Le piratage de 55 millions de dollars qui a failli faire tomber Ethereum

Le nouveau livre du journaliste de Bloomberg News, Mathew Leising, « Out of the Ether: The Amazing Story of Ethereum and the $55 Million Heist That Almost Destroyed It All », raconte l'histoire du tristement célèbre piratage de DAO qui a presque fait tomber la deuxième plus grande blockchain du monde.

En juin 2016, un ou plusieurs attaquants, jusqu'alors inconnus, ont commencé à détourner les fonds de la première organisation autonome décentralisée (DAO) d'Ethereum, un logiciel fonctionnant comme une entreprise. Quelques semaines plus tôt, la DAO avait été lancée suite à une vente participative de 150 millions de dollars.

« [L]a DAO a joué un rôle majeur dans les débuts d' Ethereum», écrit Leising. « Il n'est pas exagéré de dire que la DAO a créé Ethereum. » En effet, elle a été ONEun des premiers exemples de la résilience du réseau d'ordinateurs d'Ethereum pour prendre en charge des applications complexes.

Voir aussi : David Siegel –Comprendre l'attaque DAO

Bien que l'attaque n'ait jamais brisé le code d'Ethereum – elle a simplement exploité une faille dans le contrat intelligent de la DAO – elle a jeté le doute sur la viabilité d'un « ordinateur mondial » basé sur la blockchain. C'était aussi le début deLes deux Ethereum d'Ethereum.

Leising, qui couvre l'industrie de la Crypto depuis près de cinq ans, s'était déclaré malade le jour où un pirate informatique s'était enfui avec 55 millions de dollars volés. ETHMais il n'a T laissé l'histoire s'éteindre. Au cours des quatre dernières années, il a relaté l'histoire racontée dans le livre, examiné les données de la blockchain, suivi des indices énigmatiques et finalement retrouvé la piste de son principal suspect.

Dans l'extrait ci-dessous, les lecteurs se retrouvent en Allemagne de l'Est avec Christoph Jentzsch, ONEun des principaux architectes de The DAO, qui s'est réveillé en réalisant que le projet qu'il a passé des mois à construire est volé « à un rythme d'environ 8 millions de dollars par heure ».

Père de famille religieux, Jentzsch profite de ce moment improvisé pour réfléchir aux défis auxquels a été confrontée la création de la DAO – des inquiétudes liées aux valeurs mobilières qui continuent de peser sur les projets de jetons aux opinions critiques de la première communauté Ethereum – avant d'agir. – Dan Kuhn

Chapitre 7

La ville de Mittweida, dans le Land de Saxe, en Allemagne, a échappé aux bombardements de la Seconde Guerre mondiale. Au cœur de la ville, de vieilles rues pavées sillonnent des rangées de bâtiments aux couleurs vives. En quittant la place et en marchant une dizaine de minutes, vous arriverez dans une rue calme avec un commissariat de police ; à côté se trouve une maison vert menthe aux boiseries et volets marron. Le vendredi 17 juin 2016, peu après 8 heures du matin, Christoph Jentzsch était allongé sur la moquette beige de son bureau du premier étage. Il essayait de retenir sa respiration, de respirer profondément, de ne pas se laisser échapper. Des voleurs étaient à l'intérieur de la DAO, sa création, et la pillaient au rythme d'environ 8 millions de dollars par heure.

ONEune des premières choses que Christoph ressentit fut le soulagement : la saga DAO touchait enfin à sa fin. Elle avait dominé sa vie pendant six mois.

Il avait lutté contre l'anxiété, la dépression et l'épuisement ; il avait négligé sa femme et ses cinq enfants. Il y avait eu des moments où l'idée de divulguer le code de la DAO le figeait, car une fois publié, il était T de le modifier. Il pouvait y avoir un bug dans le logiciel, ou peut-être que des terroristes pourraient trouver comment l'utiliser pour financer une attaque qu'il serait impuissant à arrêter. La pression l'avait rendu malade à plusieurs reprises. Il avait vomi sous la pression. Mon Dieu, s'il vous plaît, que tout cela cesse.

