En 2018, Andrew Schober a été agressé numériquement pour environ 1 million de dollars de bitcoins. Après plusieurs années de travail avec les enquêteurs, Schober dit qu’il est convaincu d’avoir localisé deux jeunes hommes au Royaume-Uni responsables de l’utilisation d’un malin astucieux de vol de presse-papiers numérique pour siphonner ses avoirs cryptographiques. Schober poursuit maintenant chacun de leurs parents dans une affaire civile qui cherche à extraire ce que leurs enfants ne reviendraient pas volontairement.
Dans une action en justice intentée au Colorado, Schober a déclaré que la disparition soudaine de ses fonds en janvier 2018 l’avait incité à dépenser plus de 10 000 dollars pour embaucher des experts dans le domaine du traçage des transactions de crypto-monnaie. Après des mois de recherche, ses enquêteurs ont identifié les coupables probables : deux jeunes hommes en Grande-Bretagne qui étaient tous deux mineurs au moment du crime (tous deux étudient actuellement l’informatique dans des universités britanniques).
Une enquête médico-légale sur l’ordinateur de Schober a révélé qu’il avait téléchargé par inadvertance un logiciel malveillant après avoir cliqué sur un lien publié sur Reddit pour une prétendue application de portefeuille de crypto-monnaie appelée « Electrum Atom ». Les enquêteurs ont déterminé que le logiciel malveillant était associé au programme bénin et qu’il était conçu pour attendre que les utilisateurs copient une adresse de crypto-monnaie dans le presse-papiers temporaire de leur ordinateur.
Lorsque Schober est allé déplacer environ 16,4 bitcoins d’un compte à un autre – en collant la longue adresse de paiement qu’il venait de copier – le logiciel malveillant a remplacé son adresse de paiement bitcoin par une adresse différente contrôlée par les jeunes hommes.
Le procès de Schober explique comment ses enquêteurs ont retracé les fonds volés via des échanges de crypto-monnaie et jusqu’aux deux jeunes au Royaume-Uni. De plus, ils ont découvert que l’un des accusés – quelques heures seulement après le vol du bitcoin de Schober – avait posté un message sur GitHub demandant de l’aide pour accéder à la clé privée correspondant à la clé publique de l’adresse bitcoin utilisée par le logiciel malveillant voleur de presse-papiers.
Les enquêteurs ont découvert que l’autre accusé avait le code malveillant fourni avec l’application Electrum Atom dans sa bibliothèque de codes Github.
Au départ, Schober espérait que les parents des adolescents voleurs entendraient raison et rendraient simplement l’argent. Il écrivit donc une lettre aux parents des deux garçons :
« Il semble que votre fils ait utilisé des logiciels malveillants pour voler de l’argent à des personnes en ligne », lit-on dans le premier paragraphe de la lettre que Schober a envoyée par e-mail aux familles. « Perdre cet argent a été financièrement et émotionnellement dévastateur. Il aurait pu penser qu’il faisait une blague inoffensive, mais cela a eu de graves conséquences sur ma vie.
Une partie de la lettre que Schober a envoyée à deux des accusés en 2018, après que les enquêteurs ont déterminé que leurs fils étaient responsables du vol de près d’un million de dollars en crypto-monnaie à Schober.
Rencontrant le silence continu des parents pendant de nombreux mois, Schober a intenté une action contre les enfants et leurs parents devant un tribunal du Colorado. Une copie de la plainte de mai 2021 est ici (PDF).
Maintenant, ils répondent. L’un des accusés –Hazel D. Wells – vient de déposer une requête auprès du tribunal pour se représenter elle-même et son fils au lieu d’engager un avocat. Dans un dossier du 9 août, Wells a utilement inclus la lettre dans la capture d’écran ci-dessus et a déclaré que son fils avait été interrogé par les autorités britanniques en relation avec le vol de bitcoins.
Aucune des familles des accusés ne conteste l’affirmation de base que leurs enfants ont volé à M. Schober. Au contraire, ils affirment que le temps est écoulé sur la capacité légale de Schober de revendiquer une cause d’action contre eux.
