Jay Freeman ne faisait que se promèner lorsqu’il a trébuché sur le plus grand jour salarial de sa vie.
Freeman est un chercheur en sécurité connu pour fournir des logiciels pour les systèmes d’exploitation de téléphones mobiles qui ont été « débridés » (modifiés pour permettre aux utilisateurs de personnaliser leur système d’exploitation). Un jour, il a découvert comment les « contrats intelligents » fonctionnent pour alimenter les transactions sur Optimism, une blockchain Ethereum utilisée par la société de logiciels open source qu’il a cofondée, Orchid Labs. À la surprise de Freeman, il a découvert ce qui ressemblait à un bug logiciel critique dans une machine virtuelle qui pouvait permettre à un pirate informatique de créer et de voler des millions, voire des milliards de dollars en monnaie numérique.
Après avoir créé une « preuve de concept » pour vérifier son travail et détailler le préjudice potentiel pour une entreprise, il a été convaincu qu’il était sur quelque chose. Il pensait initialement que cela ferait un excellent sujet pour un discours qu’il devait prononcer lors d’une conférence sur la sécurité. Il a ensuite appris qu’Optimism avait récemment offert une énorme prime à quiconque a trouvé de graves vulnérabilités dans son code. Freeman a soumis ses conclusions. L’optimisme a vérifié l’existence du défaut et, peu de temps plus tard, Freeman a reçu 2 millions USD.
« Je ne cherchais pas cela », dit-il. « C’était comme marcher dans la rue, trébucher sur un nid-de-poule, penser que le nid-de-poule ne devrait pas être là, me demander à qui je dois signaler le nid-de-poule, puis découvrir qu’il y a une récompense de plusieurs millions de dollars pour des informations sur ce nid-de-poule. Alors je me dis : « Woo-hoo ! »
Les primes de bugs explosent sur le Web 3,0
Les primes de bugs existent depuis un certain temps dans le monde du Web 2,0 . Mais la plupart des paiements individuels étaient limités à cinq ou six chiffres. Aujourd’hui, avec (au moment de la presse) une valeur estimée à 920,6 milliards USD de cryptomonnaie tourbillonnant autour du domaine Web 3,0 alimenté par la blockchain, les fournisseurs paient plus.
Beaucoup plus. En fait, le marché total de la prime de bogues, évalué à 223,1 millions USD en 2020—is , devrait croître de 54 % par an et atteindre 5,5 milliards USD d’ici 2027, selon All the Research (ATR), une société d’études de marché.
Gerhard Wagner, chercheur en sécurité et pirate informatique en chapeau blanc, a remporté une prime de bug de 2 millions USD, qui serait l’une des plus grandes primes payées l’année dernière. Après avoir noté l’explosion de la valeur des paiements liés aux crypto-monnaies, il s’est lancé dans la chasse aux primes et a trouvé une vulnérabilité critique dans le Plasma Bridge de Polygon en octobre dernier. Le bug dans le pont interchaînes, la connexion utilisée pour faciliter les transactions entre les blockchains, aurait pu permettre à un pirate informatique de retirer jusqu’à 224 millions USD de cryptomonnaie. Si cela avait été fait à plusieurs reprises, il aurait pu être possible de drainer toutes les participations estimées à 850 millions USD de Polygon.
« J’ai été surpris », admet-il. « J’ai fait une preuve de concept pour voir si l’attaque que je testais fonctionnait réellement, et même quand elle l’a fait, j’ai continué à dire : « Cela ne peut pas être correct. » Mais j’ai quand même soumis le bug à Polygon pour voir ce qui se passerait. Ils ont répondu, confirmé le problème et les choses ont rapidement évolué après cela. »
[Lire également : Pourquoi les ponts entre les blockchains sont en danger]
Les entreprises de blockchain sont prêtes à payer plus pour les primes de nos jours que les entreprises de logiciels par le passé, car elles risquent de perdre beaucoup plus si elles sont attaquées. Ils pourraient perdre non seulement leur propre argent, mais également la cryptomonnaie que les clients ont placée dans des portefeuilles numériques. En effet, près de 2 milliards de dollars ont été perdus au cours de la première partie de 2022 à cause des piratages de cryptomonnaies. Les piratages majeurs remontant à la fin de l’année 2021 comprennent : Poly Network (611 millions USD), Ronin Network (625 millions USD), Wormhole (325 millions USD), Nomad (200 millions USD) et Harmony (100 millions USD).
Primes expliquées
Les entreprises Web 3,0 préoccupées par ces nouveaux types de menaces offrent généralement des primes de plusieurs manières. Leurs techniques pourraient s’avérer utiles pour les responsables de la sécurité dans les entreprises expérimentant le Far West des technologies émergentes.
« Je n’arrêtais pas de dire : « Ce ne peut pas être correct. » Mais j’ai quand même soumis le bug à Polygon pour voir ce qui se passerait... et les choses ont bougé rapidement après cela. »Gerhard Wagner, chercheur en sécurité et pirate informatique White Hat
Tout d’abord, après avoir décidé qu’ils manquent de ressources pour faire le travail eux-mêmes, les entreprises décident de demander aux pirates dits de chapeau blanc, qui travaillent de leur côté, de percer des trous dans leur code. Ils estiment la quantité d’argent qu’ils pourraient perdre et, en règle générale, ils atterrissent souvent sur des valeurs de prime qui représentent environ 10 % de la perte potentielle.
