Fraude deepfake RWA : déjouer les faux appels d’émetteurs

Qu’est-ce que la fraude deepfake liée aux RWA ?

La fraude deepfake liée aux RWA est une fraude au paiement visant des transactions portant sur des actifs du monde réel, couramment abrégés en RWA. Ces actifs peuvent inclure des fonds monétaires tokenisés, des titres d’État, du crédit privé, des matières premières ou d’autres créances représentées au moyen de systèmes fondés sur la blockchain. Le fraudeur ne pirate pas nécessairement le token ni son smart contract. Il se fait plutôt passer pour une personne de confiance et redirige le paiement conventionnel utilisé pour acheter ou régler l’actif.

Une cible typique est un employé de trésorerie, un administrateur de fonds, un family office, un courtier ou un investisseur institutionnel préparant une souscription importante. La victime pense qu’un représentant de l’émetteur, un agent de placement, un avocat, un agent de transfert ou un responsable d’entiercement a fourni des instructions valides. Le paiement arrive plutôt sur un compte contrôlé par des criminels, une mule financière recrutée ou une société écran dont le nom ressemble à celui du bénéficiaire légitime.

Cette distinction est importante lorsqu’on parle de produits associés à BUIDL, ONDO, PAXG ou XAUT. Ces tickers renvoient à des structures différentes et ne partagent pas un même processus de souscription. ONDO est également utilisé comme ticker de token dans l’écosystème Ondo, tandis que PAXG et XAUT représentent des produits d’or tokenisé. Une instruction de virement frauduleuse mentionnant l’un d’eux ne prouve pas que le protocole ou l’émetteur sous-jacent a été compromis. Les attaquants exploitent souvent un nom reconnaissable autour d’un paiement bancaire par ailleurs traditionnel.

Pourquoi le risque financier est inhabituellement grave

Le risque évident est de perdre la totalité du capital d’une souscription. Les virements importants peuvent transiter par plusieurs comptes de mules en quelques heures, être convertis en crypto ou quitter la juridiction de réception avant que la victime ne s’en aperçoive. Une banque peut tenter un rappel, mais un rappel est une demande plutôt qu’une annulation garantie. Le recouvrement devient moins probable à mesure que l’argent est fractionné, retiré ou transféré plus loin.

L’affaire de Hong Kong de février 2024 montre l’ampleur potentielle. La police a déclaré qu’un employé d’une multinationale avait rejoint une visioconférence qui semblait inclure le directeur financier de l’entreprise et d’autres collègues. Après l’appel, l’employé aurait autorisé 15 transferts totalisant environ 200 millions de HK$, soit environ 25 millions de dollars à l’époque, vers cinq comptes bancaires. La société d’ingénierie Arup a ensuite confirmé qu’elle était la victime, tout en indiquant que ses systèmes internes n’avaient pas été compromis.

Les deepfakes s’inscrivent dans le problème plus large du business email compromise, de l’usurpation d’identité et de la fraude aux paiements autorisés. Les rapports publics de pertes combinent souvent plusieurs méthodes, de sorte qu’aucun chiffre public fiable n’isole le montant annuel attribuable uniquement aux voix et visages générés par AI. Ce que l’on sait, c’est que le business email compromise a produit, au fil du temps, des pertes déclarées de plusieurs milliards de dollars. Pour une entreprise donnée, une seule instruction réussie peut créer une exposition immédiate à huit ou neuf chiffres.

• Perte du principal : l’argent de la souscription peut ne jamais parvenir à l’émetteur, si bien que la victime ne reçoit aucun token ni droit juridique.
• Perte opérationnelle : les équipes de trading, de trésorerie, juridiques et de réponse aux incidents peuvent passer des semaines à retracer le paiement et à préserver les preuves.
• Incertitude juridique : les contrats, les conditions bancaires, les exclusions d’assurance et l’autorité des employés déterminent qui supporte finalement la perte.
• Compromission secondaire : les documents envoyés pendant le faux processus d’onboarding peuvent exposer des passeports, des signatures, des registres de bénéficiaires effectifs et des adresses de wallet.
• Atteinte à la réputation : une divulgation tardive peut affaiblir les relations avec les investisseurs, les banques, les auditeurs et les régulateurs.

Les pertes historiques montrent également pourquoi un deepfake ne doit pas être traité comme une nouveauté qui ne trompe que des utilisateurs négligents. La défaillance décisive est généralement procédurale. Un employé peut recevoir une demande urgente, voir des dirigeants apparemment familiers et suivre un processus de paiement dépourvu de vérification indépendante. AI rend l’histoire plus convaincante, mais ce sont des contrôles d’approbation faibles qui rendent la perte possible.

