Rapport : Les données de Mt Gox fournissent de nouveaux indices sur le robot de trading « Willy »

La société de sécurité WizSec, basée à Tokyo, a publié une analyse préliminaire des données commerciales suspectes divulguées par la bourse Bitcoin Mt Gox, aujourd'hui disparue.

La bourse a suspendu ses opérations en février de l'année dernière et a ensuite été déclarée en faillite en mars, après avoir perdu environ 850 000 BTC (plus de 450 millions de dollars à l'époque).

Depuis novembre dernier, la plateforme d'échange de Bitcoin Kraken a travaillé aux côtés deautorités pour soutenir l'enquête au nom des créanciers. Pendant ce temps, WizSec s'efforce desuivre les transactions Bitcoin de Mt Goxà titre non officiel.

La sortie de WizSec fait suite à laRapport Willy, le rapport publié en mai dernier par un chercheur anonyme, qui fait état d'une activité commerciale suspecte àMont Gox. Il concluque des robots de trading se déchaînaient dans le système sous différents identifiants d'utilisateur, dont un surnommé « Willy » qui plaçait des ordres d'achat répétitifs qui manipulaient toujours le prix à la hausse.

Un autre robot, baptisé « Markus », semble avoir acheté et vendu à des prix aléatoires, sans payer de frais de transaction. Les deux robots ont été particulièrement actifs immédiatement avant et pendant novembre 2013, lorsque le bitcoinprixsoudainement monté en flèche.

En novembre 2013, les deux robots avaient acheté un total de 570 000 BTC , soit suffisamment pour avoir un impact sur le prix.

Analyse des données

Le rapport de WizSec, publié samedi, utilise les données divulguées par Mt Gox début 2013 pour fournir un meilleur aperçu de la façon dont Willy et son ou ses opérateurs travaillaient.

Le cabinet affirme que son analyse a été initialement réalisée il y a six mois afin de présenter ses travaux au fiduciaire de la bourse et aux autres enquêteurs, dont la police. Les informations divulguées sont « sûres » et n'auront aucune incidence sur l'enquête en cours sur Mt Gox ni sur ses divers accords de confidentialité, affirme WizSec, mais pourraient apporter une clarification tant attendue aux créanciers.

De septembre à novembre 2013, Willy a eu un impact significatif sur Mt Gox, négociant plus de 250 000 BTC, selon le rapport.

Comme l'indique The Graph ci-dessous, le bot représentait fréquemment plus de 30 % des transactions horaires sur la plateforme. Dans quelques cas, Willy a atteint 80 à 90 %.

Mais ce volume d'échanges a-t-il eu un impact sur le prix du bitcoin pendant cette période ? WizSec affirme qu'il est très probable que le comportement du bot ait eu un « effet important », ajoutant :

« [Cela ouvre] la possibilité qu'il s'agisse d'un plan visant à manipuler le marché plutôt que – ou en plus – d'acquérir frauduleusement des bitcoins. »

L'entreprise cite des incidents où le marché s'est « corrigé » à un niveau de prix inférieur suite à l'absence de Willy.

La fuite de données prend fin le 30 novembre. L'influence de Willy et des transactions frauduleuses au-delà de cette date reste sujette à spéculation.

Paramètres stricts

En reconstituant les ordres de trading du robot, l'entreprise a observé que Willy opérait sur plusieurs comptes différents. Chacun d'eux fonctionnait selon des paramètres stricts concernant la quantité de Bitcoin pouvant être achetée avec chaque ordre.

Alors que le prix du Bitcoin continuait d'augmenter, Willy a été reconfiguré pour acheter de plus petites quantités, afin de ne pas « vider trop rapidement le dépôt de fonds en USD de chaque compte ».

Cependant, WizSec a également remarqué la présence de « certains ordres anormaux et à volume élevé » qui ne relèvent pas du paramètre de trading automatique, comme indiqué ci-dessous.

Ces commandes élevées, dit-il, étaient caractérisées par des montants égaux et évoluaient vers des valeurs plus « aléatoires ».

Pour cette raison, l'entreprise pense que ces ordres de négociation ont été émis manuellement. Plus tard, le contrôleur de Willy a peut-être également utilisé délibérément des valeurs d'apparence aléatoire pour détourner l'attention de ces gros ordres.

Profil de Willy

Grâce à des horodatages, l'équipe a découvert qu'une absence d'activité entre 17h00 et 20h00 UTC pouvait indiquer le cycle de sommeil et la localisation de l'opérateur. L'entreprise a utilisé l'heure normale du Japon (JST) comme référence et a représenté tous les Événements suspectés de Willy en fonction de l'heure dans le graphique suivant :

Ce modèle pourrait indiquer que l’utilisateur suspect est un dormeur irrégulier ou qu’il y a en réalité deux utilisateurs ou plus.

Les données montrent également une activité plus importante en semaine, ce qui amène l'entreprise à penser qu'elle est plus spécifiquement liée aux jours de travail, et donc à une personne salariée, explique WizSec.

L'étalement des horaires suggère également que l'opérateur de Willy avait accès à la fois à son domicile et à son travail. Le robot était connu pour fonctionner pendant les périodes où les autres utilisateurs n'avaient pas accès au système de Mount Gox, ce qui suggère une influence interne.

Une longue route à parcourir

WizSec affirme qu'il reste encore quelques problèmes qui nécessitent une enquête plus approfondie. Le cabinet de conseil en sécurité n'a pas encore découvert comment des sommes aussi importantes ont pu être déposées à la bourse sans déclencher d'alarme.

Des informations supplémentaires sont également nécessaires concernant ce qui est arrivé aux bitcoins achetés par Willy, ainsi qu'aux USD que « Reverse Willy » avait accumulés en février.

L'objectif de Willy est également flou. Il est nécessaire de clarifier davantage la question afin de déterminer s'il s'agissait simplement d'un outil d'achat ou s'il visait à manipuler les cours du marché.

Il y a également des questions autour de l'emplacement de Willy et de savoir s'il fonctionnait dans le réseau interne de Mt Gox ou en relation avec celui-ci.

Enfin, WizSec affirme qu'il enquête toujours sur le rôle joué par Willy dans les Événements ayant conduit à l'effondrement de Mt Gox et exhorte toute personne disposant d'informations relatives à cette affaire à se manifester.

« Nous rassemblons les pièces du puzzle depuis longtemps, et chaque pièce aide », a-t-il déclaré.

Images via WizSec