Jay Freeman ne faisait que fouiner un peu quand il est tombé par hasard sur la plus grosse aubaine de sa vie.
Freeman est un chercheur en sécurité connu pour développer des logiciels destinés aux systèmes d'exploitation de téléphones mobiles ayant fait l'objet d'un « jailbreak » (modifiés pour permettre aux utilisateurs de personnaliser leur système d'exploitation). Un jour, il s'est mis à examiner le fonctionnement des « contrats intelligents » qui permettent d'effectuer des transactions sur Optimism, une blockchain Ethereum utilisée par Orchid Labs, la société de logiciels libres dont il est l'un des cofondateurs. À la grande surprise de Freeman, il a découvert ce qui semblait être un bug logiciel critique dans une machine virtuelle, susceptible de permettre à un pirate informatique de créer — et de voler — des millions, voire des milliards de dollars en monnaie numérique.
Après avoir mis au point une « preuve de concept » afin de vérifier son travail et de détailler les risques potentiels pour une entreprise, il s'est convaincu qu'il tenait quelque chose. Au départ, il pensait que cela ferait un excellent sujet pour un discours qu'il devait prononcer lors d'une conférence sur la sécurité. Il a ensuite appris qu’Optimism avait récemment proposé une prime considérable à toute personne qui découvrirait des failles graves dans son code. M. Freeman a présenté ses conclusions. Optimism a confirmé l'existence de cette faille et, peu de temps après, M. Freeman a reçu 2 millions de dollars.
« Ce n’était pas ce que je cherchais », dit-il. « C’était un peu comme si, en marchant dans la rue, je trébuchais sur un nid-de-poule, que je me disais que ce nid-de-poule n’aurait pas dû se trouver là, que je me demandais à qui je devais le signaler, puis que je découvrais qu’une récompense de plusieurs millions de dollars était offerte pour toute information concernant ce nid-de-poule. » Et là, je me dis : « Youpi ! » »
Les programmes de prime aux bogues se multiplient à tout va sur Web 3,0
Les programmes de prime aux bogues existent depuis un certain temps déjà dans le monde du Web 2,0 . Mais la plupart des indemnités versées à titre individuel se limitaient à des montants à cinq ou six chiffres. Aujourd'hui, alors qu'on estime (au moment de la publication) à 920,6 milliards de dollars la valeur des cryptomonnaies circulant dans l'univers du Web 3,0 , alimenté par la blockchain , les fournisseurs paient davantage.
Et bien plus encore. En effet, le marché total des programmes de récompenses pour la découverte de failles — évalué à 223,1 millions de dollars en 2020—is — devrait connaître une croissance de 54 % par an et atteindre 5,5 milliards de dollars d’ici 2027, selon All the Research (ATR), un cabinet d’études de marché.
Gerhard Wagner, chercheur en sécurité et hacker « white hat », a remporté une prime de 2 millions de dollars dans le cadre du programme « bug bounty » de l' , qui serait l'une des plus importantes primes versées l'année dernière. Après avoir constaté que la valeur des récompenses liées aux cryptomonnaies « explosait », il s'est lancé dans la chasse aux failles et a découvert une vulnérabilité critique dans le Plasma Bridge de Polygon en octobre dernier. La faille dans le pont inter-chaînes — la connexion servant à faciliter les transactions entre les blockchains — aurait pu permettre à un pirate de retirer jusqu'à 224 millions de dollars de cryptomonnaie. Si cette opération avait été répétée à plusieurs reprises, il aurait peut-être été possible de détourner la totalité des avoirs de Polygon, estimés à 850 millions de dollars.
« J’ai été surpris », admet-il. « J’ai réalisé une démonstration de faisabilité pour vérifier si l’attaque que je testais fonctionnait réellement, et même lorsque cela a été le cas, je n’arrêtais pas de me dire : “Ce n’est pas possible.” » Mais j'ai tout de même signalé ce bug à Polygon pour voir ce qui allait se passer. « Ils ont répondu, ont confirmé le problème, et les choses se sont ensuite déroulées très rapidement. »
[À lire également : Pourquoi les passerelles entre les blockchains sont-elles prises pour cible ?]