La plupart des entreprises feront ensuite une offre sur les plateformes de bug bounty, telles que Immunefi, HackerOne et Intigriti. Si les chercheurs pensent avoir trouvé quelque chose, ils soumettent une preuve de concept directement à une entreprise ou à une plateforme de primes. Leur travail est évalué et ils sont récompensés s’il est validé.
Le système fonctionne bien en théorie. Mais tous les chapeaux blancs ne sont pas vendus. Selon Freeman, certains chercheurs éprouvent un modèle de crowdsourcing dans lequel ils passent des jours ou des semaines à examiner le code sans rémunération. D’autres s’inquiètent de trouver des excuses douteuses pour refuser les primes, même si elles ont clairement été méritées.
Cependant, ces préoccupations semblent diminuer, à mesure que les paiements continuent de croître. Anecdotiquement, les experts affirment qu’environ 2 000 chasseurs de primes de bogues travaillent à temps plein. Mais Intigriti rapporte que 50 000 chercheurs se sont inscrits pour ses services entre avril 2021 et avril 2022, une augmentation de 43 % ; et une récente enquête d’Intigriti a révélé que 66 % des pirates éthiques interrogés envisagent des carrières de recherche de bugs à temps plein.
Une industrie du cottage émerge ?
Les plateformes de primes de bugs elles-mêmes bénéficient également de cette tendance. Les investisseurs ont récemment versé 24 millions USD de financement à Immunefi, 22 millions USD à Intigriti et 49 millions USD à HackerOne.
Dane Sherrets, architecte de solutions pour HackerOne, prédit que la dynamique et les paiements de la prime pour les bogues continueront de se développer dans un avenir prévisible, car les entreprises de la blockchain ne peuvent pas embaucher des professionnels de la sécurité qualifiés suffisamment rapidement et les applications basées sur la blockchain qui interagissent avec les plateformes de cryptomonnaie continuent d’être tentantes pour les cibles de chapeau noir (criminel).
« Je ne vois pas cela se produire du jour au lendemain, mais je vois certainement plus de personnes s’impliquer », dit-il. « La nature open source de ces projets nécessite d’avoir un moyen de recevoir des rapports de vulnérabilité de la communauté. »
Une certaine implication pourrait inclure un segment inattendu de la communauté de la recherche en sécurité : des chapeaux noirs qui reconnaissent une opportunité de gagner plus d’argent en allant droit ou, du moins, en « gris ».
Dans certaines attaques récentes liées à la blockchain, les pirates informatiques ont donné la plupart de ce qu’ils avaient repris aux entreprises de la blockchain. Les observateurs supposent que dans certains cas, ils ont conservé une partie de leur prise, avec l’approbation apparente de leurs victimes d’entreprise, dans ce qui pourrait être considéré comme des paiements de primes inversées. Wagner dit qu’il est conscient « de quelques cas » de cela.
Sherrets, en attendant, déclare que même s’il ne pense pas que les pirates informatiques volent la cryptomonnaie dans l’intention de recevoir une prime inversée, « il semble juste que ce soit la manière dont les choses se déroulent naturellement, en particulier lorsque des informations d’identification sont découvertes sur les pirates informatiques ou qu’ils rencontrent des problèmes pour déplacer la cryptomonnaie volée. »
Même si les chapeaux noirs pourraient clôturer ou blanchir des cryptomonnaies volées sur des sites de mixage de cryptomonnaies tels que Tornado Cash et Blender.io, que le Département du Trésor américain a récemment sanctionné, il est difficile de le faire car les transactions de blockchain sont enregistrées et visibles par quiconque, y compris les forces de l’ordre.
« C’est difficile de transformer la cryptomonnaie en argent réel », déclare Sherrets.
Posture publique
Les entreprises le savent et appellent souvent ouvertement les cybercriminels à restituer l’argent, en utilisant un langage conciliatoire, en proposant de ne pas demander de poursuites et en suggérant une sorte de récompense pour leur bon comportement. Lorsque la plateforme de cryptomonnaie Poly Network a été piratée l’année dernière, par exemple, elle aurait eu recours à appeler son attaquant « M. White Hat », a offert une prime de 500 000 USD pour libérer les fonds volés, et s’est portée volontaire pour en faire son « conseiller en sécurité en chef ». La plupart des fonds ont été retournés.
« C’est difficile de transformer la cryptomonnaie en argent réel. »Dane Sherrets, architecte senior de solutions, HackerOne
En notant ce comportement plus tôt cette année, le Département de la Justice des États-Unis a mis en place une succursale d’olive, déclarant qu’il ne ferait pas appliquer la loi fédérale sur la fraude et l’abus informatiques (CFAA) contre les pirates informatiques qu’il détermine agir de « bonne foi » lors de la conduite de « recherches sur la sécurité ».
[Lire également : la cyberguerre russe cible les infrastructures critiques occidentales]
Bien sûr, aucun de ces apaisements n’est susceptible d’influencer ou de dissuader les pirates informatiques travaillant pour des États comme la Corée du Nord, que les responsables américains allèguent être à l’origine de l’attaque du réseau blockchain Harmony. Les États-nations ont des motivations différentes pour lancer des cyberattaques.
Les sherrets de HackerOne remarquent que les processus et les prix de la prime de bogues sont toujours en cours et sont susceptibles de changer dans les mois et années à venir. « Ce que nous verrons probablement à l’avenir, c’est plus de réflexion sur le potentiel de perte et ce qu’il faut payer pour différents types d’impacts », dit-il. « Je pense qu’il va de soi que les primes continueront à augmenter. Je pense que ce qui est payé et comment il sera payé sera différent. »
