Entretien exclusif avec un membre du comité de sécurité d’Arbitrum : Pourquoi avons-nous activé les « privilèges divins » afin de geler 72 millions de dollars volés par des pirates nord-coréens ?
TechFlow SélectionTechFlow Sélection
Entretien exclusif avec un membre du comité de sécurité d’Arbitrum : Pourquoi avons-nous activé les « privilèges divins » afin de geler 72 millions de dollars volés par des pirates nord-coréens ?
Si le gel des fonds nord-coréens pouvait rapporter de l’argent à Circle, ils le feraient certainement.
Dédié à des analyses Web3 approfondiesRédaction et traduction : TechFlow
Invité : Griff Green, membre du Comité de sécurité d’Arbitrum
Animé par : Zack Guzman
Source du podcast : Coinage
Titre original : Pourquoi Arbitrum a décidé de récupérer les 72 millions de dollars volés par la Corée du Nord
Date de diffusion : 23 avril 2026
Introduction rédactionnelle
Ces derniers jours, l’écosystème Ethereum et l’ensemble du secteur cryptographique se sont concentrés sur l’attaque subie par Kelp DAO (un protocole de ré-staking de liquidités), qui a également affecté Aave (une plateforme décentralisée de prêt).
Le Comité de sécurité d’Arbitrum a fait usage de ses pouvoirs d’urgence pour geler et récupérer environ 72 millions de dollars d’actifs depuis des adresses présumément contrôlées par des pirates nord-coréens. Il s’agit de la première fois dans l’industrie cryptographique qu’une couche 2 (L2) active ce que certains appellent des « pouvoirs divins » afin de bloquer les fonds associés à une adresse donnée. Avant cet épisode de podcast, les avis au sein de la communauté étaient partagés : bien que la décision prise par Arbitrum soit largement jugée juste, le simple fait qu’une chaîne puisse disposer de la capacité de transférer les actifs détenus à une adresse spécifique suscite des interrogations quant à ses limites fonctionnelles et à son caractère décentralisé.
L’invité de cet épisode est Griff Green, l’un des membres du Conseil de sécurité d’Arbitrum habilité à prendre une telle décision. Par ailleurs, Griff était lui-même un témoin direct de l’attaque contre The DAO en 2016 et l’un des promoteurs du hard fork d’Ethereum. Dans cet entretien, il critique ouvertement Circle (l’émetteur de USDC), accusé de « ne pas agir » face à l’attaque menée par la Corée du Nord, et oppose cette inertie aux actions proactives de Tether — notamment ses gel de fonds nord-coréens — estimant que la logique décisionnelle de Circle est entièrement dictée par des considérations comptables.
Citations marquantes
« L’immuabilité » des blockchains est une idée reçue
- « Les gens pensent que les blockchains sont immuables, alors qu’en réalité, leur fonctionnement repose sur un consensus social. Si tout le monde accepte une mise à jour du protocole, les règles peuvent être modifiées — c’est le cas d’Ethereum comme de Bitcoin. »
- « C’est pourquoi certains membres de la communauté Bitcoin discutent aujourd’hui de la possibilité de geler les jetons appartenant à Satoshi Nakamoto. Cela est techniquement tout à fait faisable, car une blockchain n’est pas absolument immuable : elle est simplement régulée par des règles. »
Le véritable fondement de la décentralisation réside dans le comportement du marché
- « Si les gens désapprouvent notre décision, ils vendront leurs jetons. S’il arrivait que le réseau Bitcoin s’organise pour voler de l’argent aux utilisateurs, les détenteurs vendraient évidemment massivement. Le fondement réel de la décentralisation est le comportement du marché, dont le rôle dans ce genre de situation est gravement sous-estimé. »
- « Franchement, personne ne nous reprocherait de ne rien faire. Ne rien faire comporte presque aucun risque ; il faut donc avoir un peu de courage pour entreprendre quelque chose. »
Le mode opératoire des pirates nord-coréens
