Il œuvre pour la sécurité et la crédibilité des cryptos - Avec Sébastien Martin de RAID Square

[Musique]

alors bonjour Sébastien Martin bonjour al je suis romain pour le journal du coin ravi de t'accueillir dans cette édition 2024 de cryptoxer alors tu es CEO de Red Square est-ce que tu peux nous dire avant qu'on aborde un peu plus en détail qu'est-ce que vous faites d'où c'est parti pourquoi Red Square ok bon déjà effectivement je suis CEO et cofondateur de Red Square donc moi je suis juriste de formation au droit des affaires droit français droit allemand j'ai étudié pendant 5 ans dans les dans les deux pays en France on Allemagne j'ai fait différentes expériences en cabinet d'avocat Cliff en corporate man aussi été en restructuring et j'ai travaillé je suis arrivé par hasard on va dire de l'écosystème web 3 par le biais de on va dire d'amis qui m'ont dit que je pouvais apporter des choses à l'poqueisfe que j'ai rejoint en tant que stagiaire et puis j'ai travaillé sur différents agréments CP et puis une des premières io qu'elle vis facultative de la MF déjà tu as un background accès risque réglementation voà voilà donc ça c'est mon background et puis en fait pour nous c'est une notion qui est assez fondamentale de dire que la gestion des risques part on va dire de la loi c'estàd que c'est la loi qui dit que parlons d'exemples concrets aujourd'hui dans le cas du psan renforcé de mamik il faut des dispositifs cyber il faut une politique lcbft donc le lutte contre le bchement d'argent et le financement du terrorisme il faut une on va dire une politique de prévention des conflit d'intérêt il faut des gens qu'on je dirait l'expérience et la capacité de faire ce pourquoi il candidate et aussi d'une notion d'honorabilité et donc la loi on va dire met le cadre et pour une boîte comme la gestion des risques bah on on part de la loi et puis on dit bon bah ok ok mettons un audit cybersécurité pour un acteur psan qu'est-ce que cela veut dire quels sont qu'est-ce qu'il faut pour un dispositif lcbft ok concrètement à quoi ça ressemble euh quels sont les outils à utiliser potentiellement quels sont on va dire l'organisation interne à tir les process et cetera et sur les questions d'honorabilité comment expliquer que par exemple tel acteur a eu telle et telle expérience qui font qu'aujourd'hui il peut prétendre je dirais bah justement revendiquer une honorabilité qui fait que les régulateurs pourront potentiellement l'accepter et donc notre métier est au croisement du légal et de la tech légal parce que voilà encore une fois ça part de la lo et tech parce que ben on est dans un environnement technologique euh et donc moi bah je suis juriste je ne suis pas tech à proprement parler mais je sais comment dirais-je identifier les vecteurs de risque et derrière il répond donc pour en revenir à square ben on s'est dit ben il y a beaucoup d'enjeux de risque dans notre écosystème on parle de bah de de faux placements donc on parle de de hack on parle de crise de façon générale et donc il faut pouvoir y répondre et donc on s'est dit bah euh il faut créer une boîte qui est qui est vraiment spécialisée là-dedans et donc c'est finalement la raison d'être de Red Square que d'être un guichet unique de la gestion des risques et euh un mois après notre création juridique euh on a eu la chance en plus de devenir partenaire stratégique d'un des leaders européens de l'intelligence économique for global il fait plus de 100 millions d'euros de chiffre d'affaires et euh avec lesquels on va dire on développe une offre commune où chacun importe on va dire le meilleur des deux mondes pour être en capacité une finé de traiter l'ensemble du spectre des menaces ce qui veut dire que par exemple quand un projet vient vous voir vous pouvez l'accompagner pour l'auditer peut-être et vérifier s'il est conforme à la réglementation et aussi avoir tout cet aspect technique donc vous avez un spectre relativement large d'intervention c'est c'est pas que le leggol c'est pas que la tech c'est vraiment un accompagnement de A à Z sur comment bien être conforme sur tous les aspect et faire prendre de risque au clients enfin pas à la société qui est votre propre cliente au niveau réglementation ni à ses clients à elle parce que vous l'aurez audité peut-être et vous aurez vérifié que ça fonctionne en faitors du légal en fait on en fait pas en fait on en fait pas directement puisque en France ça relève du du monopole des avocats par contre au travail avec des cabinets d'avocats qui disent bah tel projet rentre dans tel on va dire qualification juridique typiquement le psan et donc il y a telle et telle conséquence et nous à cabinet d'avocable on sait traiter du légal mais on sait pas gérer du cyber on va dire sous untech et on va pas gérer d' et