L’IA redéfinit la sécurité des portefeuilles numériques, affirme Jameson Lopp après les vols de cartes Coldcard
- Selon Jameson Lopp, les vols de données Coldcard montrent comment les grands modèles de langage permettent de réduire le coût de la recherche des vulnérabilités logicielles, tant pour les attaquants que pour les défenseurs.
- La faille suspectée résidait dans la génération de clés de récupération faibles dans certaines versions du firmware Coldcard, permettant aux attaquants de cibler les portefeuilles sans accès physique aux appareils.
- L'dent ne signifie pas que l'auto-gestion a échoué, mais il renforce l'argument en faveur d'auditsdent du firmware, de configurations multisignatures et de la répartition de la confiance entre plusieurs fournisseurs de portefeuilles.
D'après Jameson Lopp, cofondateur de Casa, la faille à l'origine des vols bitcoin Coldcard s'élevant à plus de 83 millions de dollars ne se limite pas à une simple défaillance matérielle de portefeuille. Elle révèle une évolution plus profonde de la cybersécurité, l'intelligence artificielle réduisant le temps nécessaire aux attaquants comme aux défenseurs pour identifier les vulnérabilités logicielles.
Dans le podcast The Starting Block, Lopp a affirmé que les grands modèles de langage (LLM) transforment la sécurité des logiciels en minimisant le coût de la découverte des bogues.
« Les progrès réalisés dans le domaine des grands modèles de langage transforment radicalement le paysage de la sécurité », a-t-il déclaré, affirmant que l'dent Coldcard est l'un des premiers exemples de ce phénomène, qui devrait avoir des répercussions sur de nombreux portefeuilles numériques.
Une course à double tranchant
D'après Lopp, le problème réside moins dans un dysfonctionnement matériel que dans l'évolution des logiciels de sécurité. Autrefois réservée aux équipes de sécurité les mieux financées, l'analyse de code par IA s'est généralisée. De ce fait, les attaquants peuvent désormais accéder aux dépôts de code publics et y déceler des vulnérabilités avant même que les développeurs ne les identifient.
Le PDG de Coinkite, Rodolfo Novak, est parvenu à la même conclusion tout en reconnaissant sa responsabilité concernant le bug du firmware. Selon lui, cetdent illustre « une dure réalité du nouveau paradigme de l'IA », les audits assistés par l'IA étant capables de déceler les failles beaucoup plus rapidement que les audits manuels traditionnels.
Étonnamment, dans son précédent rapport, Cryptopolitan mentionnait que Coinkite avait utilisé une application d'intelligence artificielle pour analyser son code avant d'être piraté.
Comme l'a rapporté Tradingview, cette analyse n'a pas permis de détecter la faille, ce qui souligne le fait que les attaquants et les défenseurs ont accès à une technologie d'IA similaire, ce qui donne un avantage à celui qui détecte la faille en premier.
Qu'est-ce qui s'est réellement mal passé à l'intérieur de l'appareil ?
La faille de sécurité est apparue en raison de la méthode de génération des clés de portefeuille de récupération dans certaines versions du firmware Coldcard. Selon les informations communiquées par l'équipe d'ingénierie et de sécurité Bitcoin de Block, rapportées par le New York Post, les appareils vulnérables utilisaient certaines informations prévisibles de la puce (telles que le numéro de série du processeur et les données d'horloge) au lieu d'une méthode aléatoire pour générer les numéros.
De ce fait, les cybercriminels ont pu reconstituer les phrases de récupération utilisées dans les portefeuilles et voler les fonds sans accéder physiquement au portefeuille.
Le firmware défectueux a été introduit en mars 2021 et corrigé uniquement dans la version 4.21. Selon Coinkite, une simple mise à jour du firmware ne résout pas le problème. Les personnes ayant créé un portefeuille avec une version vulnérable doivent générer une nouvelle phrase de récupération et transférer leurs fonds, car la faille est étroitement liée à la phrase de récupération utilisée précédemment.
Galaxy Research a indiqué que le 30 juillet, des criminels ont réussi à dérober 1 082,65 BTC à 1 196 portefeuilles en une quarantaine de minutes. Par la suite, d'autres attaques ont eu lieu, notamment la dernière vague observée par Alex Thorn de Galaxy, qui semblait viser les détenteurs de portefeuilles multisignatures, contrairement aux attaques précédentes qui ciblaient uniquement les utilisateurs de portefeuilles monosignatures.
Guy Swann, commentateur populaire Bitcoin a déclaré que cettedent est « le pire coup dur de l'histoire bitcoin » pour les détenteurs prudents de cette monnaie virtuelle.
Là où le principe « ne faites pas confiance, vérifiez » atteint ses limites
Pour Lopp, cette faille révèle également les limites de l'un des principes les plus connus du Bitcoin: « Ne faites pas confiance, vérifiez. »
« C’est un bon mantra », a-t-il déclaré, « mais il faut comprendre que la vérification de logiciels et de matériels complexes est tout simplement impossible pour 99,9 % de la population. »
Selon Lopp, les utilisateurs finiront par faire confiance à un tiers pour valider les informations. Plutôt que de renoncer à utiliser leurs propres portefeuilles, Lopp recommande aux utilisateurs de diversifier leurs sources de confiance en utilisant plusieurs portefeuilles matériels et applications logicielles.