- « La Corée du Nord attaque rarement au niveau des contrats intelligents. Dans la plupart des cas, ce n’est pas le code qui est visé, mais les personnes. Grâce à l’ingénierie sociale, les pirates identifient les détenteurs de clés disposant de privilèges spécifiques, puis obtiennent un accès à leurs ordinateurs et à leurs clés. »
- « Je ne sais pas pourquoi ils ont laissé les fonds bloqués sur une même adresse pendant deux jours sans les déplacer. Peut-être avaient-ils travaillé trois jours d’affilée, pris leur dimanche, puis été en retard lundi. C’est cette fenêtre temporelle qui nous a permis d’agir. »
Comparaison entre Circle et Tether
- « Je le dis très clairement : il n’y a manifestement personne de bien chez Circle, puisqu’ils choisissent systématiquement de ne rien faire. En revanche, Tether gèle régulièrement les fonds nord-coréens, et le montant total récupéré dépasse largement les 70 millions de dollars. »
- « Circle n’a pas de racines natives dans la crypto : son origine remonte à Goldman Sachs. Sa logique décisionnelle est donc purement comptable : “Est-ce que cela fera-t-il bonne impression sur nos états financiers ?” S’il pouvait en tirer profit, Circle gèlerait sans hésiter les fonds nord-coréens. »
La sécurité constitue le principal obstacle à l’adoption concrète de la technologie cryptographique
- « Avec les technologies disponibles aujourd’hui, nous sommes parfaitement capables de concevoir des solutions plus sûres que PayPal ou que les banques. Il suffit de reprendre les infrastructures bancaires et celles de PayPal, d’en supprimer l’intermédiaire centralisé et d’en proposer une version non-custodiale : la technologie est déjà mature. »
- « Je ne connais personne dont le compte bancaire aurait été vidé suite à une tentative de phishing. En revanche, je connais de nombreuses personnes ayant perdu leurs actifs cryptographiques après avoir été victimes de phishing. »
- « Je construis depuis longtemps dans l’intérêt général, cherchant à créer des outils meilleurs que ceux fournis par les gouvernements. Mais je me heurte constamment au même obstacle : cette technologie n’est pas encore assez sûre pour un usage quotidien par le grand public. »
L’activation des « pouvoirs divins »
Zack Guzman : Beaucoup suivent attentivement l’évolution de cette affaire, et les débats ne cessent pas. Commençons par présenter la structure du Comité de sécurité d’Arbitrum. Vous en êtes membre, et vous avez vous-même qualifié cette décision de très grave dans l’un de vos messages. Pourriez-vous nous raconter comment tout cela s’est déroulé ?
Griff Green : Kelp DAO a été attaqué. Il reste encore à déterminer si la responsabilité incombe principalement à Kelp DAO ou au protocole de messagerie interchaînes LayerZero, mais l’impact s’est bel et bien étendu à Aave. Il s’agissait d’une attaque ciblant un pont interchaînes : environ 300 millions de dollars de jetons, initialement détenus sur la couche 2, ont été dérobés via ce pont, puis déposés sur le réseau principal Ethereum et sur Arbitrum afin d’être utilisés comme garantie sur Aave pour emprunter de l’ETH.
Une fois en possession de l’ETH, les pirates nord-coréens l’ont laissé dormir plusieurs jours dans leur portefeuille, créant ainsi une fenêtre temporelle pour coordonner une réponse. Arbitrum, étant encore un rollup en phase de développement (« Stage 1 » — doté de certaines garanties de sécurité, mais pas encore pleinement décentralisé), dispose d’un Comité de sécurité. Ce dernier fonctionne selon un schéma multi-signature « 9 sur 12 » (9 signatures requises parmi 12 membres). En collaboration avec l’équipe de Seal 911 (une organisation spécialisée dans la réponse d’urgence aux incidents de sécurité dans le domaine cryptographique), nous avons utilisé ces pouvoirs d’urgence pour transférer les fonds depuis les adresses contrôlées par les pirates nord-coréens vers une nouvelle adresse inaccessible pour eux, effectuant ainsi un gel technique.
