Une adresse Hotmail d'adolescent : comment Alexandre Cazes, fondateur d'AlphaBay, a été identifié

En juillet 2017, dans une banlieue de Bangkok, une voiture de police banalisée a percuté le portail d'une villa. Les policiers qui en sont descendus ont joué les maladroits, comme s'ils avaient raté un demi-tour. Environ une minute plus tard, le propriétaire, un homme de 25 ans, est sorti voir ce qui se passait. C'est ainsi qu'un agent du FBI a décrit l'arrestation lors d'une conférence sur la sécurité en janvier 2018, selon Vice. L'homme a été arrêté sur place et son téléphone a été saisi.

Dans la chambre, les enquêteurs ont trouvé un ordinateur portable ouvert et non chiffré. Selon la plainte en confiscation déposée par le département de la Justice américain, il était connecté au serveur hébergeant AlphaBay sous le nom d'utilisateur Admin, ainsi qu'au forum du site sous le même nom, où il répondait aux utilisateurs. Cet homme était Alexandre Cazes. La piste qui a mené à lui avait commencé par une adresse e-mail qu'il utilisait déjà en 2008, à 17 ans.

Le plus grand marché du dark web

Selon le département de la Justice américain, AlphaBay était le plus grand marché du dark web de son époque. Il comptait environ 200 000 utilisateurs et 40 000 vendeurs, plus de 250 000 annonces de drogues et de produits chimiques toxiques, et plus de 100 000 annonces de documents d'identité volés ou frauduleux et de moyens d'accès, de contrefaçons, de logiciels malveillants et d'armes à feu. Les paiements n'étaient acceptés qu'en monnaies numériques.

L'acte d'accusation décrit un site qui ressemblait à une boutique en ligne ordinaire, avec un moteur de recherche, des notes attribuées aux vendeurs et un forum d'utilisateurs. Le site lui-même encourageait les utilisateurs à ne rien inscrire dans leur profil qui puisse révéler leur véritable identité.

Selon la plainte, entre mai 2015 et février 2017, les adresses Bitcoin du site ont reçu des dépôts d'une valeur d'environ 450 millions de dollars. Le gouvernement a estimé qu'une commission de 2 à 4 % sur ces transactions aurait rapporté à l'administrateur entre 9 et 18 millions de dollars.

Une couverture d'apparence professionnelle

Selon la plainte, Cazes ne comptait pas uniquement sur le chiffrement. Il dirigeait une société écran, EBX Technologies, présentée comme une agence de conception de sites web. Son site fonctionnait à peine, son blog n'avait pas été mis à jour depuis janvier 2015 et ses relevés bancaires faisaient apparaître peu de revenus. La société servait à justifier les mouvements d'argent et à ouvrir des comptes sur des plateformes d'échange de cryptomonnaies, où il convertissait des bitcoins en espèces.

Il a acheté la citoyenneté d'Antigua-et-Barbuda grâce à un investissement de 400 000 dollars dans un bien en bord de mer, et a tenté d'obtenir également la citoyenneté chypriote : les enquêteurs ont intercepté un colis qu'il y avait envoyé, qui faisait état d'un virement de 2,38 millions d'euros vers une banque chypriote pour l'achat d'une villa. Son profil LinkedIn mentionnait la cryptographie, la sécurité des réseaux et l'administration de serveurs.

L'en-tête de l'e-mail de « bienvenue »

Lors du lancement du site, en décembre 2014, un forum d'utilisateurs a ouvert en parallèle. Chaque nouvel inscrit recevait un e-mail de bienvenue automatique, et quiconque demandait la réinitialisation d'un mot de passe en recevait un autre. Dans l'en-tête technique de ces deux messages, c'est-à-dire les informations jointes à chaque e-mail que la plupart des destinataires ne voient jamais, figurait l'adresse de l'expéditeur : Pimp_Alex_91@hotmail.com. Selon la plainte, il s'agissait de l'adresse e-mail personnelle de Cazes. Le document n'explique pas comment elle s'y est retrouvée. Les forces de l'ordre ont eu connaissance de l'adresse en décembre 2016, deux ans après le lancement.

L'identification s'est ensuite construite en cinq étapes :

1. L'adresse appartenait à un Canadien nommé Alexandre Cazes, né le 19 octobre 1991. Le nombre 91 dans l'adresse correspondait à son année de naissance.
2. Un profil LinkedIn au nom d'Alexandre Cazes le présentait comme employé d'EBX Technologies, avec des compétences en serveurs, réseaux et chiffrement.
3. Sur le forum informatique français commentcamarche.com, les enquêteurs ont trouvé un message daté du 3 décembre 2008, dans lequel un utilisateur nommé Alpha02 expliquait en français comment supprimer un virus d'une photo numérique. L'utilisateur avait signé le message de son nom, Alexandre Cazes, et de la même adresse e-mail.
4. Alpha02 était aussi le nom d'utilisateur de l'administrateur d'AlphaBay, jusqu'à ce qu'il soit remplacé par Admin en août 2015.
5. Des relevés PayPal faisaient apparaître des comptes à son nom mentionnant la même adresse aux côtés d'une adresse d'EBX Technologies.