De nos jours, les entreprises spécialisées dans la blockchain sont prêtes à verser des primes plus élevées que ne le faisaient autrefois les éditeurs de logiciels, car elles ont beaucoup plus à perdre en cas d'attaque. Ils risqueraient de perdre non seulement leur propre argent, mais aussi les cryptomonnaies que les clients ont déposées dans leurs portefeuilles numériques. En effet, près de 2 milliards de dollars ont été perdus au cours de la première partie de l'année 2022 à la suite de piratages visant des cryptomonnaies. Parmi les piratages majeurs survenus depuis la fin de l'année 2021 , on peut citer : Poly Network (611 millions de dollars), Ronin Network (625 millions de dollars), Wormhole (325 millions de dollars), Nomad (200 millions de dollars) et Harmony (100 millions de dollars).
Tout savoir sur les primes
Les entreprises du Web 3,0 , préoccupées par ces nouvelles formes de menaces, proposent généralement des primes de différentes manières. Leurs techniques pourraient s'avérer utiles aux responsables de la sécurité des entreprises qui s'aventurent dans le Far West des technologies émergentes.
«Je n’arrêtais pas de dire : “Ça ne peut pas être vrai.” » Mais j’ai tout de même signalé le bug à Polygon pour voir ce qui allait se passer… et les choses se sont enchaînées très vite par la suite. »Gerhard Wagner, chercheur en sécurité et hacker « white hat »
Tout d'abord, après avoir constaté qu'elles ne disposaient pas des ressources nécessaires pour effectuer ce travail elles-mêmes, les entreprises décident de faire appel à des « hackers éthiques », qui travaillent à leurs côtés, pour détecter les failles de leur code. Ils évaluent le montant des pertes qu'ils pourraient subir et, en règle générale, fixent souvent le montant des primes à environ 10 % de la perte potentielle.
La plupart des entreprises publient ensuite une offre sur des plateformes de chasse aux bugs, telles qu’Immunefi, HackerOne et Intigriti. Si les chercheurs estiment avoir découvert quelque chose, ils soumettent une démonstration de faisabilité directement à une entreprise ou à une plateforme de primes. Leur travail est évalué, et ils sont récompensés s'il est validé.
En théorie, le système fonctionne bien. Mais tous les chapeaux blancs ne sont pas mis en vente. Selon M. Freeman, certains chercheurs voient d'un mauvais œil ce modèle de crowdsourcing dans le cadre duquel ils passent des jours, voire des semaines, à relire du code sans être rémunérés. D'autres craignent que les entreprises ne trouvent des prétextes douteux pour refuser de verser les primes, même si celles-ci ont clairement été méritées.
Ces inquiétudes semblent toutefois s'estomper, alors que les versements ne cessent d'augmenter. D'après certaines estimations, les experts indiquent qu'environ 2 000 chasseurs de bogues travaillent à temps plein. Cependant, Intigriti indique que 50 000 chercheurs se sont inscrits à ses services entre avril 2021 et avril 2022, ce qui représente une augmentation de 43 % ; par ailleurs, une récente enquête menée par Intigriti a révélé que 66 % des hackers éthiques interrogés envisagent de se lancer à plein temps dans la chasse aux failles.
Une activité artisanale en plein essor ?
Les plateformes de prime aux bogues elles-mêmes tirent également profit de cette tendance. Les investisseurs ont récemment injecté 24 millions de dollars dans Immunefi, 22 millions de dollars dans Intigriti, et 49 millions de dollars dans HackerOne.
Dane Sherrets, architecte de solutions chez HackerOne, prévoit que la dynamique des programmes de prime aux bogues et les montants versés continueront de progresser dans un avenir proche, car les entreprises spécialisées dans la blockchain ne parviennent pas à recruter suffisamment rapidement des professionnels de la sécurité qualifiés et que les applications basées sur la blockchain qui interagissent avec des plateformes de cryptomonnaies continuent d'être des cibles alléchantes pour les « black hats » (criminels).