Mais Christoph ressentait aussi un profond sens des responsabilités. Il était bouleversé par son erreur et par les pertes financières qu'elle occasionnait. Il croyait aux idées qui sous-tendaient les DAO. (Le langage est un BIT confus ici, car il existait d'autres DAO à cette époque, dont MakerDAO. DAO est un terme générique désignant la structure dans laquelle s'inscrivent les contrats intelligents, mais en raison de sa taille et de sa notoriété, la DAO de Jentzsch est devenue le (DAO.)

« Il y avait tellement de craintes », a déclaré Griff. « Cela détruira-t-il Ethereum? Les DAO ? Que va-t-il advenir de tout cet argent ? »

C'est une DAO qui l'a poussé à s'intéresser à Ethereum dès qu'il a pris conscience de son potentiel. Le livre blanc de Vitalik exposait une vision de la manière dont les DAO pourraient démocratiser les structures d'entreprise pour remplacer les propriétaires, les employés et les investisseurs par des utilisateurs gérant directement les affaires de l'entreprise grâce à des contrats intelligents codés sur la blockchain. C'est cette avancée qui a poussé Christoph à interrompre ses études de doctorat et à commencer à travailler pour Ethereum en 2015. Et puis, contre toute attente, il en a créé une: la plus grande DAO jamais créée, ce qui en faisait une cible de choix. Après tous les contrôles de sécurité, Christoph ne comprenait T pourquoi ONE n'avait trouvé la faille à temps.

Il se leva du bureau et retourna à son ordinateur portable IBM ThinkPad. Christoph savait que les policiers d'à côté ne pourraient T pour lui. Non, c'était son problème et il allait devoir le réparer.

En un sens, si les grille-pain et les serrures de porte avaient été autorisés à avoir des comptes bancaires, la DAO n’aurait jamais eu lieu.

Voir aussi : Christoph Jentzch –« Bénédiction et malédiction » : les développeurs de la DAO sur la blockchain en 2016

Au moins, cette discrimination financière envers les appareils et le matériel avait stimulé l'imagination de Christoph lors de sa première découverte Ethereum. Maintenant que la Cryptomonnaie, l'ether, avait été créée, la question qui taraudait Christoph était : comment l'utiliser au mieux ? Pas comme une simple Cryptomonnaie , comme Bitcoin. Au contraire, l'ether semblait parfaitement adapté à une forme de micropaiement pour ce que Christoph aime appeler « l'économie des objets ». Airbnb était devenu populaire à cette époque, et lorsque Christoph a examiné l'entreprise sous l'angle Ethereum , il n'y a vu qu'un intermédiaire à éliminer. Et si, grâce à une serrure connectée à la blockchain Ethereum , vous pouviez louer votre appartement directement à quelqu'un d'autre ? Il existerait toujours un site web comme celui d'Airbnb pour permettre à un propriétaire de trouver un locataire, mais la version Ethereum différerait sur un point essentiel : le site web connecterait les gens entre particuliers et il n'y aurait pas d'intermédiaire Airbnb prenant sa part de 30 % des bénéfices. Comment le modèle économique d'Airbnb explique-t-il ce genre de rupture ?

C'est exactement le genre d'idée simple mais très puissante qui séduit les adeptes Ethereum . J'en ai pris conscience le jour où JOE Lubin me l'a expliquée à Brooklyn [NY]. Installez un cadenas similaire sur votre voiture. Qu'en pense Hertz ? Prenons l'exemple d'Uber : il pourrait être aussi facile de pénétrer leur marché du covoiturage que de s'attaquer au secteur des taxis.

À mon avis, la promesse d' Ethereum est en grande partie liée à cette réinvention du web. Si Vitalik et ses amis peuvent proposer un Internet alternatif pair-à-pair – où les intermédiaires sont évités, où les coûts sont moindres et où la Politique de confidentialité et la sécurité des données sont prises au sérieux – ce serait une combinaison gagnante. Je m'y rallierais volontiers. Pourtant, il est loin d'être certain qu'ils y parviennent. Depuis des années, ce doute quant à la capacité Ethereum à tenir ses promesses est au cœur de tous mes travaux. Sans parler des milliers de personnes qui travaillent sur Ethereum , qu'elles soient développeurs, entrepreneurs ou commerciaux. Ils accomplissent tous des choses extraordinaires. Mais peut-être que ce sera une diversion astucieuse qui a captivé l'imagination pendant des années, mais qui n'a finalement abouti à rien. Il faudra se battre pour obtenir les gains qu'il réalisera, c'est certain.

