Identités volées, Telegram & arnaques ICOs : si le co-fondateur d'Ethereum n'est pas en sécurité, qui l'est ?

LaneAxis a découvert une tentative de fraude sophistiquée qui visait Joseph Lubin, fondateur de Consensys et co-fondateur d'Ethereum.

Quand la brèche de données Equifax s'est produite en septembre 2017, le co-fondateur d'Ethereum Joseph Lubin s'est empressé d'émettre des critiques sur la monétisation des données utilisateurs, rappelant le besoin d'une meilleure sécurité numérique, en ayant recours à des réseaux décentralisés. Lubin a souligné l'importance de protéger nos identités en ligne : "des hacks, des hacks et encore des hacks, qui prennent du temps aux agences gouvernementales pour garantir la sécurité de l'identité en ligne. Comment les régulateurs ne peuvent-ils pas être enthousiasmés par la blockchain Ethereum ? Un protocole immuable et transparent, avec des produits où chaque individu contrôle chaque aspect de son identité. Plus de hacks possibles à grande échelle" avait-il déclaré à ce moment dans un article LinkedIn sur le hack d'Equifax.

Mais un an plus tard, il s'avère que l'identité de Lubin et la marque rattachée a été détournée.

Le 13 septembre, Rick Burnett, fondateur et CEO de LaneAxis, a reçu un message de Lubin sur Telegram, disant "LaneAxis, je veux en savoir plus...".

Burnett, qui lance alors LaneAxis Virtual Freight Management, un écosystème de gestion de chaîne d'approvisionnement basé sur Ethereum, ne savait pas qui était Joseph Lubin, mais lui a proposé de discuter et de partager davantage d'information sur l'entreprise, la blockchain et le projet. Après un premier appel, Lubin avait dit qu'il allait étudier LaneAxis en profondeur en prendre quelques jours pour en savoir plus sur le projet pour potentiellement investir.

Burnett, curieux, a alors effectué une recherche Google pour en savoir plus sur le potentiel investisseur.

Co-fondateur Ethereum. Fondateur de Consensys. Milliardaire. Entrepreneur…

Le feed de Google News sur Joseph Lubin fait ressortir un flot d'articles sur les différents investissements de Lubin dans des projets blockchain, ou sur ses différents conseils sur le futur de la crypto. Burnett était stupéfié. Ça pourrait tout changer pour LaneAxis. Les entreprises qui ont un partenariat avec Consensys vendent leurs tokens en quelques minutes lors de leur ICOs.

L'équipe de LaneAxis s'est alors mise sur le pont. Recherches sur Lubin et Consensys. Première étape : vérifier que c'est bien Joseph Lubin que Burnett a eu au téléphone.

Telegram est l'outil de communication privilégié par la communauté crypto, grâce à sa capacité à encrypter les messages, et ses fonctionnalités de discussion en groupe. L'application permet d'utiliser des pseudonymes publics, aidant chaque utilisateur à en retrouver un autre. Ces pseudonymes sont donc forcément uniques, et les noms personnels sont rarement disponibles. Cependant Telegram permet à ses utilisateurs de sécuriser un pseudonyme si le même nom est utilisé sur 2 autres réseaux sociaux (Facebook, Twitter ou Instagram par exemple).

Le pseudo Telegram de Lubin est @ethereumJoseph. Son handle sur Twitter est @ethereumJoseph. Selon son Twitter, Burnett et son équipe ont conclu que Lubin et Consensys ont bien sécurisé leurs comptes, et qu'il s'agissait bien du vrai Joseph Lubin.

Dans la semaine qui a suivi, Burnett a envoyé des messages à Lubin, recevant des réponses franches, presque stéréotypées, typiques d'un milliardaire qui doit gérer une multitude d'entreprises. Finalement, Lubin a envoyé une offre à Burnett le 15 septembre.

