Il y a quelques années, les pirates informatiques ont ciblé les échanges de cryptomonnaies avec abandon, extrayant des millions de dollars de devises numériques. Aujourd’hui, avec les échanges qui font un meilleur travail de fortification de leurs réseaux, les voleurs recherchent des ponts interchaînes, des outils pour échanger différentes cryptomonnaies entre les blockchains.
Et contrairement à la panoplie précédente d’attaques cryptographiques, beaucoup de ces derniers vols drainent des milliards de comptes et, peut-être de manière injuste, ébranlent la confiance dans la sécurité de la blockchain elle-même.
Considérez cela : Chainalysis, une société d’analyse de la blockchain, estime que « 2 milliards USD de cryptomonnaie ont été volés dans 13 pirates distincts de ponts interchaînes », la plupart de ces opérations ayant pris cette année. Les attaques sur les ponts représentaient 69 % du total des fonds volés en 2022, a déclaré la société. Encore plus inquiétant, Chainalysis estime qu’environ 1 milliard USD de ces vols proviennent de pirates informatiques liés à la Corée du Nord.
Certains des vols de cryptomonnaies de pont interchaînes les plus connus de 2022 comprennent : Poly Network, 611 millions USD (principalement retourné) ; Nomad, 200 millions USD ; Harmony, 100 millions USD ; Ronin Network/Axie Infinity, jusqu’à 625 millions USD ; et Wormhole, 325 millions USD (restauré aux comptes d’utilisateur).
De tels braquages stupéfiants devraient inquiéter les dirigeants de la sécurité d’entreprise. De nombreuses grandes entreprises de divers secteurs ont lancé des initiatives de blockchain pour capitaliser sur la tendance vers des services Web 3,0 décentralisés. Certaines entreprises, comme les banques, utilisent leurs propres blockchains d’entreprise exclusives pour faciliter les paiements, tandis que les entreprises de jeux les utilisent pour gérer les transactions au sein des jeux. La sécurité des ponts sous-jacents qui connectent toutes ces plateformes s’avérera de plus en plus vitale longtemps après la fraude cryptographique.
Comment fonctionnent les ponts interchaînes
Pour comprendre pourquoi les attaques sur les ponts interchaînes augmentent en gravité et en impact, il est utile de comprendre comment elles se rapportent aux blockchains, comment elles fonctionnent et comment elles interagissent avec les échanges cryptographiques.
D’une part, les blockchains elles-mêmes ne sont rien de plus que des livres numériques irréfragables pour enregistrer l’existence des choses numériques. Elles sont considérées comme presque impénétrables et hautement sécurisées. Chaque cryptomonnaie, qu’il s’agisse de bitcoin, d’éther ou de quelque chose d’autre, dispose d’une blockchain distincte.
« Dès qu’il y aura une concentration de valeur, les attaquants entreront en scène. C’est un pot de miel pour eux. »Tara Annison, auteure du livre The Bitcoin ABC
Si vous souhaitez échanger une monnaie numérique, disons un bitcoin pour l’éther, ou même un dollar, alors les ponts interchaînes sont utilisés pour traduire entre différentes langues de blockchain.
C’est là que les choses deviennent plus risquées. Contrairement au monde physique, où vous pouvez entrer dans une banque ou jusqu’au comptoir de change d’un aéroport pour échanger des devises fortes, dans le monde numérique, vous devez passer par une série d’anneaux techniques pour échanger des cryptomonnaies. Le processus commence par le stationnement des fonds que vous souhaitez échanger à l’entrée virtuelle d’un pont interchaînes. Une fois là, les fonds, souvent appelés jetons de cryptomonnaie, sont verrouillés dans un contrat intelligent, qui est un accord d’auto-application intégré dans le code informatique géré par une blockchain. (Les contrats intelligents sont également piratables.)
Les jetons basés sur le « taux de change » défini dans le contrat sont ensuite envoyés à travers le pont et échangés avec des jetons sur l’autre blockchain. La manière dont cela se produit techniquement est une question de discussion distincte, ou de thèse de doctorat.