Airbnb, Hertz et Uber ne vont T laisser Ethereum débarquer et anéantir leurs activités. Ce sont des multinationales soutenues par des milliards de dollars. L'état actuel de la Technologies est également un problème. Ethereum est loin d'avoir l'envergure et la robustesse nécessaires pour prendre en charge des millions d'utilisateurs. Les questions réglementaires constituent un autre obstacle. Mais même si les chances sont minces, de nombreuses personnes, comme Christoph, physicien théoricien, sont prêtes à tout plaquer pour travailler sur Ethereum et à parier sur les bénéfices.

Lors de ses recherches pour sa thèse, Christoph a dû réunir un ensemble de disques durs pour simuler ses travaux de génération de molécules très longues. Il a découvert que les processeurs graphiques, ou GPU, étaient plus performants que les CPU, plus rapides et plus efficaces pour traiter les données. Il a envisagé d'acheter plusieurs GPU et s'est immédiatement lancé dans le Bitcoin, les GPU étant le matériel privilégié des mineurs de Bitcoin . Il s'est rapidement lancé dans l'aventure, et en janvier 2014, il est tombé sur le livre blanc de Vitalik.

« J'étais complètement époustouflé », a déclaré Christoph. « Maintenant, c'était logique. Bitcoin n'était qu'une Cryptomonnaie, mais il s'agissait d'une plateforme d'application décentralisée. » Les possibilités offertes par Ethereum lui semblaient infinies.

Christoph a tellement d'enfants qu'il en oublie souvent le nombre à un moment donné de sa vie. Mais à l'été 2014, il avait besoin de gagner un peu d'argent – ​​et T importe qu'il en ait trois ou quatre à l'époque. Il avait vu une présentation où Gavin Wood, cofondateur Ethereum , parlait des fonds levés par Ethereum lors d'une vente participative et de son souhait d'ouvrir un bureau à Berlin et d'embaucher des développeurs C++. C'est exactement ce que Christoph savait faire, et Gavin l'a rapidement embauché.

Il est devenu le testeur principal du protocole blockchain. Ethereum a été écrit avec trois langages de programmation : C++, Python et Go. Ce sont ces clients qui ont permis le fonctionnement de la blockchain. Mais s'ils ne communiquent T entre eux pour qu'une action en C++ soit interprétée exactement de la même manière sur le client Go, tout s'effondre. La blockchain doit avant tout être séquentielle, donc toute panne provoque ce qu'on appelle un fork. Lors d'un fork, deux chaînes de blocs sont créées et il peut être difficile de déterminer laquelle constitue l'enregistrement officiel de la transaction. Christoph s'est donné pour mission d'attaquer les trois clients pour tenter de les faire échouer : les forks. Il a travaillé en étroite collaboration avec Vitalik, Gavin et Jeff Wilcke.

« Ils essayaient tous de réussir mes tests », a déclaré Christoph.

Après avoir travaillé environ dix mois sur Ethereum, Christoph a voulu passer à la vitesse supérieure. Après avoir réfléchi à la meilleure utilisation de l'ether, il a décidé que ce serait pour les micropaiements sur les appareils connectés à Internet. Il a créé slock.it avec son frère Simon et Stephan Tual, qui contrôlaient chacun un tiers de l'entreprise.

Lors d'une rencontre BitDevs à New York le 13 juin 2015, dans les bureaux de la société de capital-risque Union Square Ventures, Christoph a dévoilé publiquement l'idée de slock.it pour la première fois. JOE Lubin était présent ce jour-là. Christoph a utilisé son téléphone pour se connecter à Ethereum et déverrouiller une poignée de porte qu'il avait apportée. C'était si tôt dans l'histoire de l'entreprise qu'elle s'est baptisée EtherLock.

Christoph a reçu un accueil chaleureux lorsqu'il a fait découvrir les serrures connectées. L'idée a fait son chemin, et il lui fallait maintenant trouver le financement de son développement. Il a vite compris que son désir de créer une DAO était réalisable et il a commencé à en comprendre le fonctionnement. Mais il ne lui restait pas seulement à comprendre les mécanismes du contrat intelligent. Des questions plus épineuses se posaient, comme celle de savoir si l'équipe de slock.it serait juridiquement responsable des activités de la DAO.

