Le procès de cette affaire de détournement crypto XXL vient de se terminer à Paris. Le jugement doit être rendu au début du mois de novembre.
Le parquet de Paris a requis une peine de cinq ans de prison et très grosse amende de 800 000 euros contre Vitaly K., le principal suspect de l'affaire Holograph, vendredi 23 octobre, au terme du procès de ce dossier de détournement XXL de plusieurs millions de jetons crypto. Deux ans de prison et une amende de 100 000 euros ont également été requis contre les deux autres mis en cause, accusés d'avoir participé à l'exfiltration des fonds, tandis que les avocats de la défense ont plaidé pour des relaxes.
En juin 2024, un milliard de jetons HLG, d'une valeur alors d'environ 14 millions d'euros, avaient été mystérieusement créés sur le protocole Holograph, un projet censé simplifier la création et la circulation d'actifs numériques. Sur ce milliard, deux cent millions de jetons avaient été vendus, le reste étant gelé ou saisi.
Ce qui s'était soldé par l'équivalent d'1,3 million de dollars de butin et une chute du cours de la crypto, qui ne s'en est d’ailleurs jamais remise.
Après une plainte d'Holograph Foundation, la porteuse de ce projet crypto basée aux Îles Caïmans, les soupçons s'étaient rapidement portés sur Vitaly K.. Cet informaticien vivant à Paris, qui était célèbre dans le monde des NFT avec son pseudo « Monsieur Personne », avait travaillé à partir d'avril 2021 sur la conception technique et le développement du protocole.
Une collaboration qui avait toutefois tourné au vinaigre au sujet de sa rémunération. Après avoir été payé environ 1,5 millions de dollars, selon Holograph, il aurait réclamé 435 000 dollars comme solde de tout compte.
Dans ses écritures, consultées par ZDNET.fr, Holograph Foundation, s'appuyant sur un rapport d'évaluation de la sécurité du protocole, estime que le créateur du milliard de tokens HLG avait réussi en juin 2024, après avoir conservé un accès non autorisé, à détourner « une fonction d'administration » du contrat intelligent sous-jacent.
Cela lui aurait alors permis d'appeler une fonction clé, crossChainMessage, ouvrant la voie à l’émission de jetons HLG. « Ce mécanisme doit être distingué de l’hypothèse d’une réécriture du code source au moment de l’attaque : le rapport décrit l’utilisation abusive d’une fonction d’administration déjà présente dans les contrats », précise la partie civile, représentée par le cabinet Hashtag avocats.
Un document repris à son compte par la défense de Vitaly K., mais avec une analyse différente. « Le rapport de sécurité communiqué par Holograph démontre que Vitaly K. n’a fait qu’utiliser une faille préexistante et connue de la société », estime au contraire Me Robin Binsard. « Il y avait une faille béante », résume-t-il, son client « n'ayant fait que l’exploiter comme on entre par une porte grande ouverte ».
L'avocat juge ainsi qu'il n'y a donc eu « ni modification du contrat intelligent, ni altération du code », et qu’en conséquence « il ne s’agit ni d’une escroquerie, ni d’une introduction frauduleuse dans un système de traitement automatisée de données ». Ce sont les infractions visées par la prévention avec le blanchiment en bande organisée et la participation à une association de malfaiteurs.
Holograph a demandé de son côté la condamnation des trois prévenus et environ 200 000 euros en réparation de son préjudice. L'entreprise a également plaidé pour que leur responsabilité dans la chute du cours du jeton HLG soit retenue, un volet qu'Holograph voudrait voir examiner dans une nouvelle audience sur la base d'un rapport d'expertise financière. Le jugement doit être rendu au début du mois de novembre.
Si des sites web recommencent à être disponibles après avoir été, par mesure de sécurité, coupés, il reste encore bien des services PHP à mettre à jour après la publication de deux correctifs critiques.
Deux failles PHP critiques ont été identifiées, affectant plusieurs versions du logiciel dont les mainteneurs n'assurent plus le support. Des correctifs exceptionnels ont été publiés, mais le CERT-FR recommande d'isoler les équipements affectés.
Le ZDNET Morning le brief de l'actu tech pour les pros tous les matins à 9h00. Transformation numérique, IA, matériel, logiciels,… ne passez pas à côté de ce qui fait la Une du secteur.
Dans un rapport de 80 pages, les experts de l’Anssi livrent leurs recommandations pour limiter les violations de données applicatives. Des préconisations basées sur leur retour d’expérience après analyse des incidents de ce type.
Mail, SMS ou faux site imitant PayPal, Amazon ou votre banque : voici comment reconnaître un phishing, le signaler et sécuriser vos comptes.
Family Link encadre applis, écran et contenu sur Android, mais ne bloque pas tout. Voici ce que le contrôle parental Google protège, et ses limites réelles.
Norton, Bitdefender, McAfee, Avast ou Surfshark proposent un antivirus avec VPN inclus. Voici ce que ces offres apportent vraiment, et leurs limites.
Windows intègre Microsoft Defender par défaut. Suffit-il face aux virus, au phishing et aux ransomwares, ou faut-il un antivirus tiers ?
Une nouvelle fonctionnalité introduite avec iOS 27 (et iPadOS 27) est un paramètre appelé « Détection des risques d’usurpation d’identité », qui vise à vous alerter en cas d’activité suspecte susceptible de vous exposer à une arnaque.
De nos jours, dans la lutte contre les menaces en ligne, les certifications et les années d'expérience ne suffisent plus. Avec l'automatisation renforcée par l’IA, trois compétences prennent le relais.