Comment un faux appel d’émetteur devient un virement frauduleux

L’attaquant commence par la reconnaissance. Les vidéos de conférences publiques, les appels de résultats, les podcasts, les webinaires, les publications sociales, les dépôts réglementaires et les profils d’employés révèlent des voix, des visages, des intitulés de poste, des relations commerciales et des transactions à venir. Quelques minutes d’audio propre peuvent suffire à certains outils de clonage pour imiter des caractéristiques vocales. Davantage de matière peut aider à reproduire des schémas de parole, du vocabulaire et des mimiques visuelles, même si la qualité varie et que des artefacts peuvent encore apparaître.

Viennent ensuite l’accès ou le positionnement. Le criminel peut compromettre un compte e-mail, enregistrer un domaine ressemblant, acheter un résultat de recherche sponsorisé, créer un faux portail d’intégration ou se faire passer pour un intermédiaire sur un service de messagerie. La victime peut croire qu’elle a appelé l’émetteur parce qu’elle a composé un numéro affiché dans un e-mail frauduleux ou sur un site web cloné. En réalité, l’attaquant contrôlait le point de départ et chaque confirmation ultérieure.

Pendant l’appel, l’audio généré par IA peut être acheminé via un logiciel de voix sur protocole internet, un périphérique audio virtuel ou une conversion vocale en temps réel. L’opérateur parle normalement, le logiciel modifie la voix et la sortie modifiée entre dans une application téléphonique ou de conférence. La vidéo peut utiliser le remplacement de visage, la synchronisation labiale, des images préenregistrées ou un mélange de contenu synthétique et authentique. D’autres participants supposés peuvent être des enregistrements silencieux, des bots ou des complices qui renforcent la même demande.

Le scénario de paiement est conçu pour paraître plausible sur le plan opérationnel. Le faux représentant de l’émetteur peut dire que le compte habituel est en cours d’examen, qu’un nouveau prestataire d’escrow gère la clôture ou que le règlement doit intervenir avant une heure limite. Une seconde voix clonée peut sembler représenter l’avocat ou l’agent d’escrow. L’attaquant envoie ensuite des factures, documents de souscription, lettres bancaires ou approbations par e-mail concordants, donnant à plusieurs signaux compromis l’apparence de preuves indépendantes.

Une chaîne d’attaque crédible

• Un investisseur recherche un contact chez l’émetteur ou répond à un fil d’e-mails compromis concernant une souscription RWA.
• Un représentant à la voix familière répond et confirme le montant de la transaction, l’entité juridique et la date de clôture prévue.
• Une réunion vidéo affiche un dirigeant ou un collègue reconnaissable, parfois aux côtés de plusieurs participants de soutien.
• L’appelant introduit des informations d’escrow modifiées et explique ce changement avec un sentiment d’urgence, de confidentialité ou dans un langage réglementaire.
• La victime vérifie les instructions en répondant au même fil d’e-mails ou en appelant un numéro inclus dans les nouveaux documents.
• Les approbateurs libèrent un virement de plusieurs millions de dollars, convaincus que plusieurs confirmations ont eu lieu.
• Le véritable émetteur signale plus tard qu’aucun paiement n’est arrivé, moment auquel le compte récepteur peut déjà être vide.

Les attaquants peuvent aussi substituer une adresse de wallet crypto à un compte bancaire. Cette variante recoupe l’empoisonnement d’adresse de wallet et la manipulation du presse-papiers. Les transferts blockchain ne disposent généralement pas d’un processus de rappel bancaire, ce qui peut rendre la récupération encore plus difficile. Que le règlement utilise un virement ou un transfert onchain, les détails de destination modifiés doivent être traités comme une nouvelle instruction à haut risque plutôt que comme une modification de routine.

Pourquoi un appel vidéo ne prouve plus l’identité

La vidéo offrait autrefois une forte réassurance psychologique, car reproduire une personne connue en temps réel était coûteux et difficile. Cette hypothèse n’est plus sûre. Du matériel grand public et des logiciels largement disponibles peuvent générer un visage, modifier une voix, flouter les artefacts et acheminer le résultat vers des plateformes de réunion courantes. Une mauvaise connexion peut même aider l’attaquant, car la compression, la faible résolution, les participants en sourdine et les retards audio rendent les anomalies normales.

L’affaire de Hong Kong a montré que plusieurs personnes apparemment familières dans une même réunion peuvent toutes être fabriquées. Le consensus de groupe n’est pas utile si chaque participant et chaque invitation proviennent du même chemin compromis. Un employé qui reconnaît le visage du CFO observe une ressemblance, il ne vérifie pas le contrôle de l’identité, de l’appareil, du compte d’entreprise ou de l’autorité légale du CFO.

