Il y a quelques années, des pirates informatiques ont pris pour cible sans relâche des plateformes d'échange de cryptomonnaies, dérobant ainsi des cryptomonnaies d'une valeur de plusieurs millions de dollars. Aujourd'hui, alors que les plateformes d'échange renforcent davantage la sécurité de leurs réseaux, les pirates s'attaquent aux ponts inter-chaînes, ces outils permettant d'échanger différentes cryptomonnaies d'une blockchain à l'autre.
Et contrairement à la vague précédente d'attaques visant les cryptomonnaies, bon nombre de ces derniers vols entraînent le détournement de milliards de comptes et ébranlent — peut-être à tort — la confiance dans la sécurité même de la blockchain.
Réfléchissez-y : Chainalysis, une société spécialisée dans l'analyse de la blockchain, estime à la somme stupéfiante de «2 milliards de dollars de cryptomonnaies ont été volés lors de 13 piratages distincts de ponts inter-chaînes », la majeure partie de cette somme ayant été dérobée cette année. Les attaques visant les ponts ont représenté 69 % du montant total des fonds volés en 2022, a indiqué la société. Plus inquiétant encore, Chainalysis estime qu'environ 1 milliard de dollars issus de ces vols proviennent d' , un groupe de pirates informatiques lié à la Corée du Nord.
Some of the more notorious cross-chain bridge cryptocurrency thefts of 2022 include: Poly Network, $611 million (mostly returned); Nomad, $200 million; Harmony, $100 million; Ronin Network/Axie Infinity, as much as $625 million; and Wormhole, $325 million (restored to user accounts).
De tels braquages spectaculaires devraient inquiéter les responsables de la sécurité des entreprises. De nombreuses entreprises de renom, issues d’ t de secteurs très variés , ont lancé des initiatives liées à la blockchain afin de tirer parti de la tendance vers des services Web 3,0 décentralisés. Certaines entreprises, comme les banques, utilisent leurs propres blockchains d'entreprise propriétaires pour faciliter les paiements, tandis que les sociétés de jeux vidéo s'en sont servies pour gérer les transactions au sein des jeux. La sécurité des ponts sous-jacents qui relient toutes ces plateformes s'avérera de plus en plus cruciale bien après que l'engouement pour les cryptomonnaies se sera essoufflé.
Comment fonctionnent les ponts inter-chaînes ?
Pour comprendre pourquoi les attaques visant les ponts inter-chaînes gagnent en gravité et en ampleur, il est utile de comprendre leur lien avec les blockchains, leur fonctionnement et leur interaction avec les plateformes d'échange de cryptomonnaies.
D'une part, les blockchains ne sont en réalité rien d'autre que des registres numériques incontestables destinés à consigner l'existence d'éléments numériques. Ils sont considérés comme pratiquement impénétrables et extrêmement sûrs. Chaque cryptomonnaie, qu'il s'agisse du bitcoin, de l'ether ou d'une autre, dispose d'une blockchain distincte.
«Dès qu’il y a une concentration de valeur, les attaquants n’hésitent pas à passer à l’action. » C'est une véritable aubaine pour eux. »Tara Annison, autrice de l'ouvrage « The Bitcoin ABC Book »
Si vous souhaitez échanger une cryptomonnaie — par exemple un bitcoin contre de l'ether, ou même un dollar —, on utilise alors des ponts inter-chaînes pour assurer la conversion entre les différents « langages » des blockchains.
C'est là que les choses deviennent plus risquées. Contrairement au monde réel, où vous pouvez vous rendre dans une banque ou au guichet de change d'un aéroport pour échanger des devises étrangères, dans le monde numérique, vous devez franchir une série d'obstacles techniques pour échanger des cryptomonnaies. Le processus commence par le dépôt des fonds que vous souhaitez échanger à l'entrée virtuelle d'un pont inter-chaînes. Une fois sur place, ces fonds, souvent appelés « jetons de cryptomonnaie », sont bloqués dans un contrat intelligent, c'est-à-dire un accord auto-exécutoire intégré à un code informatique géré par une blockchain. (Les contrats intelligents peuvent également faire l'objet de piratages.)
Les jetons, dont la valeur est basée sur le « taux de change » défini dans le contrat, sont ensuite transférés via le pont et échangés contre des jetons sur l'autre blockchain. La manière dont cela se passe techniquement mérite un débat à part entière — voire une thèse de doctorat.
