Entretien avec un membre du comité de sécurité d'Arbitrum : pourquoi avons-nous activé le « pouvoir divin » pour geler les 72 millions de dollars d'un hacker nord-coréen ?

Invité : Griff Green, membre du Conseil de sécurité d’Arbitrum

Animateur : Zack Guzma

Source du podcast : Coinage

Titre original : Why Arbitrum Decided To Take Back $72M North Korea Stole

Date de diffusion : 23 avril 2026

Introduction éditoriale

Ces derniers jours, Ethereum et l’ensemble du secteur des cryptomonnaies ont suivi de près l’incident où Kelp DAO (un protocole de réencastrement de liquidités) a été piraté, affectant également Aave (plateforme de prêt décentralisée).

Le Conseil de sécurité d’Arbitrum a utilisé ses permissions d’urgence pour geler et récupérer environ 72 millions de dollars d’actifs contrôlés par une adresse suspectée d’être sous le contrôle de hackers nord-coréens. C’est la première fois dans l’industrie crypto qu’une « couche L2 » active ses « permissions divines » pour geler les fonds d’une adresse. Avant cet épisode, la communauté était divisée : bien que l’action ait été jugée correcte, la capacité d’une seule chaîne à « transférer » les fonds d’une adresse suscite des doutes sur ses limites et sur la décentralisation.

L’invité de cet épisode, Griff Green, est l’un des membres du Conseil de sécurité habilités à prendre cette décision. Griff est également un témoin direct de l’incident du DAO en 2016 et un des promoteurs de la hard fork d’Ethereum. Dans l’interview, il critique directement Circle (émetteur de USDC) pour sa « passivité continue » lors de l’incident nord-coréen, en la comparant à la démarche proactive de Tether, qui a gelé des fonds.

Citations clés

L’« immuabilité » de la blockchain est une idée fausse

« Les gens pensent que la blockchain est immuable, mais en réalité, son fonctionnement repose sur un consensus social. Si tout le monde accepte une mise à jour du protocole, les règles peuvent changer. Ethereum et Bitcoin fonctionnent ainsi. »

« C’est pourquoi certains dans la communauté Bitcoin discutent actuellement de geler les tokens de Satoshi. Techniquement, c’est tout à fait possible, car la blockchain n’est pas absolument immuable ; elle a simplement des règles. »

Le véritable fondement de la décentralisation est le comportement du marché

« Si les gens n’aiment pas nos décisions, ils vendront leurs tokens. Si le réseau Bitcoin s’organisait pour voler l’argent des gens, les détenteurs le liquideraient aussi. La vraie base de la décentralisation, c’est le comportement du marché. La dynamique du marché est gravement sous-estimée dans cette affaire. »

« Franchement, personne ne nous en voudra si nous ne faisons rien. Ne rien faire comporte presque aucun risque, donc il faut une certaine volonté d’oser. »

Le mode opératoire des hackers nord-coréens

« La Corée du Nord attaque rarement au niveau des contrats intelligents. La plupart du temps, ce n’est pas le code qui est visé, mais les personnes. Ils utilisent l’ingénierie sociale pour identifier les détenteurs de clés avec des permissions spéciales, puis accèdent à leurs ordinateurs et clés. »

« Je ne comprends pas pourquoi ils ont laissé des fonds dans une adresse pendant deux jours sans rien faire. Peut-être qu’ils ont travaillé trois jours d’affilée, puis se sont reposés dimanche, et lundi ils sont arrivés en retard. C’est notre fenêtre. »

Comparaison entre Circle et Tether

« Je vais être clair : il n’y a clairement pas de bons dans Circle. Ils ont toujours choisi de ne pas agir. À l’inverse, Tether a constamment gelé des fonds nord-coréens, récupérant bien plus que 70 millions de dollars. »