Les fondements des blockchains
Zack Guzman : Je ne connaissais pas ce seuil requis de « 9 sur 12 », et beaucoup d’autres non plus. Apparemment, vous ne souhaitiez pas non plus que les pirates nord-coréens soient informés de l’existence de cette fonctionnalité.
Griff Green : En réalité, cette information est totalement publique. Je pense que de nombreuses personnes entretiennent des idées fausses sur la technologie blockchain. Ses fondements résident dans le code source ouvert, les nœuds exécutés sur des serveurs et le consensus social.
Mon premier projet fut The DAO. Nous avions collecté 150 millions de dollars, puis subi une attaque. Pour en savoir plus, je recommande la lecture de l’ouvrage The Cryptopians de Laura Shin, qui y consacre 100 pages. Finalement, nous avons procédé à un hard fork sur le réseau Ethereum, accomplissant une action très similaire à celle réalisée ici sur Arbitrum : enfreindre les règles sans l’accord des pirates, afin de retirer les fonds de leur portefeuille.
Cela peut se faire sur Ethereum, sur Bitcoin, et sur toute autre chaîne. Car une blockchain repose essentiellement sur un consensus social : aujourd’hui, certains membres de la communauté Bitcoin débattent précisément de la possibilité de geler les jetons de Satoshi Nakamoto — ce qui serait possible si l’ensemble de la communauté y consentait.
Sur Arbitrum, la procédure diffère légèrement : il n’est pas nécessaire de convaincre tous les opérateurs de nœuds du réseau. Deux voies sont possibles : soit les détenteurs de jetons ARB votent pour autoriser l’opération, soit le Comité de sécurité peut intervenir immédiatement grâce à sa signature « 9 sur 12 » en cas d’urgence. Jusqu’à présent, les pouvoirs du Comité de sécurité avaient uniquement servi à corriger des bogues ou à mettre à jour le protocole ; jamais ils n’avaient été mobilisés pour geler des fonds. À ma connaissance, il s’agit de la première fois qu’une grande L2 procède à un gel de fonds sur la chaîne.
Comparaison entre deux événements
Zack Guzman : Vous avez vécu à la fois l’attaque contre The DAO et cet événement récent. Quelles sont vos impressions lorsqu’on les compare ?
Griff Green : Cette fois-ci, c’était nettement plus facile. The DAO était mon propre projet, et 150 millions de dollars avaient été volés — une pression bien plus forte. Ici, je n’ai personnellement subi aucune perte financière : j’ai simplement participé, en tant que membre du Comité de sécurité, pour aider à résoudre la crise.
Par ailleurs, les infrastructures sont aujourd’hui bien plus développées, ce qui permet d’identifier bien plus rapidement ce qui s’est produit. Lors de l’attaque contre The DAO, nous ignorions totalement l’identité des pirates. Cette fois-ci, Seal 911 a pu collaborer avec le FBI et identifier quasi certainement les auteurs comme étant des pirates nord-coréens. Nous avons bénéficié, grâce aux réseaux informels tissés au fil des années, d’informations provenant de sources extérieures à l’écosystème.
Débat autour des enjeux clés
Zack Guzman : Lors des délibérations, l’option de ne pas agir revenait à laisser la Corée du Nord conserver ces fonds. À l’inverse, certains craignaient que cette intervention ait un effet dissuasif sur le secteur DeFi. Comment s’est déroulé ce débat ?
Griff Green : Tout d’abord, il y eut un défi technique majeur. Nous avons consacré beaucoup de temps à trouver une solution technique parfaite — et le simple fait d’y être parvenus est en soi remarquable, grâce aux héros techniques restés dans l’ombre.