Centralisation temporaire : un point faible
Les plateformes blockchain ne sont certainement pas sécurisées à 100 %, , malgré les affirmations selon lesquelles elles seraient inviolables. En effet, les cybercriminels ont lancé en 2019 une série d’« attaques dites à “51 % », au cours desquelles ils ont pris le contrôle de plus de la moitié de la puissance de calcul d’une blockchain de cryptomonnaie, puis ont réécrit l’historique des transactions de cette blockchain, prétendument immuable, afin de voler des cryptomonnaies.
«Les plateformes blockchain ne sont certainement pas sécurisées à 100 %, malgré les affirmations selon lesquelles elles seraient inviolables. »
Mais les attaques de type « 51 % » ont peu de chances de se produire fréquemment, car elles sont techniquement difficiles à mener à bien. Il est également coûteux pour une seule entité de disposer d’une telle puissance de calcul, car le coût d’un matériel aussi performant s’élèverait à environ 752 000 dollars de l’heure selon . C'est pourquoi les cybercriminels s'attachent à attaquer les technologies considérées comme des « cibles faciles » qui fonctionnent en parallèle des blockchains, notamment les portefeuilles numériques utilisés pour stocker des cryptomonnaies et, plus récemment, les ponts inter-chaînes.
Les ponts inter-chaînes sont théoriquement sûrs. Mais si des pirates informatiques découvrent des failles de codage dans les outils situés à l’une ou l’autre extrémité de la transaction, ils peuvent se livrer à toutes sortes d’activités douteuses, comme voler des jetons avant ou après leur passage par le pont, créer de la monnaie avant qu’elle n’ait été répliquée, ou s’emparer des fonds transitant par le pont.
Cette vulnérabilité systémique a suscité un débat quant à l'opportunité fondamentale des technologies servant de passerelle entre les blockchains. Si la cryptomonnaie est censée constituer un système de finance décentralisée (DeFi) qui s'oppose à la centralisation de la finance traditionnelle (TradFi), le fait de « parquer » des cryptomonnaies à l'une ou l'autre extrémité d'un pont, en substance, sent la centralisation à plein nez aux yeux des puristes de la cryptomonnaie.
[À lire également : Surprise ! Il s'agit d'une nouvelle vulnérabilité « zero-day ».]
« Dès qu’il y a une concentration de valeur, les pirates s’en emparent », explique Tara Annison, créatrice du jeu « : Game Against Cryptocurrency » ( ) et co-auteure de l’ouvrage « The Bitcoin ABC Book » ( ) (qui ne s’adresse pas uniquement aux enfants). « C'est une véritable aubaine pour eux, et en ce moment, les ponts ont le vent en poupe. »
Victor Young partage cet avis. Le fondateur et architecte en chef d'Analog, une plateforme décentralisée de transactions sur blockchain, compare ce système à la situation où l'on transporterait d'importantes sommes d'argent dans un fourgon blindé qui se ferait dévaliser lors d'un trajet entre différentes banques. « Tous ces ponts sont extrêmement centralisés, car ils concentrent les liquidités en un seul endroit », explique-t-il. « C’est le problème auquel vous êtes confronté lorsque vous avez recours à un dépositaire centralisé pour vos fonds. » « C'est un point de défaillance unique auquel il faut remédier. »
Vous allez trop vite ?
Neil Ford, directeur du développement chez Big Dog Mining et spécialiste en marketing chez , , CoinGeek et — une publication en ligne consacrée à l'actualité du secteur de la blockchain —, ajoute qu'il « ne comprend pas vraiment pourquoi nous avons besoin de jetons inter-chaînes ». Il craint que, bien que le code qui fait fonctionner de nombreux ponts inter-chaînes soit rédigé de la manière la plus robuste possible, certains nouveaux acteurs du secteur soient davantage enclins à privilégier la croissance au détriment de la sécurité.
«Chacun doit prendre son temps, prendre conscience qu’il s’agit d’un marathon et non d’une course, et accorder une grande priorité à la cybersécurité. »Stephen Tong, cofondateur de Zellic, une start-up spécialisée dans l'audit de sécurité des blockchains
« On constate l’existence de ces vulnérabilités et de ces vecteurs d’attaque, où les gens se contentent de diffuser ce code sans qu’il ait été entièrement testé », explique-t-il. « Il est indispensable que ce pont inter-chaînes soit à toute épreuve si vous comptez y transférer des millions, voire des milliards de dollars en cryptomonnaies. »
Stephen Tong, cofondateur de Zellic, une start-up spécialisée dans l'audit de sécurité des blockchains, explique qu'une grande partie du problème est liée aux entreprises proposant des ponts inter-chaînes qui, voyant un potentiel de profits colossaux lors de la récente frénésie autour des cryptomonnaies, ont agi trop précipitamment, au détriment de leurs propres intérêts. « Je constate en effet que, dans cet écosystème, il existe une culture du « livrer d’abord, poser les questions ensuite », ce qui est compréhensible compte tenu du contexte de marché extrêmement concurrentiel », explique Tong.
