Une décision surprenante – En février dernier, le protocole DeFi Platypus Finance a été victime d’un hack sur Avalanche. Au total, plus de 8,5 millions de dollars ont été dérobés par le hacker. Finalement, les hackers ont pu être appréhendés et menés devant la justice française. Cependant, le dénouement du jugement démontre les limitations de la justice française face à ce type d’activités.
Hack Platypus : deux Français mis en cause
À la suite de cette attaque, de nombreux enquêteurs et entreprises ont épaulé Platypus Finance pour traquer les hackers et les fonds. Plusieurs erreurs réalisées par l’attaquant ont permis à Binance de remonter jusqu’à son identité.
Seulement quelques semaines après l’attaque, deux Français, âgés de 18 et 20 ans, ont été arrêtés par les autorités françaises.
Le procès des hackers de Platypus Finance
Finalement, le procès du hacker de Platypus Finance a eu lieu le 26 octobre dernier au tribunal judiciaire de Paris. Procès qui a été relaté par nos confrères du Monde.
Lors de son procès, Mohammed M. ne nie pas les faits. Toutefois, celui-ci tente de jouer la carte du white hat, à savoir du hacker éthique. Celui-ci a ainsi déclaré avoir voulu « récupérer les fonds en danger de la plate-forme Platypus pour les restituer plus tard », tout en espérant obtenir une récompense de bug bounty.
Une défense fragile, notamment au regard des agissements de l’accusé suite à l’attaque. Effectivement, comme l’avait révélé ZachXBT au moment des faits, le hacker avait entrepris de déplacer 263 000 euros via plusieurs portefeuilles, dont celui de son frère également jugé dans la même affaire, afin de faire transiter les fonds vers des mixers. Un procédé qui ressemble plus à une tentative de blanchir son butin que de mettre les fonds en sécurité.
D’autant plus que lors de son attaque, notre hacker en herbe a effectué une bourde monumentale. Ainsi, celui-ci a bloqué 8,4 millions de dollars provenant de son larcin sur son smart contract.
Les deux hackers relaxés
Au début du procès, le substitut du procureur avait requis une peine de cinq ans de prison, dont deux ans fermes pour Mohammed M. et six mois de surcis ainsi que 20 000€ d’amendes pour son frère.
Finalement, vendredi 1ᵉʳ décembre, le tribunal s’est penché du côté de la défense en relaxant les deux accusés.
Effectivement, d’après la défense, l’accusé aurait simplement interagi avec un smart contract déployé par Platypus, sans accéder illégalement aux systèmes de Platypus.
De plus, l’utilisation de la fonction de retrait d’urgence, qui lui a permis de mener son attaque, n’a pas pu être qualifiée de manœuvre frauduleuse. Et ce, « même si le smart contract a été mal codé, de sorte qu’il a permis à Mohammed M. d’en profiter ».
Ainsi, d’un point de vue pénal, la justice française ne dispose d’aucune règle ou loi pour encadrer ce type d’activités. Pour autant, le juge n’est pas dupe et a rejeté toute qualification de “hacker éthique”.
Enfin, il a précisé au hacker que cela n’était pas pour autant la fin de l’affaire. En effet, Platypus Finance a toujours la possibilité de poursuivre le hacker au tribunal civil.
« Vous avez tout de même une dette liée au prêt, et Platypus va probablement se retourner contre vous au civil. Cette décision n’est donc pas un blanc-seing, simplement, les charges ne tiennent pas sur le plan pénal. »
Une mauvaise nouvelle pour Platypus Finance, qui ne voit pas le bout de cette affaire. D’autant plus que la plateforme a été victime d’une seconde attaque au mois d’octobre, causant cette fois la perte de 2 millions de dollars.
