Deux années se sont écoulées depuis que « Michael », un détenteur de Bitcoin (dont le cours semble repartir de plus belle), a été privé de l'accès à une coquette somme avoisinant les trois millions d'euros. Un fichier corrompu en était la cause, l'empêchant de récupérer cette précieuse réserve virtuelle. Cependant, la persévérance de deux chercheurs, Joe Grand et son acolyte Bruno leur a permis de déjouer cet écueil en exploitant une brèche dans le générateur de mots de passe RoboForm.
La découverte d’une faille dans RoboForm
En 2013, Michael, avait créé un mot de passe formé de 20 caractères grâce au logiciel RoboForm. Cette clé était censée protéger son wallet, abritant la rondelette somme de 43,6 bitcoins. Toutefois, le destin en décida autrement puisque ce mot de passe fut préservé dans un fichier crypté par TrueCrypt, lequel se corrompit par la suite, rendant l'accès à ce trésor numérique complètement impossible.
C'est alors que Joe Grand, connu sous le pseudonyme Kingpin, ainsi que son compagnon d'armes Bruno, décidèrent de mettre les mains dans le cambouis pour percer les mystères de la génération des mots de passe par RoboForm à l'époque concernée. Leur quête les mena à une découverte importante : le générateur de nombres pseudo-aléatoires employé par RoboForm jusqu'en 2015 souffrait d'un défaut majeur, liant de manière indissociable les mots de passe engendrés à la date et l'heure précises de l'ordinateur. Armés de cette connaissance, ils purent, en manipulant ces paramètres temporels, recréer les mots de passe générés à un instant donné. Malin !
Retour vers le futur
Michael ne se souvenait pas du jour précis de la création de son mot de passe, mais disposait néanmoins d'un indice précieux. Le journal de son portefeuille indiquait un premier transfert de bitcoins le 14 avril 2013. Grâce à cette information, Grand et Bruno configurèrent RoboForm en vue de générer des mots de passe respectant les critères initiaux : une longueur de vingt caractères. Ils entamèrent alors une série d'essais, testant diverses plages de dates et jouant avec les paramètres.
Malheureusement, leurs premières tentatives se révélèrent infructueuses. Loin de se décourager, ils élargirent la plage de dates explorée et affinèrent les paramètres en se basant sur d'autres mots de passe générés par Michael à la même époque. Leur persévérance finit par être récompensée lorsqu'ils mirent la main sur le précieux sésame, le mot de passe créé le 15 mai 2013 à 16 h 10, dépourvu de caractères spéciaux. Michael allait pouvoir récupérer son sésame !
En deux ans, ses Bitcoins avaient eu en plus le temps de prendre énormément de valeur ! La faille de RoboForm exploitée par les chercheurs avait pourtant été corrigée par Siber Systems (l'entreprise responsable) en 2015, mais elle n'avait pas informé ses utilisateurs.