Une fois la faisabilité technique établie, commença le vrai débat : « Nous pouvons le faire, mais devrions-nous le faire ? »
Pour ma part, les pirates étaient presque certainement nord-coréens, le montant impliqué s’élevait à 72 millions de dollars, et le secteur DeFi était confronté à un risque existentiel. Ma responsabilité consiste à défendre la constitution d’Arbitrum et à agir selon ce que je considère comme juste pour Arbitrum. Personne ne nous reprocherait de ne rien faire : l’inaction comporte presque zéro risque. Il faut donc réellement un peu de courage.
Certains pourraient se sentir mal à l’aise à l’idée que « 9 personnes seulement puissent agir ainsi sur la chaîne ». Or, je vous le dis : obtenir l’accord unanime de 9 experts en sécurité extrêmement prudents — après avoir minutieusement examiné tous les problèmes potentiels — est bien plus difficile que ce que l’on imagine. Cela pourrait même s’avérer plus ardu que de coordonner les pools de minage pour geler les jetons de Satoshi Nakamoto.
L’information cruciale est que le système demeure décentralisé — non seulement sur le plan architectural, mais aussi sur celui des sentiments du marché et des comportements des prix. Si les gens désapprouvent notre décision, ils vendront leurs jetons. C’est là le véritable fondement de la décentralisation, dont le rôle est gravement sous-estimé dans ce type de situation.
Zack Guzman : Le Comité de sécurité est élu par les détenteurs de jetons ARB. Cet événement pourrait-il établir un précédent susceptible de modifier l’approche adoptée par l’écosystème Ethereum face aux attaques ?
Griff Green : Un point est sous-estimé : les pirates laissent rarement des fonds immobilisés sur une même adresse pendant deux jours. C’est précisément parce qu’ils ne les ont pas déplacés que nous avons eu cette fenêtre d’action. Je ne me souviens d’aucun incident similaire sur Arbitrum auparavant. Je ne sais pas pourquoi ils n’ont pas transféré les fonds. Peut-être étaient-ils fatigués après trois jours de travail, ont-ils pris leur dimanche, puis ont-ils été en retard lundi.
J’estime donc que les gens seront plus ouverts à ce type d’intervention. Non pas parce que cela est devenu techniquement possible (cela l’était déjà), mais parce qu’ils ont vu une application concrète. Le site L2Beat (projet d’évaluation de la sécurité des L2 soutenu par la Fondation Ethereum) indique clairement que le Comité de sécurité détient des pouvoirs d’urgence de mise à jour. Les pirates auraient pu à tout moment transférer les fonds, rendant nos efforts vains — mais nous avons eu de la chance.
Leçons tirées en matière de sécurité
Zack Guzman : Quelles sont les leçons à tirer en matière de sécurité ?
Griff Green : Premièrement, l’analyse des risques techniques doit être renforcée. Aave applique déjà des critères stricts concernant l’intégration de jetons à faible capitalisation et à forte volatilité, mais s’est montré trop laxiste envers les jetons de liquidité stakée (LST). Bien que leurs actifs sous-jacents soient de l’ETH — ce qui limite leur risque économique — leur risque technique nécessite une analyse bien plus rigoureuse. Ce problème ne concerne pas uniquement Aave : Morpho, Compound, Sky et tous les autres protocoles de prêt doivent intensifier leurs investissements dans l’analyse des risques techniques.
La configuration de Kelp DAO présentait un point de défaillance unique (« one-of-one », c’est-à-dire qu’un seul point critique suffisait à compromettre l’ensemble du système), ce qui a justifié les critiques formulées à son égard. Mais le problème le plus grave réside dans la sécurité opérationnelle (« opsec »), c’est-à-dire la compromission des clés. La Corée du Nord attaque rarement au niveau des contrats intelligents ; dans la plupart des cas, ce n’est pas le code qui est visé, mais les personnes — via l’ingénierie sociale, afin d’obtenir l’accès à des ordinateurs et à des clés détenant des privilèges particuliers.