« Circle n’est pas une entreprise crypto native, c’est Goldman Sachs. Leur logique de décision, c’est : est-ce que ça leur donne une bonne image dans leurs rapports financiers ? Si geler des fonds nord-coréens leur rapporte de l’argent, ils le feront. »

Le problème de sécurité est le plus grand obstacle à l’adoption de la crypto

« Avec la technologie d’aujourd’hui, nous pouvons créer des systèmes plus sûrs que PayPal ou les banques. En reprenant l’infrastructure de ces institutions, en supprimant les custodians, et en créant des versions non custodiales, la technologie est prête. »

« Je ne connais personne dont le compte bancaire a été piraté suite à une attaque de phishing. Mais je connais beaucoup de gens qui ont perdu leur crypto à cause de phishing. »

« Je travaille depuis toujours pour le bien commun, pour construire quelque chose de meilleur que le gouvernement, mais je suis constamment bloqué par un problème récurrent : cette technologie ne permet pas encore à tout le monde de l’utiliser en toute sécurité. »

Activation des permissions divines

Zack Guzman : Beaucoup suivent l’évolution de la situation. La controverse ne faiblit pas. Commençons par la structure du Conseil de sécurité d’Arbitrum. En tant que membre, tu as mentionné dans ton post que c’était une décision très sérieuse. Peux-tu expliquer comment tout cela s’est déroulé ?

Griff Green : Kelp DAO a été attaqué, la responsabilité principale reste discutée entre Kelp DAO et LayerZero (le protocole de communication inter-chaînes), mais l’impact a aussi touché Aave. Il s’agit d’une attaque sur un pont inter-chaînes, où environ 300 millions de dollars de tokens sur Layer 2 ont été volés par le hacker, puis déposés sur la blockchain Ethereum et sur Aave sur Arbitrum en tant que collatéral pour emprunter de l’ETH.

Après avoir obtenu l’ETH, les hackers nord-coréens ont laissé les fonds dans leur portefeuille pendant plusieurs jours, ce qui nous a donné une fenêtre pour coordonner une intervention. Arbitrum, en tant que rollup de phase 1 encore en développement (ce qui signifie une certaine sécurité mais pas encore une décentralisation complète), dispose d’un Conseil de sécurité. Il s’agit d’un multisig 9/12 (9 signatures sur 12 membres). Nous avons collaboré avec l’équipe de Seal 911 (une organisation d’intervention d’urgence en sécurité crypto) pour utiliser nos permissions d’urgence afin de transférer les fonds hors de l’adresse contrôlée par la Corée du Nord, vers une nouvelle adresse inaccessible pour eux.

Les fondamentaux de la blockchain

Zack Guzman : Je ne savais pas qu’il fallait 9/12 pour agir, beaucoup de gens ignorent aussi que cette capacité existe sur Arbitrum. Tu ne veux probablement pas que les hackers nord-coréens connaissent cette fonction.

Griff Green : En réalité, c’est une information totalement publique. Je pense qu’il y a une méconnaissance générale de la technologie blockchain. La base de la blockchain, c’est le code open source, les nœuds qui tournent sur des serveurs, et le consensus social.

Mon premier projet, c’était The DAO. À l’époque, nous avions levé 150 millions de dollars, puis nous avions été piratés. Si tu veux en savoir plus, tu peux lire « The Cryptopians » de Laura Shin, qui consacre 100 pages à cette histoire. Finalement, nous avons fait une hard fork d’Ethereum pour faire quelque chose de très similaire à ce que nous faisons aujourd’hui sur Arbitrum : briser la règle, sans permission du hacker, et transférer les fonds hors de son portefeuille.

Sur Ethereum et Bitcoin, c’est possible, et sur n’importe quelle blockchain aussi. Parce que la blockchain repose sur un consensus social. Aujourd’hui, la communauté Bitcoin discute de geler les tokens de Satoshi. Si tout le monde est d’accord, cela peut se faire.

