THORChain pourrait-il faire l’objet de poursuites concernant les fonds volés à Bitget ? Avis juridique

Après que des hackers nord-coréens présumés ont exploité la plateforme d'échange crypto Bitget à hauteur de 387,5 millions de dollars la semaine dernière, les enquêteurs ont pu rapidement signaler et retracer les adresses destinataires. 

Le PDG de Bitget, Gracy Chen, a ensuite demandé, de manière controversée, à la plateforme décentralisée d'échanges inter-chaînes THORChain de « refuser le service à ces adresses ».

THORChain a répondu :

« THORChain est décentralisée et sans permission, comme Bitcoin, Ethereum et BNB Chain. Quelle responsabilité Bitcoin, Ethereum et BNB Chain devraient-ils assumer lorsqu'ils traitent des fonds dont le vol est avéré ? »

Cette décision a été controversée, d'autant plus que le protocole avait été immédiatement suspendu en mai lorsque 10,7 millions de dollars de ses propres fonds avaient été exploités. Pour compliquer encore les choses, THORChain a retiré sa clé d'administration et affirme ne pas disposer d'un moyen simple de censurer les adresses, même si elle le souhaitait.

Source : THORChain

Cette controverse précise s'était déjà produite : THORChain avait été utilisée pour échanger environ 1,2 milliard de dollars des fonds volés lors du piratage de Bybit, d'un montant de 1,46 milliard de dollars. Il se trouve que la clé d'administration de THORChain avait été retirée seulement 11 jours auparavant.

NEAR Intents a adopté l'approche opposée à celle de THORChain. Son programme automatisé SHIELD a empêché les adresses liées au piratage d'échanger 50 millions de dollars sur la plateforme et a même refusé la prime de 5 % que Bitget proposait pour cette action.

NEAR Intents est désormais la cible des maximalistes de la décentralisation, qui lui reprochent de ne pas être suffisamment sans permission.

Pour examiner les questions juridiques liées à cette affaire, Magazine s'est entretenu avec Yuriy Brisov, de D&A Partners. Il s'agit d'une version remaniée de la conversation.

Magazine : Bitget a demandé à THORChain de bloquer les fonds liés au piratage, et la plateforme a répondu qu'elle était décentralisée et sans permission. Est-ce une défense juridique ? A-t-elle l'obligation de bloquer ces adresses ?

Brisov : Cela dépend du niveau de décentralisation. Ainsi, lorsqu'ils font cela — lorsqu'ils bloquent certaines adresses — ils montrent que leurs nœuds ne sont pas véritablement décentralisés. C'est une bonne chose pour la communauté lorsqu'ils peuvent utiliser ce pouvoir pour empêcher certaines activités malveillantes. Cependant, dans le même temps, ils s'exposent à toute autre action en justice. Leur seule protection est : « nous sommes décentralisés ».

Dans l'affaire Uniswap, ils ont dit : « nous sommes véritablement décentralisés et nous ne pouvons rien faire ». [Des investisseurs ont poursuivi Uniswap après avoir acheté 38 tokens de type « rug pull » et frauduleux, mais un juge a rejeté l'affaire en mars — NDLR.]

Et c'est la défense la plus solide pour tout protocole DeFi. S'ils montrent qu'ils peuvent bloquer, contrôler ou interférer d'une quelconque manière — même dans une tentative de bonne foi visant à empêcher une fraude — ils s'exposent malgré tout à ce type d'actions. Si vous avez le contrôle, alors peut-être que celui-ci ne devrait pas se limiter aux seuls cas de fraude manifeste. Vous devriez sous-entendre [un contrôle sur] les questions de diligence raisonnable. Vous devriez appliquer des mesures de protection KYC et AML.

À lire aussi : Uniswap échappe à une action collective l'accusant d'avoir facilité des « rug pulls » crypto

Magazine : NEAR Intents a bloqué ces adresses, et Bitget l'en a remerciée. Cela signifie-t-il que NEAR a montré qu'Intents n'est pas décentralisée et devra donc intervenir dans de nombreuses autres situations ?

Si vous montrez que vous contrôlez des actifs, vous vous exposez potentiellement à toutes les actions possibles concernant des mécanismes de « pump and dump », la volatilité ou toute autre action potentielle intentée par des investisseurs qui auraient subi un préjudice. Ils peuvent désormais dire que vous avez le contrôle. Pourquoi l'utilisez-vous dans un cas et pas dans un autre ? Pourquoi ne vérifiez-vous pas tous les émetteurs de vos tokens sur votre plateforme ? Pourquoi ne fournissent-ils pas de formulaires KYC comme sur toute plateforme d'échange centralisée ? 

