Ce que MetaMask fait de vos données

“Les nouvelles conditions générales publiées aujourd’hui sont lourdes de sens”, regrettait un internaute sur Twitter. ConsenSys, l’une des sociétés les plus importantes dans le monde pour la blockchain et des crypto-monnaies, s’attire des ennuis. “En 3 ans, l’entreprise est passée d’un discours de protecteurs de la vie privée à celui de collecteur de data”, ajoutait-il.

Jeudi 24 novembre, celle qui gère le portefeuille décentralisé MetaMask, pour les crypto-monnaies sur Ethereum, a modifié sa manière de fonctionner et indiqué clairement qu’elle suivait une logique de collecte de données de ses utilisateurs, malgré la nature entièrement décentralisée de sa plateforme. Il y a quelques heures, c’était la plateforme Uniswap qui adressait les mêmes déclarations à ses clients.

Voilà donc un gros changement sur deux des principaux services travaillant sur la Blockchain Ethereum. La vie privée n’est plus une priorité, et les conditions d’utilisation de MetaMask et Uniswap questionnent sur le modèle économique de ces outils. Le portefeuille numérique de type Wallet web3, MetaMask, n’est pas seulement utile pour dépenser des crypto-monnaies. Il est aussi un moyen de s’identifier sur de nombreux services décentralisées (DApps). D’où la préoccupation des clients.

“Sa formule est très clairement axée sur le respect des données privées”, écrivait encore le site CryptoActu en juillet 2020 pour décrire MetaMask. “La dernière mise à jour V8 du projet permet ainsi à l’utilisateur de gérer intégralement ce à quoi les sites Internet peuvent avoir accès ou non lors d’une connexion de l’application. Il est également possible de créer des comptes spécifiques pour certains sites de manière à contrôler les données concernées”, pouvait-on lire sur leur site.

ConsenSys announced an update to its privacy policy on November 23 (including metamask infura and more): When you use Infura as your default RPC provider in MetaMask, Infura will collect your IP address and your Ethereum wallet address when you send a transaction. pic.twitter.com/cBsqU2374o

— Wu Blockchain (@WuBlockchain) November 24, 2022

Les données récupérées par MetaMask

Le changement a eu lieu sans le moindre avertissement. C’est le journaliste spécialisé en crypto-monnaies Colin Wu qui a rapporté la nouvelle en fouillant dans les conditions d’utilisations de MetaMask. Les données concernées sont relatives à l’adresse IP de l’utilisateur et son portefeuille numérique. Autrement dit, il leur serait aussi possible de récupérer les noms, prénoms, âge, sexe, nom d’utilisateur et mot de passe renseignés.

Rapidement, le cofondateur de MetaMask Dan Finlay a réagi. Il tentait de rassurer les utilisateurs en expliquant que ces informations collectées n’avaient aucune utilité au service, et qu’il reconnaissait qu’il s’agissait “d’un problème”. Selon lui, la mauvaise pratique pourra être rapidement réglée, certainement lors des vacances après Thanksgiving. Autrement dit ces prochains jours. “Nous n’utilisons pas les adresses IP, même si elles sont stockées temporairement, ce qui n’est pas nécessaire, car nous ne les utilisons pas, pour quoi que ce soit”.

Cette honnêteté soulève tout de même la question à savoir pourquoi MetaMask s’est vue dans l’embarras à devoir collecter ces informations du jour au lendemain. Cela soulève aussi la question si le service Web3 collectait les données par le passé, sans en informer ses 21 millions d’utilisateurs. Avec l’affaire FTX, qui a entraîné une crise de confiance dans les services de crypto-monnaies, MetaMask a peut-être voulu rester prudent et annoncer elle-même l’existence de cette pratique en attendant de pouvoir annoncer qu’ils allaient y remédier.

“N’ignorez pas cette pratique”

En substance, il est possible de contourner la collecte. MetaMask n’est pas directement à l’origine de l’enregistrement des adresses IP et adresses Ethereum. Il s’agit de la suite d’outils de Infura, aussi détenue par la société ConsenSys, et qui sert dans le protocole en tant que fournisseur de RPC (Remote Procedure Call), ce qui permet de réaliser les transactions (les RPC communique à distance avec les noeuds blockchain pour mener à bien les opérations).

En accédant aux paramètres de MetaMask, les utilisateurs peuvent changer de service en cliquant sur “Ajouter un réseau” depuis le menu des réseaux de votre Wallet. Cela dit, il faudra là encore en trouver un qui ne collecte pas vos données. Nos confrères de Journal du Coin suggéraient d’utiliser le RPC de Ankr.

“N’ignorez pas cette pratique. C’est de cette façon que vous serez écarté du système financier dans un avenir pas si lointain. C’est comme ça qu’ils vont le faire”, tirait le signal d’alarme le controversé personnage de Chris Blec sur Twitter, fervent défenseur de la finance décentralisée. “Je pense qu’un jour viendra où, vous savez, les banques censureront les gens s’ils violent les normes ou s’ils ne respectent pas les normes sociales”, se confiait-il déjà en juillet 2021 dans une interview accordée à CoinTelegraph.