Ce Français a récupéré 3 millions de dollars en bitcoins grâce à une faille de 2013
Perdre l’accès à sa propre fortune numérique sans jamais pouvoir la récupérer : c’est le cauchemar qu’a vécu Michael, propriétaire de 43,6 bitcoins bloqués derrière un mot de passe disparu. Pendant des années, cette combinaison de vingt caractères a semblé perdue à jamais, alors que sa valeur grimpait jusqu’à plusieurs millions de dollars. Deux experts en sécurité informatique ont pourtant trouvé une faille insoupçonnée pour la reconstituer, comme le raconte El País.
Une fortune numérique enfermée derrière vingt caractères
L’histoire de Michael n’est pas isolée. Comme cet homme qui a récupéré ses bitcoins perdus depuis 11 ans grâce à l’IA, il a longtemps cru sa fortune inaccessible pour toujours.
Pour protéger son portefeuille, Michael avait généré un mot de passe via le logiciel RoboForm, puis l’avait enregistré dans un fichier chiffré avec TrueCrypt. Ce fichier s’est corrompu, l’empêchant définitivement d’y accéder.
La somme derrière cette suite de caractères a pris une ampleur nouvelle avec la hausse du bitcoin. Un peu comme cet homme qui a cherché pendant 12 ans son disque dur contenant 650 millions en bitcoin, Michael s’est retrouvé face à une richesse théorique totalement inaccessible.
Il s’est tourné vers Joe Grand, spécialiste en sécurité informatique connu sous le pseudonyme Kingpin. Ce dernier a d’abord refusé, jugeant l’opération irréaliste face au nombre de combinaisons possibles à tester.
La faille de RoboForm qui a permis de « remonter le temps »
Joe Grand a finalement accepté de reprendre le dossier, accompagné d’un second expert, Bruno. Plutôt que d’essayer de deviner le mot de passe au hasard, le duo a cherché à comprendre comment RoboForm l’avait généré à l’origine.
Leur découverte a tout changé. Selon la documentation technique publiée par Joe Grand, d’anciennes versions du logiciel présentaient un défaut : les mots de passe semblaient aléatoires, mais dépendaient en réalité de l’heure exacte du système au moment de leur création.
Cette faille rappelle à quel point une négligence dans un simple réglage de sécurité peut exposer des données sensibles, bien au-delà des cryptomonnaies.
Les deux chercheurs ont donc pu tenter de recréer les conditions exactes de génération, plutôt que de chercher parmi des milliards de combinaisons. Une approche qui n’a rien d’anodin à l’heure où des milliards d’identifiants et mots de passe circulent déjà sur internet après des fuites massives.
3 millions de dollars retrouvés grâce à une date précise : 15 mai 2013
Retrouver la période de création ne réglait pourtant pas tout. La longueur exacte du mot de passe, la présence de majuscules, de chiffres ou de caractères spéciaux devaient aussi être reproduites à l’identique, un peu comme dans les calculs complexes que suppose tout placement en bitcoin sur le long terme.
Les premiers essais se sont révélés trompeurs. Michael pensait avoir utilisé des caractères spéciaux, une hypothèse finalement écartée par les chercheurs.
Selon l’enquête de WIRED publiée le 28 mai 2024, le duo a fini par identifier une combinaison générée le 15 mai 2013. Ils ont annoncé la nouvelle à Michael en novembre 2023.
El País précise qu’à l’automne 2023, les experts lui avaient présenté un chèque symbolique d’environ 1,6 million de dollars. Le portefeuille, réévalué en 2024, était alors estimé à près de 3 millions de dollars, ce qui rappelle combien la valeur de ces actifs peut fluctuer, comme le montre le cas de ces Français qui détiennent un actif valant aujourd’hui bien moins qu’espéré.
Ces montants reflètent des cours différents du bitcoin, non deux récupérations distinctes. RoboForm indique avoir corrigé cette faille en juin 2015.
Une combinaison inaccessible pendant des années, reconstituée grâce à une simple date. L’histoire de Michael prouve qu’une faille technique oubliée peut parfois valoir plusieurs millions de dollars à qui sait la traquer.