donc c'est là où des sociétés comme la NRE interviennent et euh je dirais donc on intervient dans deux cas effectivement interven en préventif là dans le volet cyber ça va englober l'audit et on réagit aussi à des situations de crise puisque malheureusement des fois il peut en avoir et là en général je tiens à préciser que c'est on n jamais eu de clients pour lesquels on a fait des audit quand eu des crises c'est en général des gens des gens qui viennent vous voir alors que ça s'est mal passé voilà et qui vous disent qu'est-ce qu'on peut faire maintenant voouaà donc si tu voux on a on a de an d'entrée effectivement euh dans des projets c'est des gens qui veulent éviter des situations de crise et des gens qui ont des crises il faut y répondre typiquement euh dans la semaine on a un acteur qui a eu un ransomware voilà c'est pour donner des exemples un petit peu plus précis au aux auditrices et auditeurs et on intervient aussi pour donc aujourd'hui par exemple sur on a deux gros métiers euh de façon très concrète on a l'investigation où là on va traiter les volet on chain et off chain et la cybersécurité en traitant les volets de vulnérabilité centralisé décentralisé et justement parce qu'on a tendance un petit peu dans le web 3 à dire les vecteurs de risque bah c'est Smart contract focus ouais et et et en réalité Smart contract c'est qu'une partie et en réalité bah les rpol c'est pas un smart contract forcément enfin a priori le Smart contract ne va pas prévoir de ropol mais en réalité l'équipe derrière a géré une finalité donc ça il faut pouvoir le détecter et donc il faut pouvoir travailler à des scénarios de menace et potentiellement on va dire de rendre nul toute tentative qui viserait à dire bah moi demain en fait j'avais une intention cachée de faire un REPOL et en réalité bah de de mettre des gardes de fous qui vont éviter cette situation voilà en fait notre métier très concrètement et aujourd'hui bah des investigations on a fait plus de 50 on a je pense que vous allez avoir du travail Paron a vu que 2023 ça avait quand même été une année assez chargée en terme d'escroquerie de hack malheureusement encore pour le secteur crypto donc nécessairement je pense que votre proposition elle est nécessaire au secteur et est-ce que tu penses qu'on a encore beaucoup de chemin à faire oui oui oui donc pour nous c'est en tout cas c'est notre vision qui n'engage que nous et en particulier moi en tant que CEO c'est on est totalement au début on est sur un on va dire un segment de marché où pour résumer ma pensée c'est la sécurité on en parle matin M dans web 3 on en fait en réalité pas beaucoup assez peu ou et et en réalité la ça se décrète pas ça se fait et et en réalité on est on est beaucoup des fois dans des aspects communication de la sécurité typiquement quelqu'un qui a été audité va mettre en avant l'udit systématiquement sauf qu' il faut peut-être le refaire il faut et puis en fait c'est surtout ça importe peu qui a fait l'audit en réalité et dans notre vision une bonne boîte d'audit et les meilleures boîtes d'audit du monde parfois ne revendiquent absolument pas d'avoir fait tel et tel audit par exemple donc je prends un exemple qu'on connaît bien c'est notre partenaire stratégique a une filiale cybécurityé qui s'appelle l'fo l'xfo ne revendique pas matin midi soir j'ai fait un audit pour tel et tel acteur et pourtant ils en font plus de 1000 par an et ils ont des qualifications ANC de très haut niveau donc je pense que on arrivera il faut sortir de cette de ce pur marketing de laurité d'près toi ouais exactement et ça c'est et ça c'est un nos enjeux majeurs euh et ensuite là où je pense que il y a beaucoup de de marge de manœuvre c'est qu'il faut organiser l'écosystème de sécurité du web 3 parce que si tu veux il y a beaucoup d'acteurs qui sont éparpillés les acteurs ne se parlent pas et dans les situations qu'on a à traiter en réalité il faut mettre en musique plusieurs compétences euh juridique technique cyber la communication parce que bah comment je gère si j'ai une crise les risques en de on va dire d'AT l'image et ça ça passe par une communication on va dire extrêmement bien gérée oui qui a été anticipée voilà et donc il faut bah effectivement l'anticiper ça veut dire il faut que j'anticipe la possibilité que ça peut mal se passer ça peut m'arriver un jour et donc moi j'ai mis en place telle et telle bonne pratique avec des acteurs où en gros j'ai un coup de fil à passer et j'ai quelqu'un qui est prêt à ça va lancer le process tout et à l'inverse si on le fait pas et ben on arrive dans des situations qui sont euh parfois en con et là où je me dis que il y a une marche de progression en plus c'est globalement que la sécurité les gens disent toujours c'est loin ça m'arrivera jamais