« Le demandeur allègue deux causes d’action en common law (conversion et intrusion en biens meubles), pour lesquelles un délai de prescription de trois ans s’applique », a fait valoir un avocat des défendeurs dans un dossier le 6 août (PDF). «Le demandeur allègue en outre une cause d’action légale fédérale, pour laquelle un délai de prescription de deux ans s’applique. Parce que le demandeur n’a déposé sa plainte que le 21 mai 2021, trois ans et cinq mois après sa blessure, ses demandes doivent être rejetées.
Les avocats de Schober soutiennent (PDF) que « le délai de prescription commence à courir lorsque le demandeur connaît ou a des raisons de connaître l’existence et la cause du préjudice qui est à la base de son action », et que ce concept est inhérent à la découverte règle, à savoir: que le délai de prescription ne commence à courir que lorsque le demandeur connaît ou a des raisons de connaître à la fois l’existence et la cause de son préjudice.
Les plaignants soulignent que les enquêteurs de Schober n’ont identifié l’implication de l’un des jeunes hommes que plus d’un an après avoir identifié son co-conspirateur, affirmant que Schober avait informé les parents du deuxième garçon en décembre 2019.
Aucune des parties à ce procès n’a répondu aux demandes de commentaires.
Image : Plainte, Schober c. Thompson, et. Al.
Marc Rachun ancien procureur du ministère américain de la Justice, a déclaré que le plaignant prétendait que les parents étaient responsables parce qu’il les avait informés d’un crime commis par leurs enfants et qu’ils n’avaient pas répondu.
« Beaucoup de ces crimes sont commis par des mineurs, et nous n’avons pas un bon système de justice pour mineurs qui soit bien conçu pour s’en prendre civilement et pénalement aux enfants », a déclaré Rasch.
Rasch a déclaré qu’il était actuellement avocat dans un certain nombre de poursuites impliquant de jeunes hommes accusés d’avoir volé et blanchi des millions de dollars de crypto-monnaie – en particulier des crimes impliquant l’échange de cartes SIM – où les fraudeurs trompent ou soudoient un employé d’un magasin de téléphonie mobile pour qu’il transfère le contrôle du numéro de téléphone d’une cible sur un appareil qu’elle contrôle.
Dans ces affaires, les plaignants ont cherché à obtenir une compensation pour leurs pertes auprès des compagnies de téléphonie mobile – mais jusqu’à présent, ces poursuites ont largement échoué à donner des résultats et sont souvent poussées en arbitrage.
Rasch a déclaré qu’il était logique que certaines victimes de vol de crypto-monnaie dépensent beaucoup d’argent pour retrouver leurs agresseurs et les poursuivre civilement. Mais il a déclaré que les démarches nécessaires pour faire valoir ce dossier sont énormes et coûteuses, et qu’il n’y a aucune garantie que ces investissements seront rentables sur la route.
« Ces crimes peuvent être extrêmement difficiles et coûteux à traquer », a-t-il déclaré. « C’est conçu pour être difficile à faire, mais ce n’est pas non plus conçu pour être impossible à faire. »
Comme en témoigne l’histoire CNBC de cette semaine sur une augmentation marquée des rapports de personnes ayant leur Coinbase comptes vidés par des fraudeurs, de nombreuses personnes investissant dans les crypto-monnaies découvrent à leurs dépens que, contrairement aux transactions bancaires traditionnelles, les fonds de crypto-monnaie perdus à cause du vol sont susceptibles de rester perdus car les transactions sont irréversibles.
Traditionnellement, les principaux échanges cryptographiques ont déclaré qu’ils n’étaient pas responsables des fonds perdus ou volés. Mais peut-être en réponse à l’histoire de CNBC, Coinbase a déclaré qu’il introduisait une nouvelle « garantie » pilote pour les clients britanniques uniquement, où ils seront éligibles à un remboursement jusqu’à 150 000 £ si quelqu’un obtient un accès non autorisé à leur compte et vole des fonds.
Cependant, il semble peu probable que la nouvelle garantie de Coinbase couvre des cas comme celui de Schober, même s’il avait été un client britannique et que le vol s’est produit aujourd’hui. L’une des mises en garde qui n’est pas couverte par la garantie est l’envoi accidentel de fonds à la mauvaise adresse.