BitGo corrige une vulnérabilité dans les portefeuilles chauds ETH TSS en version précoce

BitGo, un fournisseur de services de portefeuilles de cryptomonnaies, a corrigé une vulnérabilité identifiée dans ses portefeuilles Ethereum et ERC-20 Threshold Signature Scheme (TSS) récemment lancés. Une première annonce des portefeuilles chauds ETH TSS a été faite le 31 octobre 2022, avec la promesse de frais de gaz plus bas pour les utilisateurs. Les développeurs de BitGo sur Github ont transmis une mise à jour le 9 décembre 2022, notant que le service ne disposait pas d'un support complet pour la vérification par des tiers des parts de clés et des parts de signature.

L'entreprise d'infrastructure blockchain Fireblocks a affirmé qu'elle avait identifié et notifié BitGo de la vulnérabilité en décembre 2022. Le communiqué de presse de Fireblocks a déclaré que la vulnérabilité aurait pu exposer les clés privées des échanges, des banques, des entreprises et des utilisateurs de la plateforme.

Cependant, BitGo a depuis nié ces affirmations de Fireblocks via un article de blog, soulignant que sa propre équipe de développement avait déjà identifié le manque de vérification par des tiers, et que cela figurait sur sa liste de tâches comme indiqué dans la documentation GitHub. Dans un message à Cryptopolitan clarifiant le problème, le fournisseur de portefeuilles a insisté sur le fait que les fonds des utilisateurs ou les clés privées n'ont jamais été risqués d'être compromis ou divulgués par la vulnérabilité.

BitGo rejette la divulgation de Fireblock

Cryptopolitan comprend que les clients de BitGo n'utilisaient pas activement le type de portefeuille MPC pour stocker des actifs de cryptomonnaie au moment où la vulnérabilité a été découverte. Cependant, 20 développeurs, y compris des employés et des contributeurs de BitGo, avaient accès au portefeuille en accès anticipé, et les ingénieurs de Fireblocks ont pu effectuer des tests en raison de la nature open source du code du portefeuille principal de BitGo.

BitGo avait précédemment divulgué un manque de vérification par des tiers des parts de clés et de signature l'année dernière, mais la réponse de l'entreprise aux affirmations de Fireblocks était moins qu'encourageante. Dans l'article de blog, BitGo a qualifié Fireblocks de « concurrent » tentant de transformer un « écart connu en un coup médiatique ».

Fireblocks a affirmé que la vulnérabilité permettrait aux attaquants potentiels d'extraire rapidement une clé privée à l'aide d'une petite quantité de code JavaScript. L'entreprise a déclaré qu'elle avait identifié l'exploit en utilisant un compte BitGo gratuit sur le mainnet et a révélé qu'une partie manquante des preuves à divulgation nulle de connaissance (zero-knowledge proofs) obligatoires dans le protocole ECDSA TSS de BitGo a permis à l'équipe d'exposer la clé privée par une attaque simple.

BitGo a réfuté ces affirmations en disant qu'ils avaient suspendu le service vulnérable le 10 décembre 2022 et publié un correctif en février 2023 qui nécessitait des mises à jour côté client vers la dernière version d'ici le 17 mars. Ils ont révélé que seul le portefeuille en accès anticipé était affecté, ce qu'aucun de ses clients n'utilise actuellement.

Les plateformes d'actifs de cryptomonnaie d'entreprise de niveau standard de l'industrie utilisent soit la technologie MPC, soit la technologie multi-signature pour éliminer la possibilité d'un point d'attaque unique. Cela se fait en distribuant une clé privée entre plusieurs parties pour garantir les contrôles de sécurité si une partie est compromise.

L'industrie des cryptomonnaies a été confrontée à de nombreux piratages. Cryptopolitan a récemment révélé le piratage d'Euler Finance qui a entraîné la perte de fonds importants. En août 2022, plus de 8 millions de dollars ont été volés à plus de 7 000 portefeuilles sur la blockchain Solana. Parallèlement, un piratage séparé du service de portefeuille MyAlgo sur le réseau Algorand a vu plus de 9 millions de dollars détournés de nombreux portefeuilles bien connus.