Centralisation momentanée : un point faible
Les plateformes Blockchain ne sont certainement pas sécurisées à 100 %, malgré les allégations qu’elles ne sont pas piratables. En effet, les cybercriminels ont lancé une série d’attaques dites de “51 % » en 2019, dans laquelle ils ont pris le contrôle de plus de la moitié de la puissance informatique d’une blockchain de cryptomonnaie, puis ont réécrit l’historique des transactions prétendument immuables de la blockchain pour voler la cryptomonnaie.
« Les plateformes de chaîne de blocs ne sont certainement pas sécurisées à 100 %, malgré les allégations qu’elles ne sont pas piratables. »
Mais il est peu probable que 51 % des attaques se produisent souvent, car elles sont techniquement difficiles à éliminer. Il est également coûteux pour une entité de contrôler autant de puissance de calcul, car le coût d’un matériel aussi puissant coûterait environ 752 000 USD par heure. En tant que tels, les cybercriminels se concentrent sur l’attaque des technologies à cible souple exécutées à côté des blockchains, y compris les portefeuilles numériques utilisés pour stocker les cryptomonnaies et, plus récemment, les ponts interchaînes.
Les ponts interchaînes sont théoriquement sécurisés. Mais si les pirates informatiques découvrent des défauts de codage dans les outils à l’une ou l’autre des extrémités de la transaction, ils peuvent faire toutes sortes de choses esquisses, comme voler des jetons avant ou après qu’ils passent par le pont, rechercher de la devise avant qu’elle ne soit répliquée, ou saisir des fonds qui traversent le pont.
Cette vulnérabilité systémique a suscité un débat sur l’opportunité fondamentale des technologies qui servent de pont entre les blockchains. Si la cryptomonnaie est destinée à être un système de financement décentralisé (DeFi) qui contrebalance la centralisation de la finance traditionnelle (TradFi), garer la crypto à l’une ou l’autre extrémité d’un pont, en substance, des périodes de centralisation aux puristes de cryptomonnaie.
[Lire également : Surprise ! C’est une autre vulnérabilité zero-day.]
« Dès qu’il y aura une concentration de valeur, les attaquants s’installeront », déclare Tara Annison, créatrice du Game Against Cryptocurrency et co-auteur du livre ABC Bitcoin (qui n’est pas réservé aux enfants). « C’est un pot de miel pour eux, et en ce moment les ponts sont la saveur du moment. »
Victor Young est d’accord. Le fondateur et architecte en chef d’Analog, une plateforme de transaction blockchain décentralisée, compare le système à la présence de grandes sommes d’argent dans un camion blindé qui est volé lors de voyages entre différentes banques. « Tous ces ponts sont extrêmement centralisés en plaçant la liquidité en un seul endroit », dit-il. « C’est le problème que vous rencontrez lorsque vous avez un dépositaire centralisé des fonds. C’est un point de défaillance unique qui doit être résolu. »
Vous avancez trop vite ?
Neil Ford, directeur de la croissance pour Big Dog Mining et spécialiste du marketing chez CoinGeek, une publication en ligne qui suit l’industrie de la blockchain, ajoute qu’il n’est « pas sûr de la raison pour laquelle nous avons besoin de jetons interchaînes ». Il s’inquiète que, bien que le code exécutant de nombreux ponts interchaînes soit écrit de manière aussi robuste qu’il peut l’être, certains nouveaux entrants dans l’espace soient plus intéressés par la hiérarchisation de la croissance par rapport à la sécurité.
« Tout le monde a besoin de ralentir, de reconnaître qu’il s’agit d’un marathon et non d’une course, et d’accorder une haute priorité à la cybersécurité. »Stephen Tong, cofondateur de Zellic, une start-up d’audit de sécurité blockchain
« Vous voyez ces vulnérabilités et vecteurs où les gens ne font que lancer ce code, et [il n’a] pas été entièrement testé », dit-il. « Vous devez vraiment disposer de ce pont interchaînes à l’épreuve des puces si vous allez déplacer des millions ou des milliards de dollars de crypto dans ce pont. »
Stephen Tong, cofondateur de Zellic, une start-up d’audit de sécurité blockchain, déclare qu’une grande partie du problème implique des entreprises de ponts interchaînes qui ont vu tellement de potentiel de bénéfices énormes pendant la récente manie de la cryptomonnaie qu’elles ont progressé trop rapidement pour leur propre bien. « Je trouve que dans cet écosystème, il existe une culture « expédiez maintenant et posez des questions plus tard », ce qui est compréhensible étant donné le paysage extrêmement concurrentiel du marché », déclare Tong.
