Des voleurs d'identité exploitent le processus de configuration du portefeuille Bitcoin Chivo au Salvador

Dans un premier temps, Cynthia Gutierrez a refusé de télécharger Chivo, le portefeuille numérique développé par le gouvernement salvadorien pour l'utilisation du Bitcoin dans tout le pays et lancé le 7 septembre.

Elle a décidé d'ouvrir l'application le 16 octobre après avoir appris par d'autres Salvadoriens que des pirates informatiques avaient activé des portefeuilles associés aux numéros à neuf chiffres de leurs cartes d'identité, connus sous le nom de DUI pour son acronyme en espagnol.

« Cela prenait de plus en plus d'ampleur, atteignant mon cercle proche », a déclaré Gutierrez, 28 ans, à CoinDesk.

Lorsque Gutierrez a saisi ses informations personnelles, un écran est apparu indiquant que son numéro de document était déjà associé à un portefeuille. Elle a immédiatement pris une capture d'écran, craignant que ses données ne soient utilisées à des fins illicites.

Le cas de Gutierrez est ONEun des centaines que les Salvadoriens ont signalés sur les réseaux sociaux et aux défenseurs locaux depuis septembre, lorsque le Bitcoin a été établi comme monnaie légale et que Chivo a commencé à être massivement utilisé dans le pays.

Entre le 9 et le 14 octobre, Cristosal, une organisation de défense des droits de Human au Salvador, a reçu 755 notifications de Salvadoriens signalant un vol d'identité avec leurs portefeuilles Chivo, a déclaré à CoinDesk Rina Montti, directrice de la recherche sur les droits de Human du groupe.

Dans la majorité des cas, les Salvadoriens concernés ont tenté d’activer leur portefeuille après avoir appris qu’un grand nombre de personnes avaient signalé que leur identité avait été volée.

Les pirates avaient un objectif : chaque portefeuille était chargé de 30 dollars de Bitcoin, fournis par l'administration du président salvadorien Nayib Bukele pour encourager les citoyens à utiliser la Cryptomonnaie.

Le gouvernement du Salvador n'a pas répondu à une Request de commentaires sur les allégations de vol d'identité impliquant les portefeuilles au moment de la mise sous presse.

Avec l'adoption du Bitcoin, Bukele a placé son pays d'Amérique centrale au centre d'un débat mondial sur l'avenir de la monnaie. Ce processus n'a pas été sans conséquences. critiques, comme celles portées contre l'article 7 de la loi, qui stipule que tous les commerçants doivent accepter le Bitcoin comme moyen de paiement lorsque les clients le proposent.

Le président plus tardrefusé L'acceptation du Bitcoin serait obligatoire. Les Salvadoriens ont été déconcertés par l'écart entre les propos du président et la loi.

En août, les sondagesa montré 65 à 70 % des Salvadoriens se sont opposés à l'adoption du Bitcoin, et plusieurs manifestations ont eu lieu dans les rues. Selon les dernières informations officielles, données fournies par Bukele Fin septembre, plus de 2 millions de personnes ont téléchargé le portefeuille Chivo, dans le cadre d'un programme agressif qui comprenait également l'exploitation minière de Bitcoin avec énergie volcanique.

Facile à tromper

Selon le site officiel de Chivo, l'ouverture d'un compte nécessite de scanner le DUI recto verso, puis de procéder à une reconnaissance faciale pour vérifier l'identité du titulaire. Cependant, plusieurs Salvadoriens ont signalé des failles dans le système.

Quand Adam Flores, un YouTubeur salvadorien qui dirige la chaîneLa Gatada SVAyant entendu parler des piratages, il s'est souvenu que sa grand-mère n'avait pas ouvert son portefeuille Chivo et a décidé d'utiliser l'étui comme test. Bien qu'il n'ait qu'une photocopie de son permis de conduire, il a quand même essayé et, à sa grande surprise, l'application a reconnu le document comme valide.

Flores a procédé à la vérification, qui a ensuite nécessité une reconnaissance faciale en temps réel. Le YouTubeur a pris une photo d'une affiche accrochée à son mur représentant Sarah Connor, un personnage de la série de films « Terminator ».

Quelques secondes plus tard, Chivo Wallet a accueilli sa grand-mère et a libéré l'incitation de 30 $, selon une vidéo que Flores a envoyée à CoinDesk comme preuve.

Autres castéléchargé Les médias sociaux ont montré directement comment une simple photo prise au hasard — dans un cas, celle d'une tasse à café — suffisait à remplacer le DUI et à tromper le test de reconnaissance faciale.

Les Salvadoriens n'ouvrent pas toujours eux-mêmes leurs comptes. Selon Montti, de Cristosal, la plupart des 700 Salvadoriens ayant signalé une usurpation d'identité ont demandé à des connaissances d'essayer de transférer de l'argent via Chivo en indiquant leur numéro de carte d'identité dans le champ du destinataire. Ils ont découvert que les adresses étaient prêtes à recevoir des virements. Autrement dit, les numéros ID étaient déjà enregistrés, par une personne autre que leur titulaire légitime.

Inquiet d'une usurpation d'identité, Ramón Esquivel a demandé à une connaissance d'envoyer de l'argent dans un portefeuille avec son DUI le 11 octobre. À sa grande surprise, le transfert a réussi, même s'il n'avait jamais activé son compte.