« Je ne pense pas que cela se fasse du jour au lendemain, mais je constate clairement que de plus en plus de personnes s’impliquent », déclare-t-il. « Le caractère open source de ces projets nécessite de disposer d'un moyen de recueillir les signalements de vulnérabilités émanant de la communauté. »
Cette implication pourrait concerner une frange inattendue de la communauté des chercheurs en sécurité : des « black hats » qui y voient une opportunité de gagner davantage d'argent en se rangeant du côté de la loi, ou du moins en adoptant une attitude « grise ».
Lors de certaines attaques récentes liées à la blockchain, les pirates ont restitué la majeure partie de ce qu’ils avaient dérobé aux entreprises de la blockchain. Certains observateurs émettent l'hypothèse que, dans certains cas, ils auraient conservé une partie de leur butin — avec l'accord apparent des entreprises victimes —, ce qui pourrait être considéré comme le versement de primes à l'envers. M. Wagner affirme avoir connaissance de « plusieurs cas » de ce genre.
M. Sherrets, quant à lui, affirme que, même s’il ne pense pas que les pirates informatiques volent des cryptomonnaies dans l’intention de recevoir une prime inversée, « cela semble simplement être la façon dont les choses se déroulent naturellement, en particulier lorsque des informations permettant d’identifier les pirates sont révélées ou qu’ils rencontrent des difficultés pour transférer les cryptomonnaies volées ».
Même si les cybercriminels pourraient revendre ou blanchir des cryptomonnaies volées sur des sites de mixage de cryptomonnaies tels que (Tornado Cash), et (Blender.io) — que le ministère américain des Finances a récemment sanctionnés —, il est difficile de le faire car les transactions sur la blockchain sont enregistrées et consultables par tout le monde, y compris les forces de l'ordre.
« C’est un vrai casse-tête de convertir des cryptomonnaies en argent réel », déclare M. Sherrets.
Prise de position publique
Les entreprises en sont conscientes et lancent souvent des appels ouverts aux cybercriminels pour qu'ils restituent l'argent, en utilisant un ton conciliant, en proposant de ne pas engager de poursuites et en laissant entendre qu'une forme de récompense pourrait leur être accordée en échange de leur bonne conduite. Lorsque la plateforme de cryptomonnaies Poly Network a été piratée l'année dernière, par exemple, elle aurait, selon certaines sources , qualifié son pirate de « M. White Hat », lui aurait proposé une récompense de 500 000 dollars pour qu'il restitue les fonds volés et se serait proposée de le nommer « conseiller en chef en matière de sécurité ». La plupart des fonds ont été restitués.
«C’est un vrai casse-tête de convertir des cryptomonnaies en argent réel. »Dane Sherrets, architecte solutions senior chez HackerOne
Constatant ce type de comportement en début d’année, le ministère américain de la Justice a tendu une branche d’olivier, en déclarant qu’il n’appliquerait pas la loi fédérale sur la fraude et les abus informatiques (Computer Fraud and Abuse Act, CFAA) à l’encontre des pirates informatiques dont il estime qu’ils agissent de « bonne foi » dans le cadre de « recherches en matière de sécurité ».
Bien sûr, aucune de ces mesures d'apaisement n'est susceptible d'influencer ou de dissuader les pirates informatiques travaillant pour des États tels que la Corée du Nord, que les responsables américains accusent d'être à l'origine de l'attaque contre le réseau blockchain Harmony. Les États-nations ont des motivations diverses pour lancer des cyberattaques.
M. Sherrets, de HackerOne, fait remarquer que les processus et la tarification des programmes de prime aux bogues sont encore en pleine évolution et sont susceptibles de changer au cours des mois et des années à venir. « À l’avenir, on accordera sans doute davantage d’attention aux risques de pertes et aux montants à verser en fonction des différents types d’impacts », déclare-t-il. « Je pense qu’il va de soi que les primes continueront d’augmenter. » « Je pense simplement que ce qui sera rémunéré, et la manière dont cela se fera, seront différents. »