Sur Arbitrum, c’est un peu différent : il ne faut pas convaincre tous les nœuds, mais deux voies existent : les détenteurs de tokens ARB peuvent voter pour exécuter la même opération, ou le multisig 9/12 du Conseil de sécurité peut agir en cas d’urgence. Jusqu’ici, le Conseil n’a utilisé ses permissions que pour corriger des bugs ou faire des mises à jour, jamais pour geler des fonds. À ma connaissance, c’est la première fois qu’un grand L2 gèle des fonds on-chain.

Comparaison entre deux incidents

Zack Guzman : Tu as vécu deux incidents : le piratage du DAO et celui-ci. Quelles différences en retires ?

Griff Green : La dernière fois, c’était beaucoup plus simple. Le DAO, c’était mon propre projet, et j’ai perdu 150 millions de dollars, c’était beaucoup plus stressant. Là, je n’ai pas perdu d’argent personnel, je suis simplement intervenu en tant que membre du Conseil.

Les infrastructures sont aussi beaucoup plus avancées aujourd’hui, ce qui permet de comprendre rapidement ce qui s’est passé. Lors du piratage du DAO, on ne savait pas qui était le hacker. Cette fois, Seal 911 a pu contacter le FBI, et on a confirmé que l’attaquant était probablement un hacker nord-coréen. Grâce à notre réseau de contacts, on a pu obtenir des renseignements en dehors de l’écosystème.

Les enjeux clés

Zack Guzman : Lors de la prise de décision, ne pas agir aurait permis à la Corée du Nord de conserver ces fonds. Mais certains craignent que cela n’ait un effet dissuasif sur la DeFi. Comment s’est déroulée la discussion ?

Griff Green : D’abord, il y a le défi technique. Nous avons passé beaucoup de temps à trouver une solution technique parfaite. La trouver, c’est déjà une réussite, grâce à des héros techniques derrière.

Une fois la faisabilité assurée, la vraie discussion a commencé : peut-on le faire, mais doit-on le faire ?

Personnellement, je pense que l’attaquant est presque certain d’être nord-coréen, et qu’il s’agit de 72 millions de dollars. La DeFi est en jeu, c’est une question de survie. Mon rôle est de défendre la Constitution d’Arbitrum et de faire ce que je pense être juste pour la plateforme. Personne ne nous en voudra si nous choisissons de ne pas agir, car ne rien faire comporte presque zéro risque. Il faut donc un peu d’audace.

Certains seront mal à l’aise, en disant : « 9 personnes peuvent faire ça sur la chaîne. » Mais je leur réponds : faire en sorte que 9 experts en sécurité, très prudents, parviennent à un consensus après avoir vérifié tous les risques, c’est beaucoup plus difficile qu’on ne le pense. Peut-être plus difficile que de coordonner un pool de mineurs pour geler les tokens de Satoshi.

L’essentiel, c’est que le système reste décentralisé. Cela se voit dans l’architecture, mais aussi dans l’état d’esprit du marché et dans le comportement des prix. Si les gens n’aiment pas notre décision, ils vendront leurs tokens. Voilà la véritable base de la décentralisation, et le rôle du marché dans cette affaire est gravement sous-estimé.

Zack Guzman : Le Conseil de sécurité est élu par les détenteurs de tokens ARB. Cette affaire pourrait-elle créer un précédent et changer la perception des incidents de piratage dans l’écosystème Ethereum ?

Griff Green : Il y a un point souvent sous-estimé : les hackers ne laissent généralement pas leurs fonds inactifs dans une adresse pendant deux jours. C’est justement parce qu’ils n’ont pas bougé que nous avons pu agir. Sur Arbitrum, je ne connais pas d’autre incident où cela se soit produit. Je ne comprends pas pourquoi ils n’ont pas transféré plus tôt. Peut-être qu’ils ont travaillé trois jours, puis se sont reposés dimanche, et lundi ils sont arrivés en retard.