Des avocats ont travaillé sur cette question à New York, en Suisse et en Allemagne. « Ils ont dit : « Si vous n'êtes pas très attaché au projet, rédigez simplement le contrat et publiez-le, et vous demanderez plus tard à travailler pour cette entreprise, tout sera légal », a déclaré Christoph. Cela témoignait de la décentralisation de l'objectif : même les personnes qui allaient donner vie à la DAO imaginaient devoir demander à travailler pour leur propre création. Comment diable faire ? Facile ; c'est comme toute autre proposition à la DAO : elle est soumise au vote des détenteurs de jetons DAO. Christoph et le reste de l'équipe de slock.it étaient à l'aise avec l'idée que les détenteurs de jetons DAO voteraient pour financer leur startup, ne serait-ce que par courtoisie envers les créateurs de la DAO. »

Ils ont ensuite dû se demander ce qu'un organisme de réglementation comme la Securities and Exchange Commission des États-Unis (SEC) penserait de la DAO. Un jeton DAO serait-il considéré comme un titre ? Si oui, ils devraient se soumettre à un processus d'enregistrement strict et fournir aux investisseurs potentiels toutes sortes d'informations sur le business plan, les risques et d'autres détails destinés à améliorer la transparence pour les investisseurs.

Voir aussi : Drew Hinkes –La loi du DAO

Leurs avocats avaient également une réponse à cette question. « Même s'il s'agit d'un titre, la création d'une société ne nécessite pas l'approbation de la SEC », a déclaré Christoph. « Nous avons considéré la création de la DAO comme la création d'une société, mais pas avec trois fondateurs, mais avec 23 000 fondateurs. »

Avançons un instant et posons-nous une question intéressante. Selon les avocats de slock.it, la vente de jetons ne serait T considérée comme une offre de titres, notamment parce que la DAO comptait des milliers de fondateurs. Qu'en est-il de l'action Ethereum lors de sa vente participative d'ethers ? Rappelons qu'il s'agit d' Événements distincts. Les cofondateurs Ethereum , dont Gavin Wood, Vitalik et Mihai Alisie, ont vendu des ethers au public mi-2014 pour lever des fonds afin de financer le développement de la blockchain Ethereum . Un petit groupe discret de personnes a gagné beaucoup d'argent grâce à la vente de jetons Ethereum . Cela n'implique- T que l'ether est un titre ? La vente d'ethers a permis de lever 18 millions de dollars ; des cofondateurs comme JOE Lubin et Anthony Di Iorio étaient catégoriques sur le fait que l'ether n'était pas un titre, mais ils n'avaient pour étayer leur position que leurs propres opinions et l' Analyses juridique d'un avocat, dans une situation qui n'avait T été validée par une agence gouvernementale comme la SEC. Ensuite, la DAO arrive et les avocats de slock.it disent que si ses dirigeants ne sont pas attachés au projet et que tous ceux qui achètent des jetons DAO sont considérés comme des fondateurs, boom! Vous n'êtes pas une valeur mobilière. Voyez-vous l'incohérence ? Selon cette logique, un jeton DAO ou l'ether sont tous deux des valeurs mobilières, mais aucun des deux T peut échapper à la désignation.

Aux États-Unis, du moins, la réalité est qu'en 2014-2015, la SEC dormait aux commandes. ONE au gouvernement ne prêtait attention à ce qui se passait sur le marché naissant des ICO. La SEC T commencé à intenter des poursuites que des années plus tard, et elle T rédigé son Analyses sur la DAO qu'un an après son effondrement. Nous y reviendrons plus tard.

Revenons maintenant à la DAO. Les acheteurs de jetons DAO n'ont jamais donné leur argent à Christoph ni à qui que ce soit chez slock.it. Ils en avaient le contrôle en permanence et n'interagissaient qu'avec un contrat intelligent qui échangeait leurs ethers contre des jetons DAO. Ils pouvaient récupérer leurs ethers s'ils le souhaitaient.

Il n’est pas exagéré de dire que la DAO a fait Ethereum.

