Braquage crypto : fausse livraison, vraie prise d'otage

Des individus armés se sont fait passer pour des livreurs de repas pour forcer l’entrée d’un domicile et contraindre les occupants à donner accès à leurs comptes crypto. L’affaire illustre une menace physique croissante pour les détenteurs d’actifs numériques : la fortune sur écran peut devenir une cible bien réelle.

En bref

Les assaillants avaient ciblé la victime en supposant que des actifs numériques significatifs étaient accessibles depuis un ordinateur, un téléphone ou un coffre. Le détail du butin dérobé n’est pas connu à ce stade. Ce type d’attaque - dit de « wrench attack » dans le milieu de la sécurité - contourne entièrement le chiffrement : pas besoin de pirater un wallet quand on peut menacer son propriétaire.

Comment l’arnaque à la livraison a-t-elle fonctionné ?

La technique est simple et redoutablement efficace. Les assaillants ont sonné à la porte en se présentant comme des livreurs de repas. Une fois la porte entrouverte, ils ont forcé l’entrée, armes à la main. Cette ruse exploite un réflexe quotidien - attendre une livraison - pour neutraliser la méfiance de la victime.

Ce scénario s’inscrit dans une tendance documentée. Selon les données de la base de référence physicalbitcoinattacks.com, plus de 200 agressions physiques ciblant des détenteurs de cryptomonnaies ont été répertoriées dans le monde depuis 2014, avec une accélération marquée depuis 2022. Les attaquants n’ont pas besoin de compétences techniques : ils parient sur la coercition physique plutôt que sur l’exploitation d’une faille informatique.

« Contrairement aux arnaques en ligne classiques, ces opérations visent directement la personne, pas le protocole. L’accès au wallet est arraché sous la contrainte, rendant les protections cryptographiques inopérantes. »

Pour les détenteurs d’actifs numériques importants, choisir le bon type de wallet ne suffit plus : la sécurité physique du domicile et la discrétion sur ses avoirs deviennent des variables critiques.

Pourquoi les détenteurs de crypto sont-ils des cibles physiques ?

La nature des actifs numériques crée une vulnérabilité paradoxale. Un portefeuille crypto peut contenir des sommes considérables tout en étant accessible en quelques secondes depuis n’importe quel appareil connecté. Pour un attaquant, forcer une victime à déverrouiller son application ou à révéler sa phrase de récupération est souvent plus rapide et moins risqué que de pirater une plateforme.

La visibilité publique aggrave le risque. Les transactions blockchain sont traçables : des outils d’analyse on-chain permettent d’identifier des adresses détenant des sommes importantes, parfois liées à une identité réelle via les plateformes d’échange. Un achat immobilier réglé en bitcoin, une vente de NFT médiatisée ou une simple indiscrétion sur les réseaux sociaux peut signaler à des criminels qu’une personne détient des actifs conséquents.

Les wallets hardware offrent une couche de protection supplémentaire en imposant une confirmation physique sur l’appareil lui-même - mais ils ne protègent pas contre la contrainte directe si l’attaquant est présent dans la pièce. La sécurité opérationnelle - ne pas révéler le montant de ses avoirs, varier ses routines, ne pas recevoir de colis crypto-liés à son adresse personnelle - reste le premier rempart.

Quelles protections concrètes face aux agressions physiques ?

Plusieurs pratiques réduisent l’exposition sans sacrifier l’accessibilité des actifs.

La fragmentation des avoirs est la mesure la plus efficace : ne jamais conserver l’intégralité de ses fonds sur un seul wallet ou une seule plateforme. Un attaquant qui obtient l’accès à un compte de taille modeste ne peut pas atteindre l’ensemble du patrimoine.

Certains wallets permettent de configurer un mot de passe de contrainte (duress PIN ou passphrase) qui donne accès à un portefeuille leurre contenant une somme limitée - suffisante pour satisfaire un agresseur, sans compromettre les fonds principaux. Ledger et Trezor proposent cette fonctionnalité via la passphrase BIP39, expliquée dans notre guide complet du cold wallet.

La discrétion reste la défense la plus sous-estimée. Ne pas afficher publiquement ses gains, éviter de mentionner ses avoirs crypto dans des cercles non sécurisés, et traiter ses informations financières avec la même réserve qu’un code de carte bancaire : autant de réflexes qui réduisent le risque d’être identifié comme cible.

Enfin, sur le plan juridique, ces actes relèvent du droit commun - extorsion armée, séquestration - et non d’une réglementation crypto spécifique. Les cadres réglementaires en discussion portent sur les exchanges et les prestataires, pas sur la sécurité physique des individus.

À retenir

Les attaques physiques contre les détenteurs de crypto contournent toute protection informatique. Fragmentation des avoirs, discrétion sur ses finances et wallets à passphrase sont les réponses concrètes. À surveiller : la fréquence de ce type d’agression, en hausse depuis 2022, qui pourrait pousser les assureurs à développer des produits spécifiques au patrimoine numérique.