Vous voulez éliminer les ransomwares ? Réglementer les échanges cryptographiques

Entre juillet 2020 et juin 2021 seulement, l’activité des ransomwares a grimpé de 1 070 %, selon un récent rapport Fortinet, d’autres chercheurs confirmant la prolifération de ce mode d’extorsion. Imitant le modèle commercial traditionnel du monde technologique légitime, les portails de rançongiciels en tant que service ont fait leur apparition dans les recoins les plus sombres du Web, institutionnalisant l’industrie parallèle et abaissant le plafond de compétences des criminels potentiels. La tendance devrait sonner l’alarme dans l’écosystème crypto, d’autant plus que les attaquants de ransomware ont le don de payer en crypto.

Cela dit, l’industrie qui était autrefois un Far West sauvage assume désormais un cadre plus ordonné. S’infiltrant lentement mais sûrement dans le courant dominant, il a maintenant atteint le point où certaines des plus grandes bourses centralisées (CEX) embauchent des enquêteurs de haut niveau sur la criminalité financière pour superviser leurs efforts de lutte contre le blanchiment d’argent.

Le problème est que tous les métiers ne se valent pas. Un échange centralisé fonctionne de la même manière qu’une entité commerciale traditionnelle, mais cela ne signifie pas que tout le monde fait maintenant la queue pour obtenir son droit de lutte contre le blanchiment d’argent (AML). Les choses deviennent encore plus délicates avec les échanges décentralisés (DEX), qui, avouons-le, ne sont pas aussi décentralisés que leur nom l’indique, mais aiment prétendre le contraire. Dans la plupart des cas, les DEX ont peu ou rien en termes de métriques Know Your Customer (KYC), aidant les utilisateurs à sauter entre les pièces et les blockchains à volonté tout en laissant peu de traces. Alors que certains d’entre eux peuvent utiliser divers services d’analyse pour effectuer des vérifications des antécédents sur les portefeuilles, les pirates peuvent essayer de les contourner à l’aide de mélangeurs et d’autres outils.

En rapport: Les DAO sont censés être complètement autonomes et décentralisés, mais le sont-ils ?

En ce qui concerne les flux de trésorerie des ransomwares, les DEX et les CEX sont très recherchés, mais les criminels les utilisent à des fins différentes. Les criminels utilisent des DEX, ainsi que des services de mélange, pour blanchir la rançon payée par les clients, en la déplaçant d’adresse en adresse et de devise en devise, selon un récent rapport du Financial Crimes Enforcement Network des États-Unis. Les CEX, en revanche, servent principalement de point de sortie pour les criminels, leur permettant d’encaisser des pièces fiduciaires.

En rapport: Crypto dans le collimateur : les régulateurs américains lorgnent sur le secteur de la crypto-monnaie

Se faire voler de l’argent sur votre réseau n’est une bonne idée pour personne, et cela a parfois des conséquences. En septembre dernier, le Trésor américain a imposé des sanctions au courtier OTC Suex pour avoir travaillé efficacement pour faciliter le blanchiment d’argent des ransomwares. L’échange était imbriqué sur Binance, bien que la société ait déclaré qu’elle avait dé-plateforme Suex bien avant la désignation du Trésor sur la base de ses propres « garanties internes ».

Le développement devrait être un signal d’alarme pour les CEX et les DEX du monde entier, car il applique l’effet domino des sanctions américaines à l’écosystème crypto. Une entité sanctionnée peut être confortablement installée dans sa juridiction d’origine, mais dans le monde interconnecté d’aujourd’hui, les sanctions américaines entravent les transactions impliquant des clients étrangers qu’elle pourrait souhaiter entreprendre encore plus. Cela ne doit tout simplement pas impliquer uniquement Binance – cela peut inclure toute entreprise légitime ayant une présence et des intérêts aux États-Unis, et il en va de même pour les hébergeurs, les processeurs de paiement ou toute personne permettant les opérations commerciales quotidiennes de l’entreprise cible.

En théorie, les sanctions pourraient même affecter indirectement les entités décentralisées de multiples manières. Les projets décentralisés ont encore normalement des équipes de développement de base qui leur sont associées, ce qui invoque la perspective de la responsabilité individuelle. À l’avenir, et avec suffisamment de rigueur réglementaire, ils pourraient même voir leur trafic entrant et sortant étranglé ou carrément bloqué par IPS, à moins que les utilisateurs n’utilisent des outils d’obscurcissement supplémentaires comme le VPN.

En rapport: Des NFT aux CBDC, la crypto doit s’attaquer à la conformité avant que les régulateurs ne le fassent

Guerre d’usure contre les rançongiciels

L’incident Suex OTC et ses implications profondes nous indiquent ce que pourrait être une stratégie plus large pour étouffer les groupes de ransomwares. Nous savons qu’ils dépendent de plusieurs nœuds à l’intérieur de l’écosystème crypto, mais les DEX et les CEX ont une valeur particulière à leurs yeux en leur permettant de brouiller les pistes et de mettre de l’argent dans leurs poches. Et c’est l’objectif final, dans la plupart des cas.

