Une fortune à portée de main, mais impossible à utiliser. Après avoir perdu l’accès au mot de passe de son portefeuille numérique, un homme pensait ses bitcoins irrécupérables. Deux experts ont pourtant réussi à débloquer la situation grâce à une faille étonnante : ils ont reproduit les conditions dans lesquelles son mot de passe avait été créé des années auparavant.
Posséder des bitcoins et pouvoir les dépenser sont deux choses différentes. Michael, un propriétaire de cryptomonnaies installé en Europe, en a fait l’expérience. Son portefeuille contenait 43,6 bitcoins, mais il ne disposait plus du précieux sésame permettant d’y accéder. L’histoire, rendue publique en 2024, raconte comment une protection destinée à sécuriser son argent s’est transformée en obstacle.
Un mot de passe de vingt caractères devenu inaccessible
Pour protéger son portefeuille, Michael avait utilisé RoboForm, un logiciel capable de générer des mots de passe. Celui qu’il avait créé comptait vingt caractères. Il l’avait ensuite enregistré dans un fichier chiffré avec TrueCrypt. Mais ce fichier a été endommagé, le privant d’accès à son mot de passe et, par conséquent, à ses bitcoins.
La situation avait de quoi sembler sans issue. Michael possédait toujours son portefeuille numérique, mais la combinaison nécessaire pour l’ouvrir lui échappait. Au fil des années, la hausse du bitcoin a donné une tout autre dimension à ce problème. Derrière cette suite de caractères se trouvait désormais une somme susceptible de changer une vie.
Un spécialiste refuse d’abord de relever le défi
Michael a sollicité Joe Grand, un spécialiste de la sécurité informatique également connu sous le pseudonyme de Kingpin. Mais sa première réponse n’a pas été celle espérée. Face au nombre de combinaisons possibles, retrouver le mot de passe en les essayant toutes paraissait irréaliste. Joe Grand a donc d’abord refusé le projet, avant de s’y intéresser à nouveau avec un autre expert, Bruno, explique El País dans un entretien avec le chercheur.
Un mot de passe long ne se retrouve pas comme un code de cadenas à quelques chiffres. Chaque caractère supplémentaire multiplie les possibilités. Il fallait donc trouver un indice permettant de réduire la recherche, plutôt que compter uniquement sur la puissance d’un ordinateur.
Le duo s’est intéressé à une question décisive : comment le logiciel avait-il fabriqué cette combinaison ? Si sa méthode présentait une faiblesse, peut-être serait-il possible de reproduire son travail. Ce changement d’approche allait ouvrir une piste inattendue.
Une faille permet de faire « remonter le temps » au logiciel
Sur le site de son entreprise, Grand Idea Studio, Joe Grand explique que d’anciennes versions de RoboForm présentaient un défaut dans leur génération de mots de passe. Les combinaisons semblaient aléatoires, mais elles dépendaient en réalité de l’heure du système au moment de leur création.
Cette particularité changeait la nature du défi. Plutôt que chercher une combinaison parmi toutes celles imaginables, les chercheurs pouvaient tenter de recréer les mots de passe produits à une période donnée. À condition de retrouver les bons réglages, le logiciel pouvait refaire ce qu’il avait déjà fait.
L’expression « remonter le temps » décrit cette manipulation informatique. Les experts ne récupéraient pas une ancienne copie miraculeusement conservée quelque part : ils reproduisaient les conditions nécessaires pour générer à nouveau le même résultat. Une faiblesse de conception devenait ainsi une chance pour le propriétaire du portefeuille.
La date ne suffisait pas : il fallait aussi retrouver les bons réglages
La documentation technique publiée par Joe Grand montre toutefois que connaître la période de création ne réglait pas tout. La longueur du mot de passe, l’utilisation de majuscules, de minuscules, de chiffres ou de caractères spéciaux intervenaient également dans le résultat.
On peut comparer le principe à une recette : retrouver un ingrédient ne suffit pas si les proportions des autres ont changé. Pour obtenir exactement la même combinaison, il fallait reproduire les paramètres d’origine. Une mauvaise hypothèse pouvait donc conduire les chercheurs à générer de nombreux mots de passe sans jamais faire apparaître celui qu’ils cherchaient.
Le duo a développé un programme capable d’automatiser cette recherche sur une plage de dates. Cette étape permettait de tester méthodiquement leur découverte, sans refaire chaque manipulation à la main. Le travail consistait désormais à explorer un ensemble de possibilités lié au fonctionnement du logiciel, plutôt qu’à deviner arbitrairement vingt caractères.
Un détail oublié finit par débloquer la situation
Les premiers essais n’ont pas suffi. Michael pensait notamment avoir utilisé des caractères spéciaux. Cette piste s’est révélée trompeuse : le bon mot de passe n’en contenait pas. Selon l’enquête de WIRED publiée le 28 mai 2024, les experts ont finalement retrouvé une combinaison générée le 15 mai 2013. Ils ont annoncé leur réussite à Michael en novembre 2023.
Ce dénouement illustre toute la difficulté de l’opération. La faille rendait la récupération possible, mais encore fallait-il retrouver les conditions exactes de création. Un souvenir imprécis sur un réglage pouvait maintenir la porte fermée, même lorsque les chercheurs disposaient de la bonne méthode.
Pourquoi cette histoire parle de 3 millions de dollars
Le montant spectaculaire associé à cette affaire correspond à une valorisation rapportée en 2024. El País précise qu’au moment de la rencontre avec Michael, à l’automne 2023, les experts lui avaient présenté un chèque symbolique de quelque 1,6 million de dollars. Le portefeuille était ensuite présenté comme valant environ 3 millions de dollars en 2024. Ces chiffres reflètent des cours différents du bitcoin, et non deux récupérations distinctes.
Il ne s’agissait donc pas d’un versement bancaire de 3 millions de dollars effectué le jour du déblocage. La réussite des chercheurs a rendu à Michael la possibilité d’accéder à ses cryptomonnaies. Leur valeur, elle, dépendait du marché.
Cette histoire n’offre pas une solution universelle aux mots de passe perdus. Elle repose sur une faiblesse précise d’anciennes versions d’un logiciel, que RoboForm indique avoir corrigée en juin 2015. Pour Michael, toutefois, cette particularité a fait toute la différence : une combinaison devenue inaccessible pendant des années a finalement pu être recréée, lui rendant l’accès à son argent.
