La faille de sécurité ‘BitForge’ menace Binance, Coinbase et d'autres bourses de cryptomonnaies 

Des révélations récentes indiquent qu'une série de fournisseurs de portefeuilles de cryptomonnaies de premier plan étaient vulnérables à d'éventuelles brèches de sécurité. Ces vulnérabilités, désormais connues sous le nom de ‘BitForge’, ont mis en lumière les risques cybernétiques inhérents au domaine des cryptomonnaies, alors même que le monde fait face à une adoption croissante et à un contrôle réglementaire plus strict.

L'entreprise de cybersécurité Fireblocks a présenté ses conclusions lors de la conférence Black Hat USA, révélant que plus de 15 portefeuilles de cryptomonnaies dominants, représentant plus de 80 % du marché, étaient touchés. Ces vulnérabilités auraient pu facilement être exploitées pour compromettre les fonds des utilisateurs sur des plateformes d'échange célèbres, notamment Binance et Coinbase.

Ces failles de sécurité ciblaient principalement les protocoles de calcul multipartite (MPC). Les MPC fragmentent généralement les clés privées en plusieurs morceaux, dispersés sur différents appareils. Cette méthode devrait idéalement renforcer la sécurité. Cependant, il a été découvert que certaines implémentations des MPC rendaient possible pour les acteurs malveillants d'accéder à la clé complète après seulement 16 transactions. De telles transactions rapides pourraient se produire en quelques secondes sur des portefeuilles à haute fréquence.

Le PDG de Fireblocks, Michael Shaulov, a expliqué la simplicité d'exploitation de ces vulnérabilités. Il a déclaré : « Les vulnérabilités BitForge fonctionnent selon des mécanismes d'attaque cybernétique courants. Un seul utilisateur compromis par un logiciel malveillant suffit. » Cela souligne la menace permanente des logiciels malveillants, souvent distribués via des hameçonnages conçus pour tromper les utilisateurs afin qu'ils téléchargent des logiciels malveillants ou divulguent des données sensibles.

La divulgation de cette vulnérabilité survient dans un contexte mixte de crimes liés aux cryptomonnaies. Bien que le chiffre global ait baissé de 65 % à 3,3 milliards de dollars au premier semestre 2023 par rapport à 2022, les attaques par rançongiciel – des logiciels malveillants qui chiffrent les fichiers d'une victime et exigent un paiement pour leur libération, généralement en cryptomonnaie – augmentent fortement. Elles devraient atteindre près de 900 millions de dollars cette année, ne se distinguant que légèrement des 940 millions de dollars de 2021.

La communauté internationale et les organismes de réglementation sont depuis longtemps préoccupés par la cybersécurité liée aux actifs numériques. Compte tenu de l'augmentation des vols de cryptomonnaies, de nombreux gouvernements intensifient leurs efforts pour intégrer les actifs numériques et leurs prestataires dans un cadre réglementaire. À titre d'exemple, la Commission des valeurs mobilières et des contrats à terme de Hong Kong (SFC) exige désormais que les bourses de cryptomonnaies opérant sous sa juridiction obtiennent une licence. Cette mesure vise à imposer des normes en matière de cybersécurité, de gestion des clés privées et d'autres domaines.

Cependant, des incertitudes subsistent. Bien que Fireblocks ait identifié des vulnérabilités chez un nombre important de fournisseurs de portefeuilles, déterminer le nombre exact d'entités touchées par ces implémentations défectueuses de MPC reste évasif.

Une plongée profonde dans BitForge

La recherche de Fireblocks a identifié des vulnérabilités dans les implémentations de certains protocoles de calcul multipartite (MPC), spécifiquement GG-18, GG-20 et Lindell17. Ces vulnérabilités ont été attribuées à des écarts par rapport aux implémentations standard ou à des efforts antérieurs pour corriger des failles connues.

Il est à noter que les protocoles GG-18 et GG-20 ont fait face à des problèmes où des tentatives antérieures de correction des vulnérabilités ont involontairement introduit de nouvelles failles. La faille de Lindell17, quant à elle, tournait autour d'écarts par rapport aux spécifications académiques originales et d'une mauvaise gestion des signatures échouées.

En témoignage de la collaboration au sein de l'industrie, Fireblocks a entrepris un processus de divulgation de 90 jours. Leurs efforts ont été salués par une réponse proactive. Les principaux fournisseurs de portefeuilles, en particulier Coinbase WaaS et Zengo, ont été félicités pour leur action rapide afin de résoudre et de corriger les failles de sécurité.

Alors que les devises numériques continuent de s'intégrer dans le tissu financier mondial, il est évident que le maintien de la cybersécurité restera une priorité absolue pour les prestataires et les régulateurs.