Peut-on voler un NFT ?

Contrairement à votre carte de baseball préférée, un voleur ne peut pas vous arracher un NFT de la main. Mais parlons des risques de sécurité bien réels dans le monde des objets de collection numériques.
Alerte spoiler : si vous êtes venu ici simplement pour savoir si un NFT peut être volé, la réponse courte est oui.

Mais ce que nous entendons quand nous disons « voler » dans le contexte des objets de collection soutenus par la blockchain est quelque chose de très, très différent de, disons, un Mickey Mantle Topps 1952 ou une paire de prototypes Yeezy que vous pouvez tenir dans vos mains.

Dans la plupart des cas (pas tous !), nous pouvons répartir le vol de jetons non fongibles en deux grandes catégories (ou une combinaison des deux) :

• Les tromperies par lesquelles les utilisateurs sont incités à transférer leurs actifs ou à donner accès à l’intégralité de leurs portefeuilles de crypto-monnaies.
• L’exploitation des failles de sécurité d’une plateforme NFT ou d’une autre communauté en ligne.
• Il est essentiel de noter que l’erreur ou la négligence d’un utilisateur peut contribuer au vol d’actifs cryptographiques dans les deux cas – et pas seulement dans le premier – bien que les deux cas ne soient pas identiques.

Il y a beaucoup de choses à démêler. Heureusement, vous avez des questions et Boardroom a des réponses.

Les pirates peuvent-ils voler mes NFT ?

Tout dépend de votre définition du terme « hacker ».

En raison des principes distribués et décentralisés qui sont à la base de la technologie cryptographique, il n’est pas possible de « pirater » l’ensemble du réseau blockchain sur lequel reposent vos NFT de la même manière que l’on pirate votre courrier électronique ou votre compte Amazon. Il faudrait probablement un changement de paradigme dans la façon dont nous comprenons la sécurité de l’information et les menaces numériques – et peut-être une puissance de calcul époustouflante – pour intérioriser ce que cet hypothétique pirate Web3 est et fait.

Pour l’instant, le terme le plus exact pour désigner le voleur de NFT est un terme familier : escroc.

Plus précisément, celui qui trompe un utilisateur pour qu’il ouvre son propre porte-monnaie.

Tromper les utilisateurs pour qu’ils donnent accès à leurs portefeuilles de crypto-monnaies
Il n’est pas nécessaire de pirater un canal Discord pour s’emparer d’un NFT qui n’est pas le vôtre. Certains utilisateurs ont été trompés par de faux acheteurs potentiels de manière beaucoup plus flagrante :

Ailleurs, de nombreux canaux de discussion ont inévitablement fait leur apparition en se faisant passer pour le « support OpenSea » ou d’autres services apparemment utiles pour les propriétaires de NFT de toutes sortes.
Pourquoi Discord est-il une cible si fréquente pour ce genre de tromperies ? Parce que ces communautés insulaires et soudées sont peut-être le dernier endroit où un amateur de crypto-monnaies à collectionner ressent le besoin de rester sur ses gardes.

Bon nombre de ces communautés ont pris conscience de ces possibilités et ont adapté les règles, les privilèges et les protections en conséquence. Mais des risques subsistent.

Peut-on voler un NFT sans piéger son propriétaire au préalable ?

Dans l’ensemble, la majorité des cas de « vol » de NFT que vous êtes susceptible de voir sont le produit d’escroqueries et de tromperies qui sont beaucoup, beaucoup plus anciennes que le monde de la technologie blockchain – et dans certains cas, qu’Internet lui-même. Mais ce n’est pas toute l’histoire.

SCÉNARIO 1 : problèmes de cybersécurité sur les plateformes NFT

Nifty Gateway, une place de marché numérique populaire appartenant à l’exchange de cryptomonnaies Gemini, a été victime d’un piratage total en mars 2021, au cours duquel plusieurs utilisateurs se sont fait voler leur compte, se sont retrouvés bloqués et ont assisté au pillage de leurs actifs NFT lors d’un vol à l’ancienne.

Ce n’est pas ce que nous verrons par la suite chez Discord, mais au moins un principe est le même : il ne s’agit pas de pirater directement le portefeuille de crypto-monnaies de quelqu’un, mais plutôt d’exploiter une plateforme distincte à laquelle de nombreux portefeuilles de crypto-monnaies sont liés.

À ce jour, l’idée qu’un acteur malveillant puisse pirater une blockchain entière comme s’il s’agissait d’un réseau informatique gouvernemental ou d’un réseau électrique reste inconcevable.

Mais l’essentiel est qu’il ou elle n’a pas à le faire.

Les problèmes de cybersécurité de Nifty qui ont conduit à l’événement de l’année dernière ont été résolus. Mais le fait qu’il se soit produit est surprenant et témoigne de l’une des principales pierres d’achoppement de la transition du Web2 au Web3.

SCÉNARIO 2 : Les méchants ont obtenu votre phrase de démarrage

Vous avez besoin de deux choses pour accéder à un porte-monnaie électronique. Plus précisément, deux clés cryptographiques – une clé publique qui chiffre les données et une clé privée qui les déchiffre.

Chaque portefeuille possède également une « phrase d’amorçage » correspondante, également appelée « phrase de récupération », une chaîne de 12 ou 24 mots qui permet à un utilisateur de récupérer les actifs cryptographiques qu’il possède sur une blockchain même s’il perd l’accès à son portefeuille. En d’autres termes, la phrase d’amorçage génère les clés cryptographiques nécessaires pour confirmer l’identité du « vrai » propriétaire.

C’est pourquoi les phrases d’amorçage ne sont pas censées être stockées sur votre téléphone, dans votre boîte aux lettres électronique ou dans tout autre endroit qui ne soit pas totalement sécurisé (c’est pourquoi beaucoup choisissent de les écrire sur une feuille de papier ordinaire). Mais si quelqu’un mettait la main sur votre phrase de semence en piratant votre téléphone ou votre messagerie ou simplement en prenant une photo du morceau de papier sur lequel vous l’avez écrite… c’est fini.