• Lubin : Comment je peux aider ?
• Burnett : J'aimerais que vous soyez impliqué. En tant qu'investisseur ? Avec Consensys ? En tant que membre de l'équipe ? Et que nous fassions un communiqué de presse annonçant votre implication.
• Lubin : Que pensez-vous d'une partenariat avec Consensys ?
• Burnett : Oui, comment procède-t-on ?
• Lubin : Je vous envoie plus d'informations lundi.
  

L'équipe LaneAxis a passé le reste de la semaine a préparé le deal avec Lubin. Lubin a envoyé un contrat Consensys à Burnett, depuis son adresse e-mail personnelle (qui n'utilise pas le nom de domaine Consensys), que Burnett a jugé étrange. Il a alors posé la question à Lubin, qui lui a répondu que c'était son adresse e-mail personnelle. Burnett, qui ne voulait pas rater un deal avec Lubin, n'est pas allé plus loin.

Le contrat était centré sur un l'investissement de ConsenSys dans l'ICO LaneAxis. LaneAxis recevrait un investissement de 2.2 millions de dollars en ETH pour l'équivalent de 2 millions de dollars de tokens AXIS. Burnett a reçu le contrat signé de la part de Consensys, avec la signature de Lubin en tête de lettre. L'équipe de LaneAxis a alors célébré ce qu'ils considéraient comme un partenariat.

Lubin a alors mis Burnett en contact avec James Slazas, Head of Capital Markets chez Consensys, sur Telegram. Après avoir reçu un contrat signé par Lubin avec le watermark de Consensys, les adresses et toutes les informations, Slazas a fourni les détails du transfert et envoyé 2 adresses de portefeuilles à Burnett pour la réalisation de la transaction.

C'est là que le drapeau rouge a été levé.

"Nous n'avions toujours pas reçu de message direct de la part d'aucun compte officiel de ConsenSys. Slazas était la bonne personne chez Consensys pour réaliser ce genre d'échange, mais toutes les discussions avaient été réalisées via ses comptes personnels. Lubin était un pionnier des smart contracts. Il comprendrait notre besoin d'une confirmation officielle avant la réalisation d'une telle transaction" a déclaré Burnett.

L'équipe LaneAxis a alors commencé à joindre Lubin sur des médias vérifiés. Aucune réponse de la part de Lubin depuis une adresse e-mail pro. Aucune réponse sur Twitter. Finalement, Burnett a contacté Lubin sur LinkedIn. Quelques heures plus tard, un représentant de ConsenSys répondait à Burnett.

Il n'y avait aucun deal.

Depuis le début, LaneAxis n'avait jamais été en correspondance avec le vrai Joseph Lubin.

L'équipe de LaneAxis était à la fois choquée et déçue. Deux semaines avaient été gâchées pour conclure un partenariat qui était en réalité une arnaque. L'identité de Lubin a été détournée afin de signer des contrats à sa place. Burnett a pu identifier l'arnaque à temps et souhaite aujourd'hui raconter son expérience afin de prévenir les autres acteurs du secteur.

LaneAxis a organisé le jour suivant un call avec le vrai Joseph Lubin et Consensys afin de leur expliquer l'arnaque et les encourager à un meilleur contrôle de leur identité numérique.

Consensys a sorti une brève déclaration dans la foulée, mais une semaine plus tard, le faux Joseph Lubin continuait d'envoyer des messages à Burnett à propos du faux deal, et le faux compte Telegram de Joseph Lubin continue de sortir dans les premiers résultats Google, comme on peut le voir sur l'image ci-dessous.

L'arnaque était presque parfaite : compte Telegram, adresse, logo, photos, signatures, documents légaux. Le seul hic était l'utilisation d'une adresse e-mail personnelle du début à la fin des discussions.

Pour rappel, en septembre 2017, Joseph Lubin déclarait suite à la brèche de sécurité Equifax : "Donner nos informations personnelles encore et encore à des organisations (qui profitent généralement de ces données) avec des serveurs centralisés est la définition de la folie. Le modèle actuel est cassé et susceptible au hacking. Il est temps de reprendre le contrôle sur notre identité".