WPP a révélé une autre tentative de fraude en 2024 impliquant l’usurpation de l’identité du directeur général Mark Read. Selon l’avertissement de l’entreprise, les attaquants ont créé un faux compte WhatsApp, utilisé un clone vocal et employé des images publiques dans une réunion Microsoft Teams. Ils ont tenté de solliciter de l’argent et des informations personnelles tout en proposant une nouvelle configuration commerciale. La tentative a échoué, mais elle a montré comment des médias publics et des outils de collaboration ordinaires peuvent être assemblés pour usurper l’identité d’un dirigeant.

Les indices visuels peuvent encore contribuer à une enquête, mais ils ne doivent pas autoriser un paiement. Des clignements anormaux, un éclairage incohérent, des erreurs de synchronisation labiale, une formulation inhabituelle ou un refus de déplacer la caméra peuvent éveiller les soupçons. Leur absence prouve peu, car les outils de génération s’améliorent, la compression des conférences dissimule les défauts et un attaquant compétent peut mêler de vraies images à des segments synthétiques. Les logiciels de détection produisent aussi des faux positifs et des faux négatifs, ils doivent donc constituer une couche plutôt que le contrôle final.

Signaux qui justifient de bloquer un paiement

• Le compte bénéficiaire, la banque, le pays, l’agent d’escrow ou l’adresse de wallet a changé après l’intégration.
• L’appelant introduit une urgence liée à une fenêtre de clôture, un événement de marché, un audit ou une échéance de conformité.
• Le dirigeant supposé décourage tout contact avec le service juridique, la conformité, la banque ou un autre employé connu.
• L’invitation à la réunion, le numéro de téléphone ou le portail de documents a été fourni dans le même message que le changement de paiement.
• Les participants évitent les questions propres à la transaction ou expliquent les incohérences par des sujets internes confidentiels.
• Le nom du bénéficiaire ne correspond pas exactement à l’entité juridique nommée dans les documents de souscription signés.

Vérification hors bande contre confirmation dans le même canal

La vérification dans le même canal consiste à contrôler une demande via le même canal ou chemin de confiance qui l’a transmise. Répondre à l’e-mail qui a fourni les nouvelles coordonnées bancaires relève du même canal. Appeler le numéro de téléphone imprimé sur l’instruction jointe relève aussi du même canal, car l’attaquant peut contrôler les deux. Passer de l’e-mail à la vidéo n’est pas réellement indépendant lorsque l’invitation par e-mail mène à une réunion contrôlée par l’attaquant.

La vérification hors bande part d’informations de contact établies séparément avant la demande contestée. Par exemple, appeler le standard principal connu d’un émetteur depuis une fiche fournisseur approuvée, contacter un chargé de relation déjà enregistré dans le système de trésorerie ou ouvrir le portail de l’émetteur depuis un favori enregistré plutôt qu’un lien de message. L’objectif n’est pas simplement d’utiliser une autre application. Il s’agit de quitter la chaîne potentiellement compromise et de reconstruire le contact à partir d’une source fiable.

L’indépendance s’applique aussi aux personnes et aux données. Si un employé reçoit des instructions et demande à un collègue d’approuver le même PDF, deux personnes ont examiné un artefact contrôlé par l’attaquant. Une vérification plus solide charge un second employé de récupérer les instructions de règlement permanentes dans un système protégé, de contacter l’émetteur indépendamment et de comparer chaque champ important. Aucun approbateur ne doit se fier à l’identification de l’appelant, car les numéros affichés peuvent être usurpés.

• Contrôle faible : répondre à l’expéditeur pour demander si le nouveau compte est correct.
• Contrôle faible : appeler le numéro figurant dans l’instruction de virement modifiée.
• Contrôle faible : demander au même participant vidéo de montrer une pièce d’identité à la caméra.
• Contrôle plus solide : appeler un numéro d’émetteur précédemment enregistré et demander un transfert via le standard principal.
• Contrôle plus solide : confirmer séparément le changement auprès de la banque d’escrow, du conseil juridique ou de l’administrateur en utilisant des informations obtenues indépendamment.
• Contrôle plus solide : comparer l’instruction avec les documents signés et exiger une modification contrôlée lorsque le moindre champ diffère.

Aucun canal n’est parfait. Un contact enregistré peut être obsolète, un compte d’employé peut être compromis et un standard peut commettre une erreur. La vérification hors bande réduit les défaillances corrélées en obligeant l’attaquant à compromettre plus d’un système ou d’une relation indépendante. Les transactions de grande valeur doivent l’associer à une double approbation, à un accès selon le moindre privilège, à des limites de paiement et à des contrôles de changement documentés.