Deux mesures peuvent être prises : premièrement, renforcer les normes de sécurité. Si vous gérez des fonds importants, votre niveau de sécurité informatique devrait être comparable à celui d’un PDG d’une grande entreprise technologique traditionnelle. Or, l’industrie cryptographique n’a pas encore atteint ce niveau.
Quelle suite pour les 72 millions de dollars ?
Zack Guzman : Que va-t-on faire des 72 millions de dollars récupérés ? Est-ce aussi une décision soumise à vote ?
Griff Green : Oui, et cela sera très intéressant. La situation des utilisateurs d’Aave et de l’écosystème Kelp DAO va s’améliorer, mais définir la solution exacte s’avère complexe. Coordonner une décision au sein d’un DAO est déjà difficile — comme dans toute administration ou grande organisation — surtout lorsqu’il n’existe pas d’autorité décisionnelle finale claire.
Auparavant, Aave et Kelp DAO s’accusaient mutuellement. Maintenant, avec l’implication d’Arbitrum, trois DAO doivent collaborer. L’aspect positif est que, désormais, des fonds réels sont en jeu : Aave et Kelp DAO ne peuvent plus se renvoyer la balle, ils doivent élaborer publiquement une solution. La restitution des 72 millions de dollars aux utilisateurs finaux devra être approuvée par un vote des détenteurs de jetons ARB au sein du DAO d’Arbitrum.
Pour ma part, je considère que le DAO d’Arbitrum ne devrait libérer ces fonds que si leur restitution aux utilisateurs est garantie à 100 %.
Il convient de préciser que le Comité de sécurité n’intervient que dans des situations d’urgence. Nous avons délibérément envoyé les fonds vers l’adresse 0x0000DAO, le suffixe « DAO » ayant été choisi expressément pour signifier que ces fonds appartiennent désormais à la communauté DAO. Je suis également délégué du DAO d’Arbitrum. Toutefois, sur un total potentiel de 200 millions de votes, je ne dispose que d’environ 10 millions de voix — soit environ 5 % du poids total. De nombreux autres participants détiennent un poids supérieur au mien.
Projets actuels
Zack Guzman : Parlons maintenant de vos projets actuels, étroitement liés à la sécurité.
Griff Green : Depuis l’incident de The DAO, je construis continuellement dans ce secteur. J’ai contribué à la création de Giveth, une plateforme décentralisée de dons, qui aide de nombreuses organisations à but non lucratif à lever des fonds sur Ethereum. J’ai moi-même assisté à toutes les manières imaginables dont ces associations perdent de l’argent : en envoyant des fonds à la bonne adresse mais sur la mauvaise chaîne, en tombant victimes de phishing, en exploitant des vulnérabilités de contrats intelligents, ou encore suite au piratage d’une bourse.
Avec les technologies disponibles aujourd’hui, nous sommes parfaitement capables de concevoir des solutions plus sûres que PayPal ou que les banques. La technologie est déjà prête. Pourtant, dans la réalité, je ne connais personne dont le compte bancaire aurait été vidé à la suite d’une tentative de phishing, tandis que je connais de nombreuses personnes ayant perdu leurs actifs cryptographiques de cette manière.
C’est pourquoi nous avons créé le DAO Security Fund (Fonds de sécurité des DAO). Notre objectif est de rendre Ethereum plus sûr que les banques. Nous disposons d’environ 170 millions de dollars d’actifs mis en staking, dont les rendements servent de financement pérenne pour les initiatives de sécurité.
Le premier cycle de financement à grande échelle démarre demain. Sur qf.giveth.io, vous pouvez faire un don à des projets de sécurité. Selon vos choix de dons, un fonds de 1 million de dollars sera réparti proportionnellement entre les différents projets de sécurité.