Des semaines plus tard, Lubin n'a toujours pas cherché à prendre le contrôle sur son nom d'utilisateur Telegram qui lui revient de droit, selon la charte de l'entreprise.

Consensys n'a pas pris de réelle action pour répondre à cette affaire. Si un individu parmi les plus renommés de la sécurité numérique, pionnier de la technologie décentralisée, peut se faire voler son identité, qui est en sécurité aujourd'hui ?

La décentralisation et l'encryption des données n'a pas d'intérêt s'il y a peu de regard sur l'information partagée à la base.

Si Burnett est déçu de la réponse apportée par Consensys, il blâme en premier lieu Telegram : "Au final, c'est un problème qui vient de Telegram. Je souhaite exposer cette arnaque majeure, et prévenir les autres que ça peut leur arriver. Il doit y avoir une meilleure procédure de vérification s'ils souhaitent conserver leur réputation de messagerie la plus sécurisée, et ainsi conserver l'intérêt que leur porte la communauté crypto".

Telegram n'a pas donné de réponse à LaneAxis sur le sujet.

La sécurité de Telegram a rencontré plusieurs soucis ces derniers mois, alors qu'elle se déclare encryptée à 100%. En août dernier, un bug a été découvert, révélant l'adresse IP de ses utilisateurs lors d'appels vocaux. En juillet, un autre bug a conduit à rendre accessible une fois de plus les adresses IP des utilisateurs. En avril, il avait été reporté que 70 millions de comptes Telegram avaient leaké.

La révolution blockchain qui est en cours se doit de tenir ses promesses : disrupter les structures puissantes à travers le globe, démocratiser Internet en cassant la main mise que les grosses entreprises ont sur les informations des utilisateurs, et amener une nouvelle ère de la sécurité informatique.

En réponse à l'escroquerie, Burnett appelle le secteur à renforcer les efforts de sécurité : "J'espère que chaque personne impliquée fera les efforts pour renforcer la sécurité en ligne. Joseph et ConsenSys inaugurent de nouvelles vagues d’innovations et il est alarmant de voir une personne accéder à autant de ses informations et assumer son identité. Et il est encore plus alarmant qu'après avoir pris connaissance de l'affaire, il n'y a pas de réponse adaptée qui soit apportée. En tant que communauté, nous nous devons de prendre le contrôle sur notre identité numérique et exiger qu'une plateforme comme Telegram s'améliore sur le sujet".

À l’aube de l’Internet «sans confiance», nous ne pouvons plus nous fier uniquement à la technologie pour protéger nos informations, comme en témoignent les imposteurs à qui nous avons eu à faire et les systèmes de vérification défectueux de Telegram. Alors que les réseaux deviennent de plus en plus sûrs du fait de la décentralisation, d'une vérification appropriée et diligente, d'une surveillance attentive des comptes et d'un traitement consciencieux des informations par des êtres humains est plus important que jamais.

LaneAxis a mis au jour cette activité frauduleuse en prenant en main le processus de vérification et en identifiant les principales vulnérabilités des systèmes sécurisés. Après avoir soigneusement examiné toutes les interactions avec les fraudeurs, l’équipe de LaneAxis a découvert le nom d’un suspect enfoui dans les métadonnées de l’un des contrats. Burnett a transmis l'information au FBI (Federal Bureau of Investigation), dont le véritable Joseph Lubin a été informé. Burnett espère que ses efforts empêcheront d’autres startups de devenir victimes d’escroqueries similaires et encourageront des sociétés comme ConsenSys et Telegram à améliorer leurs protocoles de sécurité.

Cet article n’a pas été rédigé par notre équipe editoriale, et nous ne sommes pas responsables des informations qu’il contient. Il ne s’agit pas d’une recommandation d’investissement. Nous vous suggérons de faire vos propres recherches avant d'investir dans les crypto-monnaies, et nous ne saurons être tenus responsables de toute perte en capital, en lien avec la lecture de cet article.