Il est naïf de s’attendre à ce que chaque acteur dans ce domaine soit tout aussi diligent avec ses garanties internes. L’application des normes KYC et AML sur les échanges rendra, à tout le moins, plus difficile pour les criminels de déplacer la crypto et de retirer de l’argent. De tels mouvements augmenteraient leurs pertes, rendant l’ensemble de l’opération moins rentable et, par conséquent, moins lucrative. À long terme, idéalement, cela pourrait les priver de zones vitales de la vaste infrastructure qu’ils utilisent pour transporter de l’argent, rendant la boîte à biscuits effectivement inaccessible. Et pourquoi chercher de l’argent que vous ne pouvez pas mettre dans votre poche ?

Avec les progrès de l’apprentissage automatique et de l’identification numérique, les DEX peuvent être aussi compétents en matière de KYC que leurs parents centralisés, en utilisant l’IA pour traiter les mêmes documents que les banques le feraient pour leurs efforts de KYC. C’est une procédure qui peut être automatisée, donnant à leurs clients légitimes plus de tranquillité d’esprit et attirant potentiellement plus de flux de trésorerie avec leur statut réglementé. La communauté crypto pourrait aller plus loin en mettant en place des contrôles supplémentaires sur les transactions impliquant des échanges et des services connus pour avoir une forte proportion d’activités illicites. Bien que des mesures telles que la mise sur liste noire des portefeuilles ne soient pas susceptibles de gagner en popularité (bien que la mise sur liste noire ne soit pas inconnue dans l’espace crypto – par exemple, les plates-formes NFT ont récemment gelé le commerce des NFT volés) – même leur adoption limitée peut faire la différence, apportant plus de trafic légitime à des échanges qui font un effort supplémentaire.

En rapport: Les principaux échanges cryptographiques ciblent le marché asiatique dans un contexte de clarté réglementaire croissante

En termes militaires, c’est comme mener une guerre d’usure contre des groupes de rançongiciels – épuisant l’ennemi au lieu de causer des dommages directs immédiats. Une attaque de ransomware sophistiquée nécessite un énorme investissement en temps et en argent. Cela est vrai pour les deux équipes développant une solution sur mesure pour une cible spécifique de haut niveau ou un opérateur d’une plate-forme de ransomware-as-a-service. Ne pas pouvoir encaisser la rançon signifie que la majeure partie de ce temps, de ces efforts et de cet investissement a été gaspillée.

Les critiques peuvent faire valoir que de telles mesures ne fonctionneraient pas, simplement parce que les pirates peuvent toujours passer à un autre mécanisme financier pour réclamer leur argent, comme les cartes-cadeaux. Dans une certaine mesure, c’est vrai; Quand on veut on peut. Mais considérez ceci : Colonial Pipeline a dû payer une rançon de 5 millions de dollars en crypto à des pirates russes présumés. Dans quelle mesure aurait-il été facile pour les attaquants d’encaisser le même montant en cartes-cadeaux Walmart ? Le rapport risque-récompense justifierait-il encore l’attaque ? Je doute. Il est logique d’investir des millions pour voler des milliards, mais déplacer ces milliards dans autre chose que la crypto sans lever un tas de drapeaux rouges est une toute autre histoire.

En rapport: Les paiements de rançon de crypto-monnaie sont-ils déductibles d’impôt ?

Il y a un meilleur contre-argument ici : la rançon n’est pas toujours la motivation. Un groupe soutenu par l’État faisant la grève dans le cadre d’une campagne contradictoire plus large apprécierait l’argent supplémentaire, mais il est tout aussi intéressé à garder ses gestionnaires heureux. C’est la pincée de sel qui va bien avec l’argument pro-réglementation, et pourtant, même refuser une rançon aux pirates motivés financièrement ferait déjà une brèche ou deux dans la prolifération des ransomwares.

Dans l’ensemble, les ransomwares sont un problème complexe, difficile à résoudre avec une seule décision miracle. Cela nécessitera une approche plus nuancée et, très probablement, une plus grande coopération internationale dans ce domaine. Il existe cependant de bonnes raisons de faire de la réglementation des changes une partie importante de ces efforts afin de priver les attaquants de la possibilité de récolter les fruits de leurs attaques – et ainsi d’attaquer le cœur financier de leurs opérations. .

Cet article ne contient pas de conseils ou de recommandations d’investissement. Chaque mouvement d’investissement et de trading comporte des risques, et les lecteurs doivent mener leurs propres recherches lorsqu’ils prennent une décision.

Les vues, pensées et opinions exprimées ici sont celles de l’auteur seul et ne reflètent pas ou ne représentent pas nécessairement les vues et opinions de TUSEN.