[Musique]

euh tous les jours des exemples qui sont à voir même parfois des gens qui sont depuis longtemps dans l'écosystème que ce soit des des sociétés ou même à tytre personnel des gens qui qui sont là depuis 5 ans peut-être et qui avait toujours pas leur fond sur hardware Wallet par exemple en c'est un exemple parmi d'autres he mais ah non mais par exemple bah hier on était là et on discutait aussi avec euh des personnalités de l'écosystème et après on avait une table ronde avec la gendarmerie nationale en particulier le colonel du linage dans le casre du coup de de crypto exer à auxer et euh justement le colonel disait euh euh bah euh il y a même des personnalités l'écosystème qu' on perdu des fonds il y a même des personnalités l'écosystème qu'on puiss faire hacker et la sécurité c'est un terrain humble ça veut dire euh il faut pas dire euh je suis le meilleur en sécurité j'ai fait un audit ça est est terminé ouais systématiquement se remettre en question prendre du recul ouais exactement et en fait la sécurité pour résumer pour moi d'abord c'est euh un spectre de menace web 3 donc le web 3 on va dire à ces menaces on va dire inhérentes ça peut être des failles dans des blockchains qui est une infrastructure ça peut être des failles parce que mes équipes par exemple ont pu faire une erreur ça peut être que l'humain derrière le projet est lui-même un vecteur de risque parce que par exemple il a des relations pe recommandables parce que il a un passé on va dire où où il a des intentions effectivement cachées et ensuite il y a le côté on va dire extérieur où on est sur un marché bah qui est encore on va dire assez récent et il peut avoir aussi ses propres crisees qui peuvent potentiellement impacter on va dire les acteurs de façon totalement gérée inattendue ouais et donc ça il faut pouvoir le prendre en considération et pouvoir gérer euh tout au long de la vie du projet dire on va en réalité mettre des gardes fous qui fait que ces situation là on va pouvoir elles peuvent arriver et je dirais le tout c'est pas si vous voulez il y a pas de honte qu'une situation de crise arrive il y a même des plus gros acteurs de l'économie mondiale qui crise assez fréquente voilà mais le tout c'est pourir de dire ok j'ai une crise et je va et puisque je suis un acteur qui VE être sérieux je je en situation tu répond ok très bien voilà très clair alors du coup pour faire le lien avec ce que tu disais et essayer de faire en sorte que ces crises elles soient peut-être mieux anticipée par l'écosystème que les gens s'y intéressent plus vous êtes aussi à à l'origine ou à l'initiative de la création d'une association qui est la Ligue pour la sécurité du web 3 est-ce que tu peux nous en parler un petit peu est-ce que c'est venu justement de cette prise de conscience qu'il fallait absolument faire step up un petit peu notre notre écosystème en terme de sécurité et aussi amener des gens à se parler qui peut-être était encore éloigné exactement donc bah un c'était de dire on part du du postulat ok la sécurité est importante ouais a-t-on une association non non oui déjà problème voilà déjà problème ça veut dire ok on n pas de cadre où se retrouver donc on va d'abord créer ce cadre ensuite automatiquement en France on a la chance c'est qu'on a une une vieille loi de la République qui est la loi la liberté d'association et donc la liberté association bah il faut des membres il faut une gouvernance et il faut g DIRIS des des des membres qui sont fédérés si tu veux par un un objet social et un objectif et donc en fait on a expliqué le constat on a dit il faut créer une structure et on a eu la chance d'avoir parmi donc la gendarmerie nationale à rejoint lebord on a vivindi on a des avocats de crramer Lévin Dominique Pénin qui s'occupe du volet judiciaire de de crramer Lévin on a morpholabs enfin et puis après on a des acteurs bah il y a binance il y a flodesque il a morpholabs Taurus craoll enfin énormément de d'acteurs et justement qui sont tous rassemblés autour du constat que ok la sécurité est importante mais du coup maintenant il va falloir qu'on contribue concrètement un il va falloir créer un annuaire de rassembler les gens et de pouvoir être identifié sur les expertises de chacun ce qui fait que si demain j'ai une situation de crise je sais qui contacter sur quoi déjà ça c'est un un petit pas à priori puis les gens dir ça peut faciliter grandement les choses voilà et et ensuite il y a le fait de dire bah maintenant autour de nos trois verticales d'activité la le judiciaire le cyber et la protection de la propriété intellectuelle dans l'environnement décentralisé on va travailler à l'identification de bonnes pratiques ce qui fait que les acteurs vont pouvoir commencer à se dire OK ok ça c'est mon référentiel