Donc, je pense que les gens seront plus ouverts à cette idée. Ce n’est pas parce que la technique le permet (ce qui a toujours été le cas), mais parce qu’ils ont vu une opération concrète. Sur L2Beat (un projet d’évaluation de sécurité L2 soutenu par la Fondation Ethereum), il est clairement indiqué que le Conseil de sécurité dispose de permissions d’urgence. Les hackers peuvent transférer les fonds à tout moment, mais nous avons été chanceux.

Leçons de sécurité

Zack Guzman : Quelles sont les leçons en matière de sécurité ?

Griff Green : Premièrement, il faut améliorer l’analyse des risques techniques. Aave gère bien l’accès à des tokens à faible capitalisation et à forte volatilité, mais laisse trop de liberté pour les tokens de staking liquide (LST). Ces tokens ont pour sous-jacent ETH, donc le risque économique est faible, mais le risque technique doit être mieux contrôlé. Ce n’est pas seulement un problème d’Aave, mais aussi de protocoles comme Morpho, Compound, Sky, etc. Tous doivent renforcer leur analyse des risques techniques.

Kelp DAO présente une faille à point unique (one-of-one), ce qui est critiqué. Mais le problème plus grave, c’est la sécurité opérationnelle (opsec) : si la clé est compromise, tout peut arriver. La Corée du Nord attaque rarement au niveau des contrats, mais plutôt au niveau humain. Ils utilisent l’ingénierie sociale pour obtenir l’accès à des ordinateurs ou clés avec des permissions spéciales.

Il y a deux réponses possibles : renforcer les standards de sécurité. Si tu gères beaucoup d’argent, ton ordinateur doit être aussi sécurisé qu’un CEO de grande tech. Mais l’industrie crypto n’a pas encore atteint ce niveau.

Que faire des 72 millions de dollars ?

Zack Guzman : Que va-t-il advenir des 72 millions de dollars récupérés ? C’est vous qui décidez par vote ?

Griff Green : Oui, cela va être très intéressant. La situation des utilisateurs d’Aave et de Kelp DAO s’améliorera, mais la solution exacte est difficile à déterminer. La coordination entre DAOs est compliquée, comme avec les gouvernements ou de grandes organisations, surtout en l’absence d’un décideur unique.

Auparavant, Aave et Kelp DAO se rejetaient la responsabilité, mais maintenant, avec Arbitrum, il faut que trois DAOs collaborent. La bonne nouvelle, c’est qu’il y a des fonds concrets. Aave et Kelp DAO ne peuvent plus simplement se renvoyer la balle, ils doivent élaborer une solution publique. La façon dont ces 72 millions seront remboursés aux utilisateurs sera décidée par un vote des détenteurs de l’ARBITRUM DAO.

Personnellement, je pense que, sauf si la totalité est directement remboursée aux utilisateurs, l’Arbitrum DAO ne devrait pas libérer ces fonds.

Il faut préciser que le Conseil de sécurité n’agit qu’en cas d’urgence. Nous avons volontairement transféré les fonds à l’adresse 0x0000DAO, dont le suffixe « DAO » indique qu’ils appartiennent désormais à la communauté. Je suis aussi délégué de l’Arbitrum DAO, mais mon poids de vote est d’environ 10 millions de voix sur 200 millions, soit environ 5 %. Beaucoup d’autres ont un poids supérieur au mien.

Projets en cours

Zack Guzman : Parle-moi de tes projets actuels, très liés à la sécurité.

Griff Green : Après l’incident du DAO, je suis resté actif dans ce secteur. Je participe à la construction d’une plateforme appelée Giveth (plateforme de dons décentralisée), qui aide de nombreuses ONG à lever des fonds sur Ethereum. J’ai vu de mes propres yeux ces ONG perdre de l’argent de toutes les manières possibles : en envoyant des fonds à la mauvaise adresse ou sur la mauvaise chaîne, en étant victimes de phishing, de vulnérabilités dans les contrats, ou de piratages d’échanges.

