ZachXBT réclame des sanctions plus sévères contre les usurpateurs d'identité SIM, cite l'affaire d'un hacker adolescent

ZachXBT exige de véritables conséquences après avoir tracé l'identité d'un adolescent qui a volé 37 millions de dollars en crypto-monnaies sans être exposé publiquement pendant des années.

Dans un post dominical sur X post, Zach a déclaré que les lois au Canada et dans l'UE sont trop indulgentes, surtout lorsque des hackers mineurs sont impliqués dans des crimes comme l'usurpation d'identité SIM (SIM swapping) et le hameçonnage. Il a directement pointé du doigt Cameron Redman, un Canadien qui a usurpé l'identité SIM d'une victime pour des millions à l'âge de 17 ans, puis a été inculpé discrètement, son nom et son visage restant cachés jusqu'à ce que Zach les expose.

Selon Zach, « Cameron Redman a aidé à usurper l'identité SIM de 37 M$ en 2020 alors qu'il avait 17 ans. Aucune mention de son nom complet ou de sa photo sur Internet jusqu'à ce que je la publie après qu'il se soit impliqué dans le hameçonnage et les prises de contrôle de comptes X (ATO). Aucune raison pour laquelle son nom aurait dû être protégé ou caché. »

Redman s'est tiré avec des millions avant l'intervention de la police

L'attaque a eu lieu le 22 février 2020, lorsque Redman a usurpé l'identité SIM de Josh Jones, un investisseur crypto précoce, et a pris le contrôle de son numéro. Cela lui a permis de contourner la sécurité liée aux portefeuilles de Josh. Redman a vidé 1 547 Bitcoins et 60 000 Bitcoin Cash de deux portefeuilles BTC et d'une adresse BCH.

Après le vol, Redman a commencé à blanchir le BCH à travers des centaines de micro-transactions, les envoyant vers des échanges centralisés pour tenter de couvrir ses traces. Zach a publié le graphique ci-dessous montrant comment les tokens volés ont circulé à travers la blockchain, se retrouvant principalement sur seulement deux échanges.

Lorsque la police est intervenue, la majeure partie de l'argent avait déjà été dispersée.

Ce n'est que le 17 novembre 2021 que Redman a été officiellement inculpé par la police de Hamilton en Ontario, avec le soutien du FBI et du Service secret des États-Unis. Les agents ont pu saisir 5,4 millions de dollars en crypto-monnaies, mais le reste – 31,5 millions de dollars – n'a jamais été récupéré. Au moment de son arrestation, Redman était encore légalement mineur, ce qui signifiait que son nom restait scellé et que sa photo n'a pas été diffusée.

Zach a déclaré que le secret fait partie du problème. Il estime que l'identité de Redman aurait dû être rendue publique une fois qu'il aurait prétendument passé au hameçonnage et au piratage de comptes X. Ces prises de contrôle auraient causé des millions de pertes parmi les abonnés qui faisaient confiance aux profils liés aux NFT piratés et ont été trompés pour remettre leurs identifiants de portefeuille.

L'usurpation d'identité SIM explose et la criminalité organisée est impliquée

La frustration de Zach ne concerne pas un seul hacker. Les usurpations d'identité SIM se développent rapidement, en particulier en 2024 et 2025. Le Royaume-Uni a enregistré une augmentation de 1 055 % des cas par rapport à l'année précédente, passant de 289 à 2 985 incidents. Aux États-Unis, le FBI a enregistré 68 millions de dollars de pertes liées aux usurpations SIM en 2021, suivis de 48,8 millions de dollars en 2023 pour plus de 1 000 victimes, puis de 82 millions de dollars en 2024.

Les dégâts sont suffisamment graves pour que des groupes de criminalité organisée, y compris ceux liés à la Mafia italienne, utilisent désormais les usurpations SIM pour commettre des vols de plusieurs millions de dollars.

La méthode est peu technologique mais puissante. Les pirates volent suffisamment d'informations personnelles – par hameçonnage, violations de données ou réseaux sociaux – pour tromper les fournisseurs de téléphonie mobile afin qu'ils transfèrent le numéro de quelqu'un. Une fois qu'ils le contrôlent, ils interceptent les codes d'authentification à deux facteurs (2FA) envoyés par SMS, verrouillent les utilisateurs hors de leurs comptes et commencent à vider les portefeuilles crypto et les comptes bancaires.

Les résultats peuvent être brutaux. Les victimes ont perdu des dizaines de milliers de dollars, ont subi un vol d'identité et se sont retrouvées accablées de dettes frauduleuses. Une personne au Royaume-Uni a vu 50 000 £ effacés sur différents comptes. Une autre a été touchée par 2 200 £ de fausses factures.

Même Jack Dorsey, fondateur et ancien PDG de Twitter, a vu son compte piraté en 2019 en utilisant cette tactique. En 2018, un investisseur crypto a perdu 23,8 millions de dollars d'un coup suite à une usurpation SIM similaire.

Bien que la technologie eSIM réduise les risques physiques, elle n'a pas résolu le problème car la véritable faiblesse reste l'erreur humaine et l'ingénierie sociale. Les experts technologiques recommandent d'utiliser des applications d'authentification comme Google Authenticator, qui sont plus sûres que de compter sur l'authentification à deux facteurs par SMS.

Ils suggèrent également de définir des codes PIN personnalisés auprès des opérateurs, de partager moins d'informations en ligne et de réagir rapidement si une usurpation est suspectée. Cela signifie geler les comptes, contacter l'opérateur et surveiller les journaux de transactions. Mais même avec tout cela, les criminels continuent de s'adapter et les systèmes en place ne sont pas assez solides pour les arrêter complètement.