et ça c'est les on va dire réflexes que je dois avir de la sécurité voilà alors l'ISO on va y arriver dans un temps encore un peu plus lointin mais c'est vraiment cette idée de référentiel auquel ser en tout cas on va y arriver on va dire à plus long terme ou en fait et si moi je disais on va arriver à des standards comme ça bah on ne serait pas crédible parce que effectivement bâtir des standards prend du temps oui il faut aussi beaucoup d'humilité sur les standards et il faut aussi que les standards soient vraiment on va dire pertinents adaptés et reconnu par tous parce que il y a ce côté universel des standards dans une industrie et effectivement pour finir donc oui on a impulsé en soit la Ligue mais géris c'est une démarche collective et effectivement j'ai été élu président euh de la Ligue pour la sécurité du web 3 et on a plus de 40 membres on est partenaire de la Dane sur la la commission cyber l'idée c'est d'arriver à une démarche conjointe puisque voilà sur les psan les considérations cyber augmente et que on a un pôle d'expertise qu'on peut apporter sur ce volet technique et la Dane à gérer toutes les compétences et la notoriété pour apporter aussi le volet connaissance juridique de la chose et aussi un certain nombre de réseaux politiques pour ensuite faire entendre la voix de façon organisée coordonnée la voix du du web 3 ok très bien donc c'est vrai que c'est des une création qui encore relativement récente mais on voit qu'il y a une vraie traction il y a beaucoup de partenaires qui sont vraiment attachés à cette association qui ont je pense perçu ce dont on parle depuis tout à l'heure et ce besoin vraiment de de gagner aussi en en sérieux en image auprès de bah déjà des acteurs peut-être plus traditionnels qui eux ont des standards élevé et qui les respectent depuis longtemps et nous qui arrivons un petit peu en faisant la en dansant un petit peu n'importe comment ex c'est vraiment vraiment important que vous faites tant dans Red Square que avec cette association voilà et derrière effectivement c'est c'est l'enjeu bah pour adopter une technologie l'une des conditions c'est y a-t-il des référentiels et la réponse est non pas encore et donc s'il y a pas de référentiel les acteurs on va dire institutionnels se disent mais qu'est-ce que je vais y faire où est-ce que je mets les pied comment et et je pense que notre technologie est suffisamment intéressante la blockch qu'on se donne la peine vraiment de voilà et donc pour ça il faut prendre le temps il faut prendre le temps il faut bâtir et euh c'est aussi ass intéressant je pense que la France au niveau européen et cette prise de conscience et s en cela que la Ligue est une initiative de place et pas une initiative on va dire personnelle et euh et aussi bah de que quelques membres mais c'est vrai que je pense tous ceux qui nous et celles qui nous écoutent qui se rendent pas compte tous les secteurs un peu sérieux ont leur associations se réunissent régul irement au sein des banques où moi je travaillais pendant longtemps on a quand même ce des réunions de place pour définir ce qui va être fait les problématiques actuelles comment y répondre et on peut pas avoir une une vraie ça permet aussi d'avoir une voix unie comme tu dis et de pouvoir s'exprimer avoir être vraiment audible par rapport à notre et puis et puis aussi ça va permettre aussi de rassurer parce que pour là revenir à une thématique un peu plus Red Square c'est le l'environnement du web 3 est vu comme une zone de ris et si quelque part il y a pas de voix organisée de la gestion des risqu enfin de la gestion des risques et de répondre au menace je sais pas comment et comment tu viser l'adoption peut-être attirer le grand public en disant venez voir c'est rigolo tout est risqué exactement et et pour autant tout le monde parle tous les 4 matins oui la sécurité c'est important ou non mais je te rejoins tout à fait même une vision qui m'a l'air assez saine en tout cas de de notre écosystème et qui j'espère se développera bien sûr on va tout en tout cas on va tout faire pour et on a la chance aussi d'avoir des membres très engagésou c'est extrêmement important et je pense que les gens sont très organisés enfin très intéressés par l'initiative je oui moi je tout simplement parce que ça répond à un besoin de interview qui j'ai parlé vraiment m'ont tous dit c'est super il faut pousser ce genre de de c'est nécessaire pour l'écosystème ah ben en fait c'est c'est une initiative de tout l'écosystème et je pense que justement l'écosystème peut trouver son salut à l'heure où il est parfois décrié en disant mais nous on a pris conscient on est en train d'agir voà et c'est ça et et en fait de de des fois on a le droit de se tromper ça fait partie de on va dire des leçons de la vie par