Zach Herbert, PDG de Foundation, a exprimé le même avis dans le podcast, affirmant qu'il est « très dangereux » de conclure à l'échec de l'auto-garde de données sur la base d'un seul cas. Au contraire, il suggère que le secteur doit améliorer ses pratiques de sécurité.
Lorenzo Valente, associé à ARK Invest, a affirmé que de nombreux utilisateurs avaient simplement troqué leur risque de contrepartie en bourse contre « un risque logiciel, un risque matériel, un risque lié à la chaîne d’approvisionnement, un risque d’hameçonnage, un risque de sauvegarde »
Plaidoyer pour des auditsdent
Cet incident a relancé la demande d'audits de firmware réalisés par un organismedent , en remplacement d'une confiance totale dans l'auto-évaluation du fournisseur. Cryptopolitan a récemment publié un article s'interrogeant sur la sécurité des logiciels libres, et l'dent Coldcard en est une preuve supplémentaire.
Selon Andrew Lazutkin, directeur technique de Tangem, il ne faut pas considérer comme sécurisé un code accessible au public. Comme il l'explique : « La sécurité repose sur une architecturetron, des tests rigoureux et une vérificationdent . »
Lopp a indiqué que des fuites importantes concernant des portefeuilles matériels s'étaient produites « une douzaine de fois » et a estimé que tous cesdentavaient contribué à l'amélioration du secteur. La question qui se pose désormais est de savoir si Coinkite mettra en œuvre l'analyse technique post-mortem promise et des évaluations de sécuritédent plus approfondies avant que des pirates informatiques utilisant l'IA ne découvrent la prochaine faille.
Si vous lisez ceci, vous avez déjà une longueur d'avance. Restez-y grâce à notre newsletter.
FAQ
Combien de bitcoin ont été volés lors de l'exploitation de la faille Coldcard ?
Galaxy Research a estimé que 1 082,65 BTC, d'une valeur d'environ 70 millions de dollars, ont été retirés de 1 196 adresses en l'espace de 40 minutes le 30 juillet, et des vagues ultérieures ont porté le total cumulé à environ 83 à 89 millions de dollars.
Qu'est-ce qui a provoqué la vulnérabilité Coldcard ?
Une erreur de firmware datant de la version 4.0.0 de mars 2021 a fait que les appareils ont eu recours à un générateur de nombres aléatoires logiciel faible, initialisé par des données de puce non secrètes telles que le numéro de série et l'horloge, produisant des phrases de récupération suffisamment prévisibles pour être explorées par force brute.
Que doivent faire les propriétaires de Coldcard maintenant ?
Coinkite indique que la mise à jour du firmware ne suffit pas, car la faille se situe au niveau de la phrase de récupération ; les utilisateurs concernés doivent générer une nouvelle phrase de récupération sur un firmware corrigé et transférer leurs bitcoin vers le nouveau portefeuille.
Les fournisseurs de portefeuilles matériels doivent-ils se soumettre à des audits de sécuritédent ?
Les experts considèrent généralement les auditsdent comme une couche d'une stratégie de sécurité plus large qui comprend également le code source ouvert, les programmes de divulgation responsable et les tests continus.
La génération d'entropie doit-elle faire l'objet d'une certification externe ?
Certains chercheurs estiment que les fournisseurs de portefeuilles numériques devraient fournir des preuvestronque leurs méthodes de génération d'entropie ont été validées ou certifiéesdent. D'autres soulignent que la certification à elle seule ne peut éliminer les erreurs d'implémentation et devrait compléter, plutôt que remplacer, une conception matérielle sécurisée, un examen transparent du code et des tests de sécurité continus.
La reproductibilité des firmwares devrait-elle devenir obligatoire ?
Les versions reproductibles, ou déterministes, du firmware permettent à quiconque de vérifier que le firmware installé sur un appareil correspond bien au code source public. De nombreux développeurs Bitcoin considèrent les versions reproductibles comme un élément de transparence important, car elles réduisent le risque d'introduction de code caché ou non autorisé lors du processus de compilation. Cependant, un firmware reproductible n'élimine pas toutes les vulnérabilités
Avertissement : Les informations fournies ne constituent pas un conseil en investissement. CryptopolitanCryptopolitan.com toute responsabilité quant aux investissements réalisés sur la base des informations présentées sur cette page. Nous voustronrecommandons vivement d’effectuer vosdent et/ou de consulter un professionnel qualifié avant toute décision d’investissement.
Micah Abiodun
Micah Abiodun met à profit son master en ingénierie et gestion de l'environnement obtenu à l'Université de technologie de Tallinn (TalTech) pour peaufiner le contenu et les prévisions de prix chez Cryptopolitan. Fort de sept années d'expérience dans les médias spécialisés en cryptomonnaies, il couvre les principales cryptomonnaies, les altcoins, DeFi, les stablecoins, les tendances macroéconomiques et les technologies émergentes
