,7 milliard de dollars à des plateformes crypto, selon un rapport sur la criminalité crypto de Chainalysis. Bien que le montant volé lors de ces attaques ait plus que diminué de moitié depuis 2022, le nombre de ces attaques est passé de 219 en 2022 à 231 en 2023. 

Alors que les prix des cryptos ont augmenté cette année, les pirates sont de nouveau actifs, avec 1,48 milliard de dollars volés d’ici le 24 juin 2024, contre 657 millions à la même période l’année précédente, selon TRM Labs. Cependant, les cinq principales exploitations ont représenté jusqu’à 70 % du montant total volé. Le rapport indique :

“Les compromissions de clés privées et de phrases de récupération restent un vecteur d’attaque majeur en 2024, aux côtés des exploits de contrats intelligents et des attaques de prêts flash.”

Ainsi, bien que les piratages de cryptos se poursuivent, le gouvernement indien n’a pas réussi à fournir des directives claires et établies afin que ces échanges n’opèrent pas dans l’opacité.

L’industrie crypto instable & non réglementée de l’Inde 

Après cet incident majeur, plusieurs échanges ont coopéré avec WazirX pour l’aider à tracer les fonds volés et à récupérer les actifs des clients. Pour analyser plus en profondeur la cyberattaque, la société a également collaboré avec des experts en criminalistique et des agences d’application de la loi afin d’identifier et d’appréhender les auteurs.

L’échange a également signalé l’incident à l’équipe indienne de réponse aux urgences informatiques (CERT‑In), agence responsable des incidents de sécurité liés à l’informatique. Dans l’étape suivante, un First Information Report (FIR) a été déposé, préparé par la police pour lancer une enquête officielle. 

WazirX a également envoyé le rapport d’incident à l’Unité d’Intégrité Financière (FIU)-Inde, auprès de laquelle il est enregistré et qui dépend du ministère des Finances. Cependant, la faille de sécurité de WazirX ne relève pas du champ d’action de la FIU, qui surveille les transactions en vertu de la loi du pays sur la prévention du blanchiment d’argent (PMLA). Selon Joanna Cheng, avocate générale associée chez Fireblocks :

“Il n’existe pour l’instant aucune réglementation spécifique à la crypto en Inde, et l’industrie bénéficierait d’attentes réglementaires claires sur des questions telles que les normes de sécurité, la gestion des risques et la protection des consommateurs. Une intervention réglementaire dans ce domaine signifierait également que les échanges qui desservent un grand nombre de clients particuliers seraient tenus responsables de leurs actions (ou de leur inaction).”

L’industrie des cryptomonnaies en Inde reste non réglementée. La seule avancée majeure prise pendant cette période a été une décision de la Cour suprême en 2020 annulant l’interdiction de la Reserve Bank of India de 2018, permettant aux banques de faciliter les transactions crypto entre utilisateurs et échanges.

En dehors de cela, le développement réglementaire de la crypto dans le pays est resté immobile. Jusqu’à présent, aucune législation n’a été adoptée pour réguler le secteur, et la crypto reste principalement hors du champ d’action des autorités.

Le seul contrôle réglementaire présent provient de la FIU du gouvernement indien, chargée de superviser le commerce des actifs numériques virtuels. Selon un rapport du Economic Times de mai de cette année, 47 entités régulées dans le pays sont impliquées dans le commerce ou la gestion d’actifs crypto en Inde. Cela fait suite à l’interdiction par le gouvernement des plateformes crypto offshore d’opérer en Inde en raison du non-respect des directives de lutte contre le blanchiment d’argent (AML).

Bien qu’il n’existe aucune protection réglementaire pour les utilisateurs de crypto en Inde, le gouvernement a imposé des taxes pouvant atteindre 30 % sur les bénéfices provenant de la vente de crypto, sans compensation des pertes autorisée. De plus, une taxe de 1 % est prélevée à la source pour chaque transaction.

Ces politiques ont eu un impact négatif sur l’industrie, les utilisateurs de crypto se plaignant du manque de soutien gouvernemental qui étouffe le secteur tout en prélevant une énorme part de leurs bénéfices en taxes depuis 2022.

L’industrie crypto indienne souffre depuis longtemps d’un manque de clarté réglementaire, ce qui a favorisé l’émergence d’acteurs malveillants. Alors que WazirX a été victime d’une cyberattaque, les utilisateurs se plaignent également d’échanges comme BitBNS pour escroquer les gens.

L’entité enregistrée auprès de la FIU-India, qui se présente comme conforme aux normes mondiales FATF pour les VASP, a également subi un piratage de 7,5 millions de dollars en 2022. Depuis, BitBNS agit de manière douteuse, permettant aux utilisateurs de déposer des fonds mais ne permettant pas les retraits. Les utilisateurs spéculent que son PDG, Gaurav Dahake, a déjà fui le pays.

Plus tôt cette année, dans une interview avec The Economic Times, Dahake a prédit que le BTC dépasserait les 100 000 $. Les victimes envisagent actuellement une action collective contre l’échange.

Mais ce n’est pas tout. Les échanges crypto en Inde, y compris CoinDCX, n’autorisent pas les utilisateurs à auto-conserver leurs cryptos, ce qui va à l’encontre de l’esprit même de la crypto. Les plateformes indiennes ne permettent pas les transferts de crypto vers des échanges ou portefeuilles externes si les utilisateurs effectuent des dépôts fiat. Cela aggrave le problème, car les utilisateurs ne peuvent pas auto-conserver leurs actifs même s’ils le souhaitent, ce qui les empêche de se protéger d’événements comme le piratage de WazirX.

Les choses pourraient enfin changer, cependant, le pays le plus peuplé du monde prévoyant de publier un document de discussion exposant sa position politique sur la crypto avant septembre. Cependant, le gouvernement a tenté de réguler la crypto à plusieurs reprises, mais aucune mesure concrète n’a encore été prise, contrairement aux directives claires introduites par les régulateurs du monde entier. Même les États‑Unis ont approuvé leur premier ETF Bitcoin au comptant, qui a attiré des millions de dollars d’entrées totales.

Ainsi, tant que le gouvernement indien ne décidera pas d’accorder à l’industrie crypto l’attention et la clarté réglementaire dont elle a besoin, les utilisateurs locaux de crypto et le secteur continueront de souffrir.

Cliquez ici pour une liste des cinq meilleurs échanges crypto.