Droit crypto/Niveau VI · Conduite sur les marchés/6.2 Initiés et rug pulls/Leçon 7

Primes, casques blancs et restitutions négociées

Ce qu'une prime pour signalement de vulnérabilité (bug bounty), une offre de « prime » post-hack et un port franc pour les casques blancs peuvent ou ne peuvent pas faire sur le plan juridique, et pourquoi un protocole ne peut promettre à personne l'immunité contre des poursuites pénales.

Ceci est une ressource éducative et non un conseil juridique, fiscal ou en investissement. Le droit des crypto-actifs varie d'un pays à l'autre et d'un État à l'autre, et évolue souvent. Avant d'agir, vérifiez les règles en vigueur là où vous vivez auprès d'un avocat ou d'un conseiller fiscal qualifié.

La voie la plus légère

La voie la moins chère, la moins imposée, la plus simple et la plus discrète que permet la loi, de la meilleure à la moins bonne. Chaque étape indique la règle sur laquelle elle repose et la condition qui la maintient dans la légalité.

Développeurs : publiez une politique de bug bounty et de divulgation avant le lancement ; cela ne coûte que la récompense que vous choisissez, et la politique du ministère de la Justice du 19 mai 2022 stipule que les recherches de bonne foi ne devraient pas faire l'objet de poursuites au titre du CFAA. Attention : cette politique lie uniquement les procureurs fédéraux.
Adoptez le SEAL Whitehat Safe Harbor par la gouvernance, sans coût de licence : les sauveteurs envoient des fonds à votre adresse de récupération des actifs (Asset Recovery Address) contre une récompense recommandée de 10 % et vous renoncez à vos réclamations. Attention : il ne peut pas couvrir l'action gouvernementale, et les litiges sont soumis par défaut à l'arbitrage de la SIAC.
Après une exploitation, une offre on-chain ne règle que les réclamations propres à votre protocole. N'offrez jamais le silence envers la police, comme l'a proposé Ahmed, et ne promettez jamais l'immunité contre des poursuites pénales, ce qu'aucune partie privée ne peut accorder.
Chercheurs : transférez des fonds uniquement avec une autorisation écrite qui vous couvre clairement, et déclarez toute récompense comme revenu, car le résumé de SEAL rend le casque blanc responsable des impôts. Exiger un paiement ou le contrôle en échange d'une restitution peut être poursuivi pour tentative de chantage.

MatérielLa politique du ministère de la Justice de mai 2022 sur les poursuites au titre du Computer Fraud and Abuse ActLe SEAL Whitehat Safe Harbor Agreement et son résumé (Security Alliance, sur GitHub)Le communiqué d'avril 2024 du US Attorney concernant la peine de Shakeeb AhmedLes leçons 5.3.5 (audits de contrats intelligents) et 6.2.6 (hacks et exploitations comme vol)

Curiosité

Si un protocole paie une « prime » à un pirate pour qu'il restitue les fonds, ce dernier est-il alors quitte ?
Est-il légal de récupérer des fonds d'un protocole pendant que quelqu'un d'autre le vide ?
Qu'est-ce qui fait qu'une négociation après un hack se transforme en chantage ?