Les esprits les plus brillants d' Ethereum de l'époque se sont également réunis pour servir de mécanisme de sécurité afin de prévenir une attaque contre la DAO. Connus sous le nom de curateurs, les membres du groupe comprenaient Vitalik, Vlad Zamfir, Alex Van de Sande, Gavin Wood, Taylor Gerring, Aeron Buchanan et d'autres. Le groupe était censé signaler que les personnes les plus intelligentes présentes avaient examiné la DAO et laissaient entendre une sorte de sceau d'approbation. Cependant, les curateurs ont été démasqués comme de simples façades, après la découverte de plusieurs failles de sécurité dans le code de la DOA.

Après avoir présenté l'idée de la DAO lors de la DevCon 1 à Londres en novembre 2015, l'enthousiasme autour du projet n'a fait que croître. Le canal Slack public de la DAO comptait bientôt 5 000 membres. Christoph pensait que si chacun achetait pour 1 000 dollars de jetons DAO, il toucherait 5 millions de dollars. Cela semblait gérable.

Mais au fil des mois, une nouvelle préoccupation a commencé à ronger Christoph. Maintenant qu'il était plongé dans l'écriture du code DAO, il T pouvait échapper à sa nature fondamentale. Une fois publié, il était impossible de l'arrêter. C'était une pression énorme à gérer quand le code n'existait que depuis quelques mois et que des bugs y étaient découverts en permanence.

En mars 2016, slock.it a versé 10 000 dollars à l'entreprise de Seattle Deja vu Security pour un audit de sécurité du code DAO. Cette entreprise est spécialisée dans l'analyse et le test de logiciels destinés à l'IoT. Christoph s'est rendu à Seattle pendant une semaine pour travailler avec l'équipe de Deja vu Security.

« J'étais dans un Airbnb et j'avais presque la nausée. Je me demandais si j'avais vraiment envie de faire ça. J'étais vraiment nerveux, dans quoi je m'étais embarqué ? » a dit Christoph. Il était encore temps de dire non, pensa-t-il.

Voir aussi :Attaque de la DAO : un problème de code entraîne un vol d'Ether de 60 millions de dollars

Mais Christoph ne pouvait T abandonner, ni ses partenaires, ni son frère Simon, PDG de slock.it. Ils avaient atteint le plafond de leurs cartes de crédit, leur compte en banque était vide. Ils avaient payé Deja Vu Security de leur poche, et Christoph savait qu'il ne pouvait T KEEP à réclamer un mois de plus pour les tests. Et puis, il y avait la communauté au sens large, qui suivait chaque évolution.

Il est important de noter ici que la DAO a joué un rôle majeur dans les débuts d' Ethereum. Il n'est pas exagéré de dire que la DAO fait Ethereum. Il y avait des projets plus modestes ici et là, mais rien d'aussi ambitieux et ambitieux que ce que la DAO souhaitait. Son influence sur le prix de l'ether est perceptible. Début 2016, la communauté Ethereum ne pouvait espérer que des progrès, notamment la sortie de nouvelles versions du logiciel de base. Autrement dit, il n'y avait T vraiment de catalyseur pour la hausse de la valeur de la monnaie numérique, l'ether. Et si le travail sur le réseau Ethereum sous-jacent était important, ONE n'utiliserait un réseau T d'applications. C'est pourquoi la DAO était vitale.

Au fil des mois de 2016, le prix de l'ether a commencé à grimper. Hormis les mises à niveau du réseau mentionnées, je T vois aucune autre raison que le déploiement imminent de la DAO pour expliquer cette hausse. Mi-mars, il s'échangeait à 15 $. La demande pour intégrer la DAO a été le moteur de cette hausse. Il fallait d'abord acheter de l'ether pour ensuite acquérir des jetons DAO. Il est donc facile de comprendre que des milliers de personnes ont converti des Bitcoin en ether pour ensuite acheter des jetons DAO, propulsant le prix de l'ether à un niveau record.

Tout le monde était au courant. À vrai dire, il T avait rien d'autre à faire avec l'ether à l'époque. C'est l'une des principales raisons pour lesquelles la DAO a atteint 150 millions de dollars d'achats d'ether pur.