contre il faut toujours oser ouais et il faut oser à un moment se dire on travaille euh tous bah on est à crypto XR on est une on est une réunion un rassemblement d'entrepreneurs vous aussi vous êtes en des entrepreneurs en tant que médias et donc euh les entrepreneurs se disent mais voilà moi je veux être sérieux j'ai vocation à devenir beaucoup plus mainstream que ce que je suis actuellement parce qu'on a aussi une bulle enfin je dirais on est on est un tout petit microcosme et il faut pouvoir l'ouvrir et dernièrement je voyais des chiffres qui disaient qu'on était à peu près 500 millions on va dire d'utilisateur et je voyais au même moment un gros cabinet de conseil on peut les citer Roland Berger qui qui faisait paraître une étude sur comment le Bitcoin répond à des enjeuxg et il disait on a tendance à se con centré sur l'enjeu environnemental mais on oublie les les aspects sociétaux ouais et on dit infé que c'est une technologie qui va permettre de d'emmener des solutions bancaires 1,5 billion de personnes qui sont unbanked et avec ça ça fait déjà un potentiel de de 2 milliards et on on en bordera pas au total 2 milliards si les gens se disent bah l'argent que je mets peut-être que je être amené à le perdre et en plus combien même je le perd euh bah on est en incapacité d'y répondre et de m'aider à le retrouver j'ai pas de il y a pas de procédure cadre il a pas exactement et donc suron nous euh et l'enjeu pour tout l'écosystème c'est de dire on n'est pas une zone de non droit euh pour autant on surestime pas j' dirais les montants parce que on a tendance à dire le Bitcoin et l'argent qui blanchit euh donc ça c'est le premier travers le second travers est de dire bah c'est un non sujet ouais non non il y a un juste milieu à trouver VO et le juste milieu c'est de dire on a un défi le défi faut y répondre et si les montants on va dire dans un cas sont peut-être encore aujourd'hui faibles au Prata du montant global de l'écosystème bah si demain l'écosystème était peut-être amené à faire x 10 ouais oui il faudrait essayer de faire en sorte que et donc il faut l'per il faut s'organiser et donc effectivement ça c'est un enjeu de la Ligue ça c'est la première initiative qu'on lance il y a une seconde initiative aussi qu'on lance c'est le web soci Summit au sein du Forum in cyber qui est donc est le plus gros éent cyber en Europe 20000 visiteurs 700 sponsors donc de l'événement il y a Airbus talè des acteurs comme ça et nous on lance on scin le justement le Web Security sumit qui un événement associé où l'idée c'est justement de pouvoir réfléchir sur les grands enjeux de sécurité de façon large parce que encore une fois nous on entend la sécurité de façon large il y a pas que la cyber il y a le judiciaire il y a les enjeux on va dire aussi autour de la lutte contre la fraude ouais et il faut pouvoir aussi montrer les solution de sécurité qui existe et qui répondent justement ces trois domaines en tout cas dans un premier temps on va commencer autour de ces trois domaines évidemment il y en a plus mais on peut pas commencer à faire les 10 et en fait en faire que deux il faut d'abord commencer de façon pragmatique et ensuite on va avoir une dimension pratique puisque il y aura une compétition cyber capture de Flag web 3 ok avec 25 équipes chacune composée de 10 hackerss 250 hackurs web 2 qui vont commencer à vouloir s'intéresser au Web 3 et donc ça ça répond un des enjeux que beaucoup aussi nos clients et partenaires nous remontent qui de dire bah on a une pénurie de talent les meilleurs hackurs ils sont déjà pris ils sont très des fois ils sont très chers donc il faut pouvoir aussi faire émerger une nouvelle scène de 3 et en plus ce qui est intéressant c'est que pour moi le fix c'est un environnement donc qui est devenu le forumba Europe c'est un événement on va dire web 2 et justement c'est intéressant qu'il se dote d'un événement associé web 3 et en cela d'être on va dire un lieu d'adoption possible de la technologie par on va dire la rencontre et donc la rencontre ça peut être aussi et d'après moi en tout cas c'est un vecteur de confiance des acteurs qu'on rencontte pas il est parfois très compliqué de de pouvoir faire confiance oui ça c'est sûr voilà et donc par la rencontre en tout cas synergies on s'identifie après on se teste et peut-être qu'après tout ça est devenu un succès on se dira bah comment on va plus loin et donc si le web secity peut être ce lieu et j'espère qu'il le sera et ben déjà on aura apporté des vraies réponses d'accord très clair super écoute merci beaucoup d'avoir été avec merci pour l'interview ça fait plaisir pu excellent excellente suite pour le salon de crypto 2024 exactement et puis au plaisir de de se revoir à très bientôt merci à très bientôt salut

[Musique]