M. Young estime toutefois que cela risque de poser problème, car plus les entreprises proposant des ponts inter-chaînes déploient rapidement leur code, plus celui-ci risque de comporter des failles. « Le fait est qu’il y a beaucoup d’amateurs dans ce nouveau monde du Web 3,0 », dit-il. « Les entreprises [spécialisées dans les cryptomonnaies et les ponts inter-chaînes] doivent vraiment revenir à l'essentiel. » « Chacun doit prendre son temps, prendre conscience qu’il s’agit d’un marathon et non d’une course, et accorder une grande priorité à la cybersécurité. »
Solutions possibles
Il ne sera toutefois pas facile de renforcer la sécurité des ponts inter-chaînes. En effet, certains acteurs du secteur, tels que Vitalik Buterin, cofondateur d'Ethereum, , se montrent sceptiques quant à la faisabilité d'un tel projet. Les experts ont néanmoins préconisé plusieurs approches visant à renforcer la sécurité de l'ensemble de l'écosystème de la blockchain.
[À lire également : Qu'est-ce que la gestion convergée des terminaux ?]
Certains suggèrent de renoncer purement et simplement aux échanges de cryptomonnaies. Mais c'est un peu comme si l'on disait à quelqu'un qu'il peut éviter que son ordinateur soit piraté en le déconnectant d'Internet. Cela a peu de chances de se produire. Les êtres humains aiment faire du commerce.
À défaut, M. Buterin et d'autres se sont prononcés en faveur d'une évolution vers des approches de blockchain multichaînes, dans lesquelles les projets de cryptomonnaie sont déployés sur de nombreuses chaînes plutôt que sur une ou deux seulement.
« Avec la centralisation, il n’y a qu’un seul point d’attaque, comme lorsque tout votre argent se trouve dans une seule banque et que quelqu’un vient tout simplement faire sauter le coffre-fort », explique Annison, auteur, créateur de jeux vidéo et expert mondial en crypto-actifs. « Mais si ces fonds sont répartis entre plusieurs banques, cela signifie qu’il y a plusieurs banques que quelqu’un devra tenter de pirater, ce qui complique la tâche des pirates informatiques. »
D'autres estiment que l'une des meilleures solutions consisterait à revenir à l'essentiel et à mettre l'accent sur de meilleures pratiques de conception et de codage, à multiplier les audits et à tenir les ingénieurs et les développeurs pour responsables des erreurs qui auraient pu être évitées.
«Avec la centralisation, il n’y a qu’un seul point d’attaque, comme lorsque tout votre argent se trouve dans une seule banque et que quelqu’un vient faire sauter le coffre-fort. »Tara Annison
M. Tong, de Zellic, qui gagne sa vie en réalisant des audits, souligne que cela n'irait pas plus loin. Il affirme que de nombreuses intrusions surviennent après l'audit du code et les modifications apportées par la suite, ce qui introduit des failles critiques qui n'ont pas été détectées en l'absence d'audit ultérieur.
« J’ai constaté de nombreux bugs que des audits de suivi auraient permis de détecter — beaucoup de bugs stupides qui n’auraient jamais dû se retrouver en production », déclare-t-il. « Il y a une différence entre se faire pirater alors que vous avez tout mis en œuvre pour éviter que cela n’arrive, et les situations où vous vous faites pirater parce que vous n’avez pas effectué de tests pour vous assurer que votre code était fiable. »
Les blockchains ne tombent pas en panne
M. Annison affirme que, malgré toutes les récentes attaques informatiques, il est important de reconnaître que ce n'est pas la fin du monde. Il faut prendre un peu de recul et se rendre compte que les technologies émergentes connaissent des difficultés de jeunesse. Les blockchains elles-mêmes restent très utiles et constituent des fondements largement sécurisés du commerce numérique, affirme-t-elle.
« La blockchain va perdurer », affirme-t-elle. « Certains investisseurs seront mécontents, mais la blockchain ne va pas s'effondrer simplement parce que le cours d'une cryptomonnaie a soudainement chuté ou qu'une plateforme d'échange centralisée ou décentralisée a été victime d'un piratage. »