Une procédure de rappel vers l’émetteur qui boucle la boucle

Pour les équipes de trésorerie, l’objectif pratique est de prouver que le véritable émetteur ou l’administrateur autorisé attend la transaction exacte en cours de libération. Un rappel n’est efficace que lorsque l’équipe choisit le chemin de contact de façon indépendante. Appeler un numéro fourni par le demandeur, faire confiance à un appel entrant ou se fier à l’identification de l’appelant affichée laisse la boucle ouverte.

Avant toute demande de souscription

• Enregistrer le nom légal de l’émetteur, les contacts autorisés, le standard principal, l’administrateur, l’agent de transfert, le prestataire d’escrow et les coordonnées bancaires approuvées dans un système restreint.
• Obtenir ces informations à partir d’accords signés, de registres réglementaires, d’un portail d’émetteur authentifié ou d’une relation vérifiée existante, et non d’un nouvel e-mail de paiement.
• Définir quels rôles peuvent demander un changement de paiement et exiger que deux employés approuvent tout changement impliquant un bénéficiaire, une banque, un numéro de compte, un code SWIFT, un numéro d’acheminement ou un wallet.
• Convenir que l’émetteur n’exigera pas le secret et ne contournera pas le processus de rappel, même à l’approche d’une échéance de clôture.

Lorsque les instructions arrivent

• Suspendre le paiement si un champ de destination diffère de l’enregistrement permanent. Ne pas modifier l’enregistrement maître à partir du document entrant.
• Demander à un second employé de récupérer le numéro d’émetteur établi sans utiliser les liens, signatures, pièces jointes, messages de chat ou résultats de recherche fournis pendant la transaction.
• Passer un appel sortant au standard principal connu de l’émetteur. Demander à l’opérateur de mettre l’équipe en relation avec le représentant précédemment autorisé, plutôt que de demander un numéro direct à l’appelant initial.
• Indiquer la référence interne de la transaction et demander au représentant d’identifier l’entité investisseuse, l’actif, le montant, la devise, la date prévue, le nom légal du bénéficiaire, la banque, la fin du numéro de compte et la raison de tout changement.
• Relire chaque champ important du règlement. Ne pas accepter une réponse générale indiquant que les informations sont correctes.
• Mettre fin au premier appel et contacter indépendamment le prestataire d’escrow, l’administrateur ou le conseil juridique en utilisant ses informations précédemment vérifiées. Confirmer qu’il reconnaît la même transaction et le même bénéficiaire.
• Exiger une modification formellement signée pour les instructions modifiées, puis valider les signatures ou l’approbation numérique via le processus documentaire établi.
• Appliquer un délai de réflexion pour les comptes récemment modifiés lorsque les opérations le permettent, et demander aux deux approbateurs de documenter les sources, l’heure, les contacts et les champs vérifiés.

Cela boucle la boucle, car la transaction commence dans l’annuaire de confiance de l’investisseur, atteint le véritable émetteur via son standard établi et revient avec des informations propres à la transaction qui peuvent être rapprochées des enregistrements contrôlés. Une correspondance vocale ou un visage reconnaissable n’est pas nécessaire. La procédure vérifie l’autorité, la destination et les détails de la transaction plutôt que l’apparence.

Si un paiement suspect a déjà été envoyé, contactez immédiatement le service fraude de la banque émettrice et demandez un rappel ou un gel du virement. Informez l’institution réceptrice lorsque cela est autorisé, conservez les e-mails, journaux d’appels, en-têtes, documents, coordonnées de compte et enregistrements de réunion, et impliquez le conseil juridique, les assureurs et les forces de l’ordre. Ne continuez pas à dialoguer avec l’attaquant suspecté depuis des comptes d’entreprise ordinaires, car cela peut révéler le plan de réponse ou détruire des preuves.

Suivre les signaux de sécurité RWA avec contexte

Les marchés RWA et les techniques de fraude qui les entourent évoluent rapidement, tandis que les rapports d’incident mêlent souvent de véritables défaillances de protocoles à des usurpations d’identité offchain. Zippfeed organise les titres pertinents avec un score de sentiment bullish, neutral ou bearish et une note d’importance, aidant les équipes de sécurité et de trésorerie à distinguer le bruit du marché des évolutions pouvant justifier une révision des contrôles. Le sentiment est un contexte, pas une preuve, la vérification des paiements doit donc toujours reposer sur des procédures établies de manière indépendante.