Leçons de sécurité après le braquage de 140 millions de dollars
TechFlow SélectionTechFlow Sélection
Leçons de sécurité après le braquage de 140 millions de dollars
L'âge d'or du monde Web3.0 ne devrait pas être un festival de hackers.
Dédié à des analyses Web3 approfondiesRédaction : Certik
Récemment, Jason Jiang, Chief Business Officer de CertiK, était invité au podcast « The Agenda » de Cointelegraph pour discuter en profondeur de la sécurité dans l'univers Web3.0 à la suite de l'incident survenu à Bybit. Lorsque 1,4 milliard de dollars en actifs ont disparu en une nuit, ce n'est pas seulement le secteur qui a été choqué, mais aussi chaque utilisateur soucieux de la sécurité de sa richesse numérique. Ce vol, le plus important de l'histoire des cryptomonnaies, révèle également les risques latents liés à la croissance fulgurante du secteur.
CertiK, leader dans le domaine de la sécurité blockchain, n’a jamais cessé d’analyser ce type de menaces. Après l’incident Bybit, CertiK a rapidement mené une analyse technique pointant du doigt la problématique du « blind signing » (signature à l’aveugle). Au cours de l’échange, Jason explique les causes de ce phénomène et recommande aux utilisateurs de vérifier au moins trois fois l’adresse de transaction.
Lorsque les nœuds validateurs de THORChain ont refusé de rembobiner les transactions, Jason a déclaré sans détour : « Nous sommes comme dans le Far West », tout en soulignant qu’en adoptant la régulation, le secteur Web3.0 pourra atteindre sa maturité. Face à des attaques valant des centaines de millions, une prime de 4 000 dollars pour la découverte d’une faille paraît dérisoire. L’industrie doit impérativement reconnaître son sous-investissement en matière de sécurité. Car l’âge d’or du monde Web3.0 ne devrait pas être un festival pour les hackers.
Après le vol de 1,4 milliard de dollars chez Bybit, un cadre de CertiK explique comment renforcer la sécurité des actifs cryptographiques
En février dernier, l’attaque informatique subie par Bybit a ébranlé toute l’industrie. Selon les rapports, le groupe nord-coréen de hackers Lazarus aurait dérobé à cet exchange centralisé des jetons liés à l’Ethereum d’une valeur de 1,4 milliard de dollars, faisant de cet événement le plus gros vol de cryptomonnaies de l’histoire.
Les répercussions de cette cyberattaque ont suscité de nombreuses interrogations : où se situe le problème ? Nos fonds sont-ils encore sûrs ? Quelles mesures prendre pour éviter que de tels incidents ne se reproduisent ?
D’après les données de l’entreprise de sécurité blockchain CertiK, ce vol massif représentait environ 92 % des pertes totales du mois de février. En raison de cet incident, les pertes mensuelles dans le secteur des cryptomonnaies ont augmenté de près de 1500 % par rapport au mois de janvier.
Dans le 57e épisode du podcast « The Agenda » de Cointelegraph, les animateurs Jonathan DeYoung et Ray Salmond ont discuté avec Jason Jiang, Chief Business Officer de CertiK, afin d’analyser en détail le déroulement de l’attaque contre Bybit, ses conséquences, ainsi que les mesures que peuvent adopter les utilisateurs et les plateformes pour renforcer la sécurité des cryptomonnaies.
Les portefeuilles cryptographiques sont-ils encore sûrs après le piratage de Bybit ?
Brièvement, selon Jason, le groupe Lazarus a réussi à exécuter cette vaste attaque contre Bybit car il est parvenu à prendre le contrôle des appareils des trois signataires qui géraient le portefeuille multisignature SafeWallet utilisé par Bybit. Il les a ensuite induits en erreur pour qu’ils signent une transaction malveillante qu’ils pensaient légitime.