Mais plus important encore que le financement est la découverte de projets. Des centaines d’outils de sécurité open source gratuits existent sur le marché, mais la plupart des gens ignorent leur existence. L’objectif principal de ce cycle est de rassembler ces projets en un seul lieu afin de les rendre plus visibles. Le financement permettra à ces projets de survivre, mais ce qui aura le plus d’impact sera le signal du marché : quels projets sont les plus demandés, et dans quelles directions convient-il d’orienter davantage de ressources ?
Comparaison entre Circle et Tether
Zack Guzman : En l’absence d’un mécanisme tel que le Comité de sécurité, ce sont les émetteurs centralisés de stablecoins — comme Circle — qui se retrouvent contraints de décider s’ils doivent ou non geler des actifs. Que pensez-vous de ces deux approches ?
Griff Green : Si vous avez la capacité de résoudre un problème, vous avez aussi la responsabilité de le faire. Comme dit un vieil adage : « Le seul ingrédient nécessaire pour que le mal l’emporte, c’est que les gens bien ne fassent rien. »
Je le dis très clairement : il n’y a manifestement personne de bien chez Circle, puisqu’ils choisissent systématiquement de ne rien faire. En revanche, Tether gèle régulièrement les fonds nord-coréens, et le montant total récupéré dépasse largement les 72 millions de dollars.
Vous pourriez penser que cela devrait être le contraire, mais je crois que la raison réside dans le fait que l’équipe fondatrice de Tether est native de la DeFi et de la crypto, et conserve donc certaines valeurs anciennes propres à la crypto. Circle, lui, est issu de Goldman Sachs, et sa logique décisionnelle repose exclusivement sur l’apparence des états financiers. S’il pouvait en tirer profit, Circle gèlerait sans hésiter les fonds nord-coréens.
Je ne suis pas un partisan extrême de Tether, je me range plutôt du côté du décentralisme. Néanmoins, la position de Circle dans cette affaire est réellement déconcertante. Je ne sais pas si nous devrons tous ensemble procéder à une vente massive de USDC pour leur envoyer un signal fort sur le marché. L’attaque nord-coréenne ne menace pas seulement nos portefeuilles d’investissement : elle met aussi en danger la sécurité du monde réel. Chacun de nous subit les conséquences de l’incapacité collective à freiner la Corée du Nord.
Zack Guzman : La dimension politique du monde blockchain est bien plus complexe que ce que beaucoup imaginent.
Griff Green : Exactement. On croit qu’il s’agit d’un domaine financier, technique, voire dur, mais il abrite en réalité d’amples débats politiques — sur l’autorégulation, sur la manière de bâtir une société sur de nouvelles bases — des débats extrêmement profonds. Pourtant, chaque fois que j’essaie d’appliquer concrètement ces concepts dans le monde réel, je me heurte inévitablement à la question de la sécurité.
L’attaque nord-coréenne contre de grands protocoles est un aspect. Mais de nombreux problèmes plus simples subsistent également : par exemple, les appels téléphoniques frauduleux usurpant l’identité du service client de Coinbase, ou encore les lacunes persistantes en matière d’expérience utilisateur. Beaucoup de ces problèmes ne relèvent pas d’attaques d’État, mais simplement du fait que notre technologie n’est pas encore parfaitement maîtrisée.
J’ai intégré le domaine de la crypto en 2013, et j’ai obtenu en 2016 le tout premier master spécialisé en monnaies numériques. Depuis lors, je construis dans l’intérêt général, cherchant à créer des outils meilleurs que ceux offerts par les gouvernements. Mais je me heurte toujours au même obstacle : cette technologie n’est pas encore suffisamment sûre pour un usage quotidien par le grand public. Or, nous disposons aujourd’hui d’une opportunité exceptionnelle de changer cela.
Bienvenue dans la communauté officielle TechFlow
Groupe Telegram :https://t.me/TechFlowDaily
Compte Twitter officiel :https://x.com/TechFlowPost
Compte Twitter anglais :https://x.com/BlockFlow_News
深潮TechFlow
