Interview : pourquoi les pirates continuent de cibler les protocoles DeFi, solutions

Résumé TL;DR

• La série de piratages frappant les cryptos et les protocoles DeFi continue d'augmenter.
• Plus de 7 milliards de dollars perdus dans les attaques contre l'industrie crypto en 2021.
• Pourquoi les pirates ciblent continuellement l'industrie crypto.

La série de piratages frappant l'espace DeFi et l'industrie des cryptomonnaies par extension a continué d'être une source de préoccupation pour l'industrie.

Selon des rapports, 169 incidents de piratage de blockchain ont eu lieu en 2021, avec près de 7 milliards de dollars de fonds perdus au profit des pirates. Au cours du mois dernier, pas moins de cinq cas de piratage de crypto ont été signalés avec le protocole DeFi Cream Finance le dernier à être touché par ces pirates. Plus de 130 millions de dollars auraient été volés.

À la suite de ces événements, Cryptopolitan a parlé à Dmitry Mishunin, PDG et fondateur de HashEx, une société de R&D axée sur l'intégration de la blockchain dans les processus d'affaires et la cybersécurité. Dmitry a une solide formation technique en cybersécurité et en applications décentralisées, ainsi qu'une expérience impressionnante dans le développement de systèmes de sécurité de l'information.

Voici des extraits de l'interview

Q : Êtes-vous surpris par le nombre de piratages et d'exploits auxquels les utilisateurs font face récemment ?

Malheureusement, non. Nous voyons que de plus en plus de personnes écrivent leurs contrats intelligents. Mais souvent, ils n'ont pas suffisamment de compétences en programmation et une bonne compréhension de Solidity – actuellement le seul langage de programmation compatible avec Ethereum. Avoir une bonne compréhension du langage de programmation est indispensable pour créer un protocole DeFi fiable, et ne pas connaître certaines de ses nuances peut facilement conduire à des exploits et à des fonds volés.

Q : Comment l'acceptation ou la signature d'un contrat intelligent contenant du code malveillant peut-elle entraîner le vol de vos actifs ?

Chaque utilisateur devrait savoir que les transactions blockchain sont irréversibles : une fois que vous approuvez un certain montant d'un token ERC-20 à un contrat intelligent ERC-20, il sera transféré de manière irréversible vers celui-ci. Un contrat peut avoir un code source vérifié sans exploits mais peut également avoir une bibliothèque non vérifiée comme dépendance. Approuver des tokens à un tel contrat est un grand risque car vous ne pouvez pas vérifier comment fonctionne la bibliothèque.
C'était le cas dans le projet StableMarket, lorsque au moins 27 millions de dollars de fonds d'utilisateurs ont été volés. Les contrats du projet StableMarket avaient un code audité mais ont été déployés avec une bibliothèque non vérifiée. Cette bibliothèque était malveillante et a volé les tokens des utilisateurs stockés dans le protocole.

Un autre risque pour les utilisateurs est d'approuver des tokens à un contrat intelligent évolutif : un tel contrat peut être automatiquement mis à niveau avec du code malveillant et voler les tokens approuvés.
Souvent, les applications front-end approuvent des montants maximums de tokens pour un contrat, et non seulement le montant de tokens qui sera utilisé. Cela est fait pour payer les frais de gaz en une seule transaction. Si un utilisateur dépose des tokens sur un contrat, il devra également payer les frais de gaz. Mais si un contrat agit de manière malveillante, il peut alors retirer n'importe quelle quantité de tokens du portefeuille.

Ainsi, la meilleure pratique pour une sécurité maximale consiste toujours à vérifier le montant d'approbation et à n'approuver que le montant nécessaire pour l'opération du contrat.

Q : Les pirates deviennent-ils plus intelligents ou les utilisateurs de cryptomonnaies deviennent-ils moins prudents dans leurs procédures de cybersécurité ?

Les deux affirmations sont vraies. Les pirates ont fait des progrès sérieux dans l'exploitation des plateformes de prêts flash en tandem avec différents protocoles pour créer et exploiter des vulnérabilités. En soi, ces autres plateformes sont sûres la plupart du temps, mais les prêts flash créent une complexité structurelle accrue, ce qui rend les vulnérabilités plus fréquentes.

Ces attaques sont très complexes. Même leur analyse prend beaucoup de temps. De plus, il y a beaucoup de piratages de projets qui ont simplement un code médiocre avec des bugs simples qui auraient très probablement été éliminés si des tests avaient été effectués ou si le code avait été correctement audité.
Une partie de la responsabilité incombe également aux utilisateurs, car beaucoup d'entre eux connaissent les bonnes pratiques qui minimisent les risques, comme le stockage à froid, par exemple. Mais ils les ignorent souvent, perdant la tête devant une opportunité qui pourrait leur rapporter un retour sur investissement (ROI) multiple. Parfois, ils finissent par perdre simplement leur argent.

Q : Comment les utilisateurs peuvent-ils mieux protéger leurs actifs sur Metamask et les dapps associées telles qu'OpenSea et DeFi ?

La meilleure protection consiste à ne pas stocker tous les actifs dans des portefeuilles chauds (hot wallets) mais à les envoyer vers des portefeuilles froids (cold wallets) : ces derniers n'ont pas accès à Internet. Il est préférable de ne stocker qu'une petite quantité d'actifs nécessaires aux opérations dans les portefeuilles chauds et de garder le reste en stockage à froid.
De plus, les utilisateurs doivent suivre les règles de sécurité standard : utiliser des antivirus, éviter d'ouvrir des liens suspects dans les e-mails et utiliser l'authentification à deux facteurs lorsque cela est possible.

Q : Pensez-vous que les piratages et les exploitations deviendront plus courants à mesure que l'industrie grandit ?

À mesure que l'industrie grandit et que davantage de projets sont lancés, davantage d'entre eux seront confrontés au risque d'être piratés. Vous ne pouvez pas éliminer tous les bugs de tous les projets, mais les entreprises de sécurité blockchain travaillent constamment à les minimiser. Cela inclut non seulement les audits du code source des projets, mais aussi le développement d'outils analytiques qui aideront à empêcher l'apparition des bugs, ou du moins à les détecter aux premiers stades du développement.

Q : Quel rôle HashEx joue-t-il dans l'expansion de l'industrie des cryptomonnaies ?

Nous éclairons les gens sur la transparence et la sécurité de l'utilisation des applications décentralisées. La logique de leur fonctionnement est trop complexe et peu claire pour qu'un utilisateur moyen puisse la comprendre. De plus, aucune personne sensée ne confierait son argent à quelque chose qu'elle ne comprend pas, comme Pinocchio au champ des Miracles. Nous expliquons les notions complexes en termes simples et mettons en lumière les pièges dont les gens doivent être conscients et essayer d'éviter, et nous aidons également les investisseurs potentiels à prendre une décision éclairée concernant