Hack de Platypus Finance : la police arrête deux suspects français

La police française a arrêté, le 22 février 2023, deux frères de 18 et 20 ans, soupçonnés d’être derrière la cyberattaque dont Platypus Finance a été victime. Le 16 février 2023, la plateforme de gestion de cryptoactifs annonçait avoir subi un vol de 9 millions de dollars de cryptomonnaie.

L’aîné des deux frères serait l’auteur de la cyberattaque. Il a été mis en examen pour « accès et maintien frauduleux dans un système de traitement automatisé de données », d’escroquerie et de blanchiment. Son jeune frère est uniquement poursuivi pour recel d’escroquerie.

Le piratage a ciblé le système de flash loans de Platypus Finance, ces prêts instantanés de cryptomonnaies proposés par la plupart des plateformes de cryptoactifs. Un flash loan permet à un utilisateur de disposer de fortes sommes, qu’il doit rembourser après quelques minutes. Ce système permet des coups financiers audacieux, sans avoir à engager directement du cash.

Un attaque de type flash loan exploite une vulnérabilité logicielle pour détourner les fonds empruntés. Le jeune pirate aurait ainsi exploité une faille dans le système de Platypus Finance pour activer le retrait en urgence.

Interrogé par les enquêteurs de l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC), il prétend avoir agi en hacker éthique. Il affirme n’avoir cherché qu’à vérifier que la vulnérabilité pouvait être exploitée, afin de la signaler à Platypus Finance.

Selon Christophe Durand, le chef adjoint de l’OCLCTIC, le pirate informatique amateur aurait d’ailleurs fait des erreurs de programmation. La majorité des fonds volés, l’équivalent de 9 millions de dollars, a ainsi échappé à son contrôle. Ces fonds sont désormais bloqués dans des contrats intelligents, et sous le coup d’une saisie de la justice française.

Platypus Finance a de son coté réussi à récupérer l’équivalent de 2 millions de dollars. Les deux pirates informatiques n’auraient donc mis la main que sur 270 000 dollars. La police a retrouvé une clé Ledger leur appartenant, contenant l’équivalent de 210 000 dollars en cryptoactifs. Les deux suspects seront jugés par le tribunal correctionnel de Paris, à une date encore inconnue.