« Avec colère, j'ai réalisé qu'ils avaient utilisé ma conduite sous influence », a déclaré Esquivel à CoinDesk, ajoutant qu'après l'incident, il avait déposé plainte auprès du procureur général. « Je risque d'être utilisé pour commettre des actes de blanchiment d'argent qui seraient enregistrés sous mon identité, compromettant ainsi mon intégrité », a-t-il déclaré.

D’autres cas ont montré que les fraudeurs ont détourné l’argent vers des comptes qui n’étaient même pas les leurs, mais ceux d’autres personnes piratées.

Service client

Il y a deux semaines, Gabriela Sosa, une présentatrice de médias salvadorienne, a essayé d'activer un portefeuille Chivo avec son permis de conduire, mais un message d'erreur est apparu sur l'écran l'informant qu'il était déjà enregistré.

Dès que cela s'est produit, elle a appelé le numéro d'assistance officiel de Chivo, le 192. « J'ai appelé pendant plusieurs jours jusqu'à ce qu'on me dise que je devais me rendre dans un point de vente Chivo », a déclaré Sosa à CoinDesk. Samedi dernier, elle s'est rendue au centre d'assistance et son compte a finalement été récupéré, mais pas l'argent.

Sur son compte Twitter, Sosa a dévoilé les détails du compte sur lequel les 30 $ avaient été versés. Le propriétaire s'appelait Michael Santacruz.

Quelques jours plus tard, des collègues et des collègues d'université ont envoyé des captures d'écran de ce tweet à Santacruz, qui n'avait jamais activé son compte Chivo jusqu'alors, selon les messages de chat privés qu'il a envoyés à Sosa.elle a posté.

Il a ensuite tenté d'ouvrir son compte, mais une notification indiquait que son DUI avait déjà été enregistré. Comme Sosa, Santacruz a contacté un centre d'assistance Chivo et, après avoir récupéré son compte, il a réalisé qu'il avait été utilisé pour recevoir de l'argent de cinq comptes piratés, a-t-il déclaré. (Les tentatives de joindre Santacruz pour obtenir un commentaire sont restées vaines.)

Cristosal n'était pas la seule organisation non gouvernementale (ONG) à s'attaquer au problème. Acción Ciudadana, une organisation à but non lucratif spécialisée dans l'audit social, a déposé une plainte auprès du Bureau du Procureur général (FGR) le 12 octobre après que son président, Humberto Sáenz, et son directeur, Eduardo Escobar, ont découvert que des pirates avaient enregistré leurs portefeuilles Chivo.

Acción Ciudadana a déclaré à CoinDesk que jusqu'à présent, deux semaines après le dépôt, il n'y avait eu aucune réponse du FGR.

Laura Nathalie Hernández, avocate spécialisée en droit des technologies au sein du cabinet salvadorien Legal Novis, a reçu des demandes d'aide de victimes d'usurpation d'identité concernant leurs portefeuilles Chivo. Sa première recommandation aux personnes concernées a été de publier l'incident sur les réseaux sociaux et de le signaler au parquet.

Selon Hernández, l'entité qui gère la demande devrait être la première à contacter. « Mais nous n'avons T beaucoup d'informations sur les responsables non plus », a-t-elle déclaré, ajoutant : « Nous ne savons T qui gère le dossier, ni s'il existe une tierce entreprise. Il n'y a eu aucune transparence. »

Responsabilité floue

Selon les termes et conditions de Chivo, l'autorisation d'un compte est conditionnée à un processus de connaissance du client (KYC) effectué par CHIVO S.A. de C.V., uneentreprise privéeCréé par le gouvernement pour lancer le portefeuille, ce processus de vérification « inclut la fourniture des informations et des documents nécessaires à sa pleine conformité ».

La responsabilité de l'entreprise n'est pas claire. Selon letermes et conditionsLes utilisateurs s'engagent à ne divulguer à aucun tiers les informations, les permis de conduire, les mots de passe ou tout code utilisé pour accéder au site. Les conditions générales stipulent également qu'ils ne seront pas tenus responsables des pertes ou dommages que l'utilisateur pourrait subir suite à l'accès non autorisé d'un tiers à son compte suite à un piratage ou à la perte de son mot de passe.

Le personnel d'assistance de Chivo n'a pas répondu aux questions de CoinDesk sur la personne responsable d'un piratage où le véritable propriétaire du compte ne fournit pas d'informations.

Le portefeuille précise que les services de vérification seront fournis directement par l'entreprise et/ou par un tiers mandaté par elle à cet effet. Cependant, au moment de la mise sous presse, il n'avait pas encore répondu à la question de CoinDesk concernant les autres tiers fournissant des services d'identification à la plateforme.

Sosa, l'animatrice médiatique salvadorienne, a déclaré à CoinDesk qu'elle avait finalement récupéré son argent et a souligné que sa plainte n'était pas contre l'application ou le gouvernement de Bukele, mais simplement qu'elle souhaitait sensibiliser le public au problème.

Gutierrez n'a pas encore récupéré son argent. « J'ai essayé de contacter le service client, mais ils ne m'ont pas répondu, et aucune institution ne m'a expliqué clairement la procédure à Réseaux sociaux dans ce cas », a-t-elle déclaré.

Esquivel a déclaré qu'il n'était intéressé ni par l'incitation de 30 $ ni par l'application gouvernementale.

« Si j’utilise Bitcoin , ce sera avec un portefeuille dans lequel je garderai mon argent », a-t-il déclaré.