Explorer

Trois choses différentes partagent le mot « prime ». Une bug bounty est une récompense publiée pour signaler une vulnérabilité avant que quiconque ne l'exploite. Un sauvetage par un casque blanc (whitehat rescue) consiste à ce qu'un chercheur en sécurité transfère des fonds hors d'un contrat qui est déjà attaqué, afin de les mettre en sécurité. Une restitution négociée est une offre, généralement faite on-chain après une exploitation, permettant à l'attaquant de conserver une part si le reste est restitué. Juridiquement, ils diffèrent nettement. Les deux premiers peuvent être autorisés d'avance par le protocole ; le troisième est un accord avec quelqu'un qui a déjà pris l'argent.
L'exploitation du Poly Network du 10 août 2021 a fixé le modèle. Un attaquant a transféré environ 610 millions de dollars hors du protocole inter-chaînes, puis a commencé à les restituer. Poly Network a appelé l'attaquant « Mr. White Hat » et a proposé une prime de 500 000 dollars dans le cadre des négociations, tandis que Tether gelait environ 33 millions d'USDT. Fin août, l'attaquant avait rendu l'accès aux fonds restants. Appeler l'attaquant un « casque blanc » était un choix de négociation de la victime, et non une qualification juridique. La récupération d'Euler Finance en 2023, abordée dans la leçon 5.3.5, a suivi un chemin similaire.
L'affaire Ahmed montre comment les procureurs considèrent ce type de marchandage (leçon 6.2.6). Après sa première exploitation, Shakeeb Ahmed a proposé de restituer tout sauf 1,5 million de dollars si la plateforme d'échange acceptait de ne pas transmettre l'attaque aux forces de l'ordre. Nirvana Finance lui a offert une bug bounty allant jusqu'à 600 000 dollars pour restituer ses fonds ; il a exigé 1,4 million de dollars, aucun accord n'a été conclu et il a tout conservé. Les procureurs ont décrit les deux épisodes lors de l'annonce de sa peine de trois ans. Dans l'affaire KyberSwap, les procureurs allèguent qu'Andean Medjedovic a exigé le contrôle du protocole et de son DAO en échange de la restitution d'environ la moitié, et l'ont inculpé pour tentative de chantage.
Pour la recherche effectuée avant toute attaque, le ministère de la Justice a modifié sa politique le 19 mai 2022. Les procureurs fédéraux sont instruits de ne pas poursuivre les recherches en sécurité de bonne foi au titre du Computer Fraud and Abuse Act, ce qui signifie un accès ayant pour seul but de tester, d'enquêter ou de corriger un défaut, effectué de manière conçue pour éviter tout préjudice, avec des résultats utilisés principalement pour améliorer la sécurité. La politique avertit que se prétendre chercheur n'est pas un laissez-passer : découvrir des vulnérabilités dans le but de faire chanter leurs propriétaires ne relève pas de la bonne foi. Elle lie uniquement les procureurs fédéraux, et non les États, les gouvernements étrangers ou les demandeurs privés.
Pour les sauvetages effectués pendant une attaque, la Security Alliance (SEAL) publie un SEAL Whitehat Safe Harbor Agreement que les protocoles adoptent par le biais de leur gouvernance. Il ne couvre que les exploitations actives initiées par quelqu'un d'autre ; le casque blanc doit envoyer les actifs récupérés à l'adresse de récupération des actifs désignée (Asset Recovery Address) du protocole. SEAL recommande une récompense de 10 %, qu'un protocole peut ajuster ou plafonner. Si le casque blanc se conforme, le protocole et ses utilisateurs renoncent à leurs réclamations contre lui. Le résumé précise explicitement que l'accord ne couvre pas et ne peut pas couvrir les actions gouvernementales ou réglementaires. Les litiges sont soumis à l'arbitrage, par défaut à Singapour selon les règles de la SIAC.
Pour les développeurs, un contrôle pratique consiste à publier une politique de divulgation et de prime avant le lancement et à décider s'il convient d'adopter un port franc, afin que les chercheurs connaissent les règles à l'avance. Après une exploitation, toute offre ne fonctionne qu'en tant que règlement privé des réclamations propres au protocole. La condition proposée par Ahmed, le silence envers la police, ne l'a pas protégé, et exiger le contrôle ou un paiement comme prix d'une restitution peut être poursuivi pour tentative de chantage, comme dans l'affaire KyberSwap. Les chercheurs, quant à eux, ne doivent pas toucher aux fonds sans une autorisation écrite qui les couvre clairement. Le résumé de SEAL rend également le casque blanc responsable des impôts que le sauvetage engendre.

Faits clés

Le 10 août 2021, un attaquant a pris environ 610 millions de dollars du Poly Network et les a restitués plus tard ; au cours des négociations, Poly Network a proposé une prime de 500 000 dollars.
Après une exploitation en juillet 2022, Shakeeb Ahmed a proposé de restituer tout sauf 1,5 million de dollars si la plateforme d'échange acceptait de ne pas transmettre l'attaque aux forces de l'ordre.
Nirvana Finance a offert à Ahmed une bug bounty allant jusqu'à 600 000 dollars ; il a exigé 1,4 million de dollars et a conservé tous les fonds.
Le 19 mai 2022, le ministère de la Justice a instruit que les recherches en sécurité de bonne foi ne devraient pas faire l'objet de poursuites au titre du Computer Fraud and Abuse Act.
Le SEAL Whitehat Safe Harbor Agreement s'applique uniquement aux exploitations actives initiées par quelqu'un d'autre et recommande une récompense de 10 %, que les protocoles peuvent ajuster ou plafonner.
Le résumé du port franc de SEAL indique que l'accord couvre le protocole et ses utilisateurs, mais ne couvre pas et ne peut pas couvrir les actions des entités gouvernementales ou réglementaires.

Exercice neuf, six, trois, un

9RassemblerListez jusqu'à 9 termes qu'un protocole pourrait fixer dans une politique de prime ou de port franc, ou dans une offre faite à un attaquant (certaines listes sont plus courtes), tels qu'un pourcentage de récompense, un délai limite ou une adresse de restitution.

6RegrouperClassez-les en 6 catégories : ce qui est couvert, le montant payé, la manière dont les fonds sont restitués, les délais, les renoncations juridiques et les conditions susceptibles d'être risquées.

3DistillerRéduisez ces 6 catégories à 3 groupes : les termes fixés avant toute attaque, les termes proposés uniquement après une exploitation de vulnérabilité, et les termes qu'une partie privée ne peut légalement promettre.

1CristalliserRédigez 1 phrase expliquant, avec vos propres mots, pourquoi un protocole peut renoncer à ses propres réclamations contre un pirate mais ne peut pas promettre que ce dernier ne fera l'objet d'aucune poursuite pénale.

Vérification des faits

Les dates, les chiffres et les affirmations ont été vérifiés à l’aide des sources publiées listées ci-dessous.

Ouvrir dans l'académie interactive →

EN PT ES ZH JA KO RU DE MS