Source : Gracy Chen

Magazine : THORChain affirme que la suspension du protocole en mai a d'abord été déclenchée par un système automatisé et qu'elle n'a pas la capacité de bloquer certaines adresses. Si c'est vrai, est-ce une défense ?

Brisov : C'est possible. Nous ne le savons pas encore, car cela n'a pas encore été contesté. Mais toute forme de contrôle affaiblit tout projet DeFi vis-à-vis de tout demandeur.

Magazine : D'un autre côté, le protocole pourrait mettre à niveau le logiciel s'il souhaitait bloquer certaines adresses. Un projet pourrait-il avoir des ennuis juridiques pour imprudence ou négligence s'il n'impose pas une telle mesure ?

Cela dépend de la manière dont cela a été fait sur le plan technique. Imaginons qu'il existe un oracle capable de détecter toute adresse IP nord-coréenne et de la bloquer automatiquement, sans personne assise devant un bouton pour dire : « il y a un hacker nord-coréen, bloquons-le ». Alors, c'est acceptable.

S'il existe une équipe qui supervise la situation et dit : « D'accord, nous voyons qu'il s'agit d'une activité illicite, nous bloquons ces adresses, nous appuyons manuellement sur le bouton », alors, du point de vue juridique, même s'il s'agit d'un acte positif qui profite à la communauté, le projet n'est toujours pas entièrement décentralisé et il perd la protection que des réglementations comme MiCA [législation européenne sur les marchés de crypto-actifs] ou l'interprétation générale de la SEC et de la CFTC offrent : si vous êtes entièrement décentralisé, vous ne pouvez pas être tenu responsable des actes des participants de votre écosystème.

Source : Alex Shevchenko

Magazine : La technologie de NEAR s'appelle SHIELD et il s'agit d'un processus automatisé qui identifie les adresses associées à des piratages connus sur des blockchains publiques, puis les empêche automatiquement d'accéder à Intents. Cela signifie-t-il qu'elle a davantage de chances d'être considérée comme décentralisée ?

Brisov : Certainement. Ils montrent qu'ils sont des acteurs de bonne foi qui cherchent à [ajouter] des mesures de protection à leurs protocoles. Il n'y a pas d'équipe de conformité ni de personnes chargées de contrôler manuellement le fonctionnement. C'est une solution intelligente et c'est ce que nous recommandons à toutes les entreprises DeFi.

Magazine : En février 2025, THORChain a désactivé la clé d’administration qui permettait à l’équipe principale d’effectuer ce type de changements unilatéraux. En l’absence de clé d’administration et compte tenu du fait que le réseau compte une centaine de validateurs, est-il suffisamment décentralisé ?

Brisov : C’est plus probable que l’inverse, mais nous ne pouvons pas l’affirmer avec certitude. Je dirais que oui.

Magazine : THORChain n’est pas un mixer. Vous pouvez échanger les fonds volés à Bitget sur THORChain, mais lorsqu’ils ressortiront de l’autre côté, ils resteront manifestement liés aux hackers de Bitget. En quoi cela correspond-il à la définition du blanchiment d’argent ? Ou s’agit-il de recel ?

Brisov : Je ne vois pas comment ils pourraient être responsables de blanchiment d’argent, car même Tornado Cash, qui a dans une certaine mesure été conçu pour blanchir de l’argent [a échappé aux sanctions américaines, puisque les contrats intelligents immuables ne constituent pas des biens susceptibles d’être sanctionnés en matière de blanchiment d’argent — NDLR].

Le droit américain considère qu’une chose est soit un bien, soit ne l’est pas. Et le blanchiment d’argent consiste à faire circuler illégalement un bien par les circuits légaux. Vous tirez des produits d’une activité illicite, et c’est un bien, puis vous le faites passer par certains circuits et essayez de le rendre légal. Mais les contrats intelligents ne sont pas du tout des biens. Vous ne les contrôlez pas. Vous ne les possédez pas. C’est ainsi que Tornado Cash a obtenu gain de cause devant la justice concernant les sanctions de l’OFAC. Ils ont simplement prouvé qu’ils n’avaient aucun contrôle sur leurs contrats intelligents.

Magazine : Le piratage de Bybit a eu lieu il y a 18 mois. Cela signifie-t-il qu’aucune action en justice ne sera engagée contre THORChain, ou bien ces affaires prennent-elles simplement beaucoup de temps ?

Brisov : Cela pourrait tout à fait arriver à l’avenir. Après l’affaire Bybit, ils se sont sérieusement exposés à d’éventuelles réclamations. 

Magazine : Grandes questions : Satoshi possède-t-il réellement 1,1 million de Bitcoin ?