Entre code et conscience : un validateur Ethereum prévoit de poursuivre Lido et Stakefish devant la cour fédérale américaine pour des fonds volés

En avril 2023, les utilisateurs expérimentés de cryptomonnaies ont vu leurs portefeuilles vidés d'Ether et d'autres actifs numériques, des pertes qui ont dépassé 250 millions de dollars à la mi-2024 et continuent d'augmenter. Cette activité a laissé les enquêteurs avec peu de preuves, suggérant une campagne ciblée à travers de nombreux portefeuilles et plateformes. Plus de deux ans plus tard, les attaquants et leurs méthodes restent inconnus.

Aleksey Trofimchuck, un utilisateur de cryptomonnaies de longue date, a vu son portefeuille vidé de près de 2,2 millions de dollars en ETH (selon la valeur actuelle), effaçant ses soldes et les récompenses de staking de ses neuf validateurs. Après avoir retracé les mouvements de ses fonds, Trofimchuck allègue que deux grands fournisseurs de staking, Lido et Stakefish, étaient impliqués dans les transactions et qu'il prévoit désormais de poursuivre les deux fournisseurs devant un tribunal fédéral américain. 

Selon le procès à venir, Lido et Stakefish ont conservé environ 10 % de frais de service de validateur et redistribué le reste à leurs clients de staking. Trofimchuck soutient qu'ils ont tiré profit des produits du piratage et des transactions ultérieures. 

Trofimchuck a déclaré : « Pouvez-vous imaginer à quel point c’est néfaste [que] vous preniez des frais d’environ 1,25 million de dollars en tant qu’intermédiaire auprès de quelqu’un qui a été forcé d’envoyer une transaction avec des frais de 100 % vers une adresse qu’il ne reconnaît pas ? Ensuite, ils invoquent la neutralité comme défense ! C’est ce que Lido et Stakefish ont fait, et je m’engage à découvrir la vérité. »

Éthique vs neutralité DeFi

Les deux plateformes de staking ont invoqué la neutralité DeFi, arguant qu’elles ne pouvaient pas censurer les transactions ou restituer sélectivement les récompenses. Cependant, les critiques estiment que cette position contraste avec celle d’autres acteurs de l’industrie. Kraken, basé aux États-Unis, a volontairement aidé à restituer environ 2 millions de dollars aux victimes sous surveillance réglementaire, renforçant l’avis des experts juridiques selon lequel les tribunaux pourraient passer outre le principe « le code est la loi » lorsque les intermédiaires tirent profit de fonds contaminés. 

En revanche, Lido et Stakefish affirment ne pas pouvoir aider les victimes comme Trofimchuck : Lido par le biais de la gouvernance DAO et Stakefish par son infrastructure non custodiale. Stakefish a indiqué à Trofimchuck qu’elle avait une « obligation envers nos stakers », une position que les critiques considèrent comme faire semblant de ne pas voir l’origine des fonds. 

Salman Ravala, avocat en contentieux commercial et professeur de droit adjoint, a déclaré que la loi laisse peu de place à l'ambiguïté. « Les entités ne doivent pas conserver ou tirer profit des actifs volés. Indépendamment de la gouvernance interne ou des attentes des détenteurs de tokens, les obligations de lutte contre le blanchiment d'argent (AML) et l'impératif d'éviter l'enrichissement sans cause sont primordiaux. »

D'autres mettent en garde contre la complexité du problème. Igor B. Litvak, Esq., avocat spécialisé en cybercriminalité et en défense pénale, a commenté : « En droit pénal, il ne suffit pas de déclarer les fonds « volés » et d'en exiger le retour. Jusqu'à ce qu'un tribunal se soit prononcé, les entités risquent une responsabilité grave en agissant unilatéralement. La voie la plus sûre et légale consiste à geler ou à signaler les actifs dans la mesure du possible, à informer les forces de l'ordre et à n'agir que sur ordre du tribunal. »

Responsabilité sélective

La neutralité peut être flexible lorsqu'une victime de piratage dispose d'un levier moral. ParaSwap DAO, un agrégateur de DEX DeFi similaire à Lido, a outrepassé ses propres règles de gouvernance pour rendre les fonds à la grande plateforme d'échange Bybit. La décision a été présentée comme une réponse au groupe de piratage nord-coréen, le groupe Lazarus. Mais lorsque la victime est un détenteur individuel de cryptomonnaies, le silence est plus courant.

Tests juridiques de la neutralité DeFi

Le procès conteste également la défense récurrente de la DeFi selon laquelle les protocoles ne peuvent pas être poursuivis car ils ne sont pas des entités juridiques. Dans une affaire précédente, un juge du tribunal de district américain a rejeté la prétention de Lido selon laquelle il n'« existe » pas sous une forme juridiquement reconnaissable, permettant aux réclamations de se poursuivre et signalant que les DAO et leurs soutiens restent exposés à la responsabilité. Trofimchuck pointe également les remboursements passés de Stakefish à Lido après des erreurs matérielles comme preuve que la restitution est possible « lorsqu'elle le souhaite ».

L’éthique DeFi en procès 

Trofimchuck cherche à récupérer ses 1,6 million de dollars, ainsi que les frais et honoraires d’avocat. « La décentralisation n’est pas une carte blanche pour ignorer la criminalité », a ajouté Ravala. Trofimchuck exhorte également d’autres victimes à déposer des plaintes auprès du FBI et de la SEC, arguant qu’une action collective pourrait être nécessaire pour obtenir des clarifications. 

Alors que ce procès prend forme, l’écosystème Web3 plus large fait face à un choix : rester les bras croisés et permettre l’absolutisme décentralisé, ou accepter que l’éthique et la loi s’appliqueront toujours lorsque des personnes sont impliquées.