Bientôt, Christoph T se sentit plus lui-même. Le stress gagnait du terrain. Ce n'était T son genre ; il venait d'une famille nombreuse et stable. Le clan Jentzsch vivait dans la région de Mittweida depuis les années 1500. Ses parents ont 36 petits-enfants. Christoph était également très attaché à sa foi mormone. Son grand-père avait introduit la religion à Mittweida lorsqu'il avait fondé la première Église de Jésus-Christ des Saints des Derniers Jours dans la petite ville. Sa femme exerçait une autre influence apaisante sur lui et l'avait soutenu dans les montagnes russes de la DAO. Et pourtant, il avait l'impression d'être aspiré par le chaos : il était pris de hauts et de bas par des crises dépressives. Comme le code de la DAO, une fois déployé, il semblait invincible.

Griff Green était à Mittweida le jour de l'attaque. Il s'est réveillé dans la chambre d'amis de la mère de Christoph et son smartphone a sonné, affichant des messages annonçant que le DAO était piraté. Il a appelé Simon et Simon a appelé Christoph.

Griff T vu Christoph dans un tel état. Avant de devenir le premier employé de slock.it, Griff avait pratiqué le massage thaïlandais à Beverly Hills. « Je n'avais T de licence, parce que vous savez, je ne suis pas du genre à en obtenir une », a-t-il déclaré. « Il y a eu ce moment très intense ce jour-là où [Christoph] s'est dit : "Je ne sais T quoi faire." Il ne pleurait T , mais il semblait au bord du Verge et il a dû s'allonger. Il était en proie à une sorte de crise de panique. » Griff s'est attaqué à son patron et ami, lui faisant un massage pour le calmer. « Les Allemands ne sont T très tactiles », a déclaré Green.

« Il y avait tellement de craintes », a déclaré Griff. « Cela détruira-t-il Ethereum? Les DAO ? Que va-t-il advenir de tout cet argent ? »

Pas un centime de la DAO n'appartenait à Jentzsch. C'était l'argent d'autrui, et pour un homme religieux, attaché à sa famille et bon, ce vol n'en était que plus troublant.

« Gérer l’argent des autres, c’est vraiment nul, tu sais ? » dit Griff.

À l'approche de la date limite de levée de fonds du 28 mai, la quantité d'ethers dans la DAO ne cessait d'augmenter. ONE ne pouvait ignorer l'ampleur de ce que la DAO était en train de devenir sous leurs yeux. Les 5 millions de dollars espérés par Christoph ne furent qu'une goutte d'eau dans l'océan et il commença à paniquer.

Voir aussi : Nolan Bauerle –Le DAO est un nouveau Dow

« Je n'étais vraiment pas un bon mari ni un bon père à cette époque », a déclaré Christoph. Il était au lit ce vendredi matin lorsque le téléphone a sonné. Sa femme a répondu et a dit à Christoph que son frère avait signalé un problème avec la DAO et qu'il devait se connecter immédiatement. Dans son bureau à domicile, Christoph a consulté Etherscan, l'explorateur de blocs de la blockchain Ethereum (une sorte de Google pour la blockchain). Il a vu de l'argent quitter la DAO via la fonction de division, qui existait au cas où un utilisateur de la DAO voudrait récupérer son argent et partir.

« Au début, je pensais que c'était juste quelqu'un quittant la DAO », a-t-il expliqué. « Mais ensuite, c'est très étrange, c'est toujours le même montant qui sort. Et c'était une ONE transaction, donc une transaction et plusieurs paiements. Or, il ne devrait y avoir qu'un ONE paiement par transaction. »

Quelque chose clochait. Il était allongé sur le sol de son bureau, essayant d' KEEP le monde de lui échapper. Pourtant, il ressentait un mélange d'émotions. « J'éprouvais deux sortes de sentiments », dit Christoph. «ONE' eux était une sensation de soulagement, car c'était clairement la fin de la DAO. » Ce chapitre fou, incroyable et stressant de sa vie allait enfin prendre fin. Sa responsabilité allait cesser.

« De l'autre côté, j'étais sous le choc et j'avais le sentiment d'avoir complètement ruiné le système. Il faut que je règle ça maintenant », a-t-il déclaré. « Il faut que je découvre ce qui se passe. Les gens perdent de l'argent. Je risque la prison. J'ai cette peur. »

Il s'est relevé du sol et a commencé à se défendre.

Extrait de « Out of the Ether » de Matthew Leising, avec l'autorisation de l'éditeur Wiley. Copyright (c) 2021 par Matthew Leising. Tous droits réservés. Ce livre est disponible partout où l'on vend des livres et des livres numériques.