Cela signifie-t-il que SafeWallet n’est plus digne de confiance ? Jason précise que la situation n’est pas aussi simple. « Lorsque l’ordinateur d’un développeur Safe est compromis, davantage d’informations peuvent fuiter depuis cet appareil. Mais je pense que pour un utilisateur individuel, la probabilité de vivre cela est très faible. »
Il indique que les utilisateurs ordinaires peuvent considérablement améliorer la sécurité de leurs cryptomonnaies en stockant leurs actifs dans un portefeuille froid (cold wallet) et en restant vigilants face aux tentatives de phishing sur les réseaux sociaux.
Interrogé sur la possibilité que des portefeuilles matériels comme Ledger ou Trezor puissent être exploités de manière similaire, Jason affirme à nouveau que le risque est minime pour les utilisateurs particuliers, à condition de faire preuve de diligence et de prudence lors des transactions.
« L’un des facteurs ayant permis cet incident est que les signataires ont signé les instructions de transaction sans voir l’adresse complète — ils ont signé à l’aveugle », ajoute-t-il. « Assurez-vous toujours que l’adresse vers laquelle vous envoyez des fonds est bien celle que vous souhaitez réellement utiliser, surtout pour les transactions importantes, vérifiez-la plusieurs fois. »
« Je pense qu’après cet événement, l’industrie entière cherchera à s’autocorriger et à s’améliorer, notamment en rendant le processus de signature plus transparent et plus facile à identifier. Bien sûr, il y a de nombreuses autres leçons à tirer, mais c’en est certainement une clé. »
Comment prévenir la prochaine attaque massive d’envergure pluri-milliardaire contre une plateforme d’échange ?
Jason souligne que l’absence de réglementation complète et de mesures de sécurité robustes pourrait être l’un des facteurs ayant exacerbé cet incident. Précédemment, certains nœuds validateurs du protocole de pont cross-chain THORChain ont refusé d’annuler ou de bloquer les transactions permettant au groupe Lazarus de convertir les fonds volés en bitcoins, ravivant ainsi le débat sur les limites de la décentralisation.
« Bienvenue dans le Far West », lance Jason. « C’est là notre réalité actuelle. »
« À notre avis, si les cryptomonnaies veulent véritablement prospérer, elles doivent embrasser la régulation », affirme-t-il. « Pour faciliter leur adoption par le grand public, il faut aller activement vers la régulation et trouver des moyens d’améliorer la sécurité du secteur. »
Jason exprime son admiration pour la gestion de crise menée par Ben Zhou, PDG de Bybit, après l’attaque. Toutefois, il fait remarquer que le programme de primes aux bogues lancé par Bybit avant l’incident offrait seulement 4 000 dollars. Bien que la majorité des professionnels de la cybersécurité ne soient pas uniquement motivés par l’argent, augmenter ces primes contribuerait néanmoins à maintenir un niveau de sécurité plus élevé sur les plateformes d’échange.
Interrogé sur la manière dont les exchanges et protocoles peuvent inciter et retenir les talents de haut niveau pour assurer la sécurité de leurs systèmes, Jason note que les ingénieurs en sécurité ne reçoivent pas toujours la reconnaissance qu’ils méritent.
« Beaucoup pensent que les meilleurs talents partent vers les postes de développement, car c’est là qu’ils obtiennent le plus de retour », explique-t-il. « Mais cela dépend aussi de savoir si nous accordons assez d’importance aux ingénieurs en sécurité. Ils portent une responsabilité énorme. »
« Il faut alléger leur charge mentale, leur accorder davantage de reconnaissance et d’incitations. Que ce soit par des récompenses financières ou des distinctions honorifiques, offrons-leur une juste reconnaissance dans la mesure de nos possibilités. »
Bienvenue dans la communauté officielle TechFlow
Groupe Telegram :https://t.me/TechFlowDaily
Compte Twitter officiel :https://x.com/TechFlowPost
Compte Twitter anglais :https://x.com/BlockFlow_News
CertiK