Young soutient cependant qu’il s’agit d’une recette de problème, car plus les entreprises de ponts interchaînes déploient du code plus rapidement, plus il est probable qu’il soit défectueux. « Le fait est qu’il y a beaucoup d’amateurs dans ce nouveau monde courageux du Web 3,0 », dit-il. « [Cryptocurrency and cross-chain bridge] les entreprises doivent vraiment revenir aux bases. Tout le monde doit ralentir, reconnaître qu’il s’agit d’un marathon et non d’une course, et placer une haute priorité sur la cybersécurité. »
Solutions possibles
Cependant, rendre les ponts interchaînes plus sûrs ne sera pas facile. En fait, certains initiés du secteur, tels que le cofondateur d’Ethereum, Vitalik Buterin, sont sceptiques quant à ce que cela peut être fait. Mais les experts ont néanmoins préconisé quelques approches pour rendre l’ensemble de l’écosystème de la blockchain plus sécurisé.
[Lire également : Qu’est-ce que Converged Endpoint Management ?]
Certains suggèrent de s’éloigner complètement de l’échange de cryptomonnaies. Mais c’est un peu comme dire à quelqu’un qu’il peut éviter que son ordinateur soit piraté en le déconnectant d’Internet. Il est peu probable que cela se produise. Les humains aiment faire du commerce.
À moins que cela ne soit le cas, Buterin et d’autres ont préconisé de passer à des approches de blockchain multichaîne, dans lesquelles les projets de cryptomonnaie sont déployés sur de nombreuses chaînes au lieu d’une ou deux.
« Avec la centralisation, il y a un point d’attaque, par exemple lorsque tout votre argent est dans une banque et que quelqu’un vient juste d’arriver et de faire sauter le coffre-fort », explique Annison, auteur, créateur de jeux et expert mondial en matière de cryptoactifs. « Mais si elle est détenue dans plusieurs banques, cela signifie qu’il y a plusieurs banques que quelqu’un doit essayer de frapper, ce qui la rend plus complexe pour les pirates informatiques. »
D’autres soutiennent que l’une des meilleures options serait de revenir aux bases et de mettre l’accent sur de meilleures pratiques de conception et de codage, de mener plus d’audits et de tenir les ingénieurs et les développeurs responsables des erreurs évitables.
« Grâce à la centralisation, il y a un point d’attaque, par exemple lorsque tout votre argent est dans une banque et que quelqu’un vient et souffle le coffre-fort. »Annison de Tara
Tong de Zellic, qui fait son vivant en effectuant des audits, met en garde que cela n’irait que jusqu’à présent. Il dit que de nombreux piratages se produisent après l’audit du code et sa modification ultérieure, introduisant des vulnérabilités critiques qui n’ont pas été détectées car il n’y a pas eu d’audit ultérieur.
« J’ai vu beaucoup de bugs que les audits de suivi auraient détectés, beaucoup de bugs stupides qui n’auraient jamais dû arriver à la production », dit-il. « Il y a une différence entre se faire pirater lorsque vous avez fait tout ce qui est en votre pouvoir pour éviter qu’il ne se produise et les situations où vous êtes piraté parce que vous n’avez pas testé pour vous assurer que votre code était solide. »
Les chaînes de blocs ne se bloquent pas
Annison dit que même avec tous les piratages récents, il est important de reconnaître que le ciel ne tombe pas. Les gens doivent respirer et se rendre compte que les technologies émergentes subissent des difficultés croissantes. Les chaînes de blocs elles-mêmes restent largement utiles et constituent en grande partie des bases sécurisées du commerce numérique, déclare-t-elle.
« La blockchain survivra », dit-elle. « Il y aura des investisseurs mécontents, mais la blockchain ne va pas s’effondrer parce que le prix de la cryptomonnaie a soudainement baissé ou qu’il y a eu un piratage impliquant un échange centralisé ou décentralisé. »