Il aimait aussi se mettre en avant

La plainte décrit un forum appelé RooshV, dont il payait l'adhésion et où il écrivait régulièrement sur sa réussite financière et sur les cryptomonnaies. Lorsqu'il a affirmé avoir acheté une Porsche Panamera et qu'un autre utilisateur en a douté, il a publié le détail de sa négociation avec le concessionnaire et envoyé à cet utilisateur une vidéo de lui au volant de la voiture. Des policiers l'ont vu conduire cette voiture en Thaïlande ; elle était immatriculée à son nom et garée à son domicile le jour de l'arrestation.

Sur l'ordinateur portable ouvert, les enquêteurs ont trouvé des fichiers texte contenant les mots de passe des serveurs d'AlphaBay, ainsi qu'un document présenté comme un bilan financier personnel, intitulé TOTAL NET WORTH, faisant état d'un patrimoine net de 23 033 975 dollars. Il recensait notamment une Lamborghini achetée plus de 900 000 dollars, des biens immobiliers en Thaïlande, à Chypre et à Antigua, un compte en Suisse de 781 000 dollars et 6,5 millions de dollars en cryptomonnaies. À côté des adresses des portefeuilles, il avait aussi noté les clés privées. Grâce à elles, les enquêteurs ont transféré des cryptomonnaies d'une valeur d'environ 8,8 millions de dollars vers des adresses contrôlées par le gouvernement.

La fin, et ce qui n'a jamais été tranché

Cazes a été arrêté par la police royale thaïlandaise le 5 juillet 2017, avec l'aide du FBI et de la DEA. Le 12 juillet, il est mort en détention en Thaïlande. Selon le département de la Justice américain, il s'agissait apparemment d'un suicide.

Il était visé par un acte d'accusation de 16 chefs déposé en Californie le 1er juin 2017 : association en vue de participer à une organisation de racket et de corruption (racketeering), association en vue de distribuer des stupéfiants, distribution de stupéfiants, association en vue de commettre des usurpations d'identité, transfert illégal de faux documents d'identité, fraude aux moyens d'accès et blanchiment d'argent. Le 26 avril 2018, le gouvernement a demandé l'abandon de l'acte d'accusation à la suite de son décès, et le 27 avril le tribunal a abandonné les 16 chefs. Cazes n'a jamais été jugé ni condamné, et tout ce que contiennent les documents relève des allégations de l'accusation.

Ses biens ont été confisqués dans le cadre d'une procédure civile distincte. Le 5 septembre 2018, le tribunal fédéral du district Est de Californie a ordonné la confiscation de véhicules, de comptes bancaires, de biens immobiliers en Thaïlande, à Chypre et à Antigua-et-Barbuda, ainsi que de cryptomonnaies. Aucun des revendicateurs des biens ne s'est présenté, et le jugement a été rendu par défaut.

Le 20 juillet 2017, l'opération contre AlphaBay a été présentée comme une action conjointe menée par le FBI, la DEA et la police nationale néerlandaise, avec le soutien d'Europol, qui comprenait aussi la fermeture du marché du dark web Hansa.

Ce que l'affaire montre sur l'enquête en sources ouvertes

L'adresse elle-même, avec le nom d'utilisateur Alpha02, est restée en ligne de 2008 jusqu'à ce que les enquêteurs la trouvent. Trois éléments ressortent de la chaîne d'identification.

Réutiliser un nom ou une adresse relie des identités. L'administrateur d'un service anonyme qui utilise un nom d'utilisateur ou une adresse déjà employés auparavant offre à quiconque les recherche un lien entre les deux identités.

Une connexion est une piste, pas une preuve. Chaque maillon de l'identification reposait sur une donnée indépendante : une année de naissance rapprochée d'une date de naissance, des compétences professionnelles rapprochées de la gestion d'un site, un nom d'utilisateur rapproché d'un ancien message.

Tout ne se trouve pas en sources ouvertes. Les relevés PayPal et les données bancaires sont détenus par des entreprises privées, et les forces de l'ordre les obtiennent par voie légale. Un enquêteur privé en Israël ne peut pas les obtenir et travaille dans les limites de la loi sur la protection de la vie privée. Ce qui reste accessible, c'est ce que les gens laissent eux-mêmes derrière eux.

Documents sources

Acte d'accusation, United States v. Cazes, district Est de Californie (PDF, 24 pages) →

Plainte vérifiée en confiscation in rem, 19 juillet 2017 (PDF, 27 pages) →

Communiqué du département de la Justice américain sur la fermeture d'AlphaBay, 20 juillet 2017 →

Communiqué d'Europol sur l'opération AlphaBay et Hansa, 20 juillet 2017 →

Sources : Acte d'accusation, United States v. Alexandre Cazes, tribunal fédéral du district Est de Californie, affaire 1:17-CR-00144, 1er juin 2017 ; plainte vérifiée en confiscation in rem, affaire 1:17-at-00557, 19 juillet 2017 ; conclusions et recommandations du magistrate judge et jugement définitif de confiscation par défaut, affaire 1:17-CV-00967, 8 août 2018 et 5 septembre 2018 ; communiqué du département de la Justice américain, 20 juillet 2017 ; communiqué d'Europol, 20 juillet 2017 ; reportage de Vice sur la vidéo de l'arrestation.

Les informations de cette rubrique sont générales et ne constituent pas un avis juridique. Un acte d'accusation et une plainte ne présentent que la position de l'accusation.