Avec la technologie d’aujourd’hui, on peut créer des systèmes plus sûrs que PayPal ou les banques. La technologie est prête. Mais en pratique, je ne connais personne dont le compte bancaire ait été piraté suite à un phishing, alors que je connais beaucoup de gens qui ont perdu leur crypto de cette façon.

C’est pourquoi nous avons créé le DAO Security Fund. L’objectif est de rendre Ethereum plus sûr que les banques. Nous avons environ 170 millions de dollars en actifs stakés, avec des revenus de staking comme fonds à long terme pour la sécurité.

La première grande levée de fonds commence demain. Sur qf.giveth.io, tu peux faire un don à des projets de sécurité. En fonction de ton don, un pool de 1 million de dollars sera réparti entre différents projets de sécurité.

Mais plus que l’argent, c’est la découverte de projets qui compte. Il existe des centaines d’outils de sécurité open source gratuits, mais beaucoup de gens ignorent leur existence. L’objectif principal est de rassembler ces projets en un seul endroit, pour que tout le monde puisse les connaître. L’argent aide à faire survivre ces projets, mais ce qui a vraiment de l’impact, c’est le signal du marché : quels projets sont les plus nécessaires, dans quelles directions il faut investir.

Comparaison entre Circle et Tether

Zack Guzman : Quand il n’y a pas de mécanisme comme un Conseil de sécurité, ce sont généralement les émetteurs de stablecoins centralisés (comme Circle) qui doivent faire face à la question du gel ou non des fonds. Quel est ton avis sur ces deux modèles ?

Griff Green : Si tu en as la capacité, tu as aussi la responsabilité de résoudre ce problème. Il y a cette vieille maxime : le mal ne triomphe que parce que les bonnes personnes ne font rien.

Je vais être clair : il n’y a clairement pas de « bons » chez Circle. Ils ont toujours choisi de ne pas agir. À l’inverse, Tether a constamment gelé des fonds nord-coréens, récupérant bien plus que 70 millions de dollars.

Tu pourrais penser que c’est l’inverse qu’il faudrait faire, mais je pense que la différence vient du fait que l’équipe fondatrice de Tether est née dans la DeFi et la crypto, et conserve certains vieux principes crypto. Circle, lui, vient de Goldman Sachs. Leur logique, c’est : si ça leur rapporte de l’argent, ils le feront. »

Je ne suis pas un extrémiste de Tether, je préfère la décentralisation. Mais leur comportement dans cette affaire est difficile à comprendre. Peut-être qu’il faut qu’on vende tous nos USDC pour leur donner un retour de marché suffisant. L’attaque nord-coréenne ne menace pas seulement nos investissements, elle menace aussi la sécurité réelle. Tout le monde en subit les conséquences en ne bloquant pas ces attaques.

Zack Guzman : La politique dans le monde de la blockchain est bien plus complexe qu’on ne le pense.

Griff Green : Exactement. On croit que c’est purement financier ou technique, mais il y a beaucoup de discussions politiques. Sur l’autorégulation, la construction d’une société sur de nouvelles bases, c’est très profond. Mais chaque fois que j’essaie d’apporter ces idées dans le monde réel, je bute sur des questions de sécurité.

Les attaques nord-coréennes contre de grands protocoles ne sont qu’un aspect. Il y a aussi beaucoup de problèmes plus basiques : des arnaques par faux support Coinbase, des améliorations à apporter à l’expérience utilisateur, etc. Beaucoup de ces problèmes ne sont pas liés à des attaques étatiques, mais à nos propres lacunes techniques.

Je suis dans la crypto depuis 2013, j’ai obtenu mon premier master en monnaies numériques en 2016. Je travaille depuis pour le bien commun, pour construire quelque chose de meilleur que le gouvernement, mais je suis constamment freiné par un même problème : cette technologie ne permet pas encore à tout le monde de l’utiliser en toute sécurité. Pourtant, il y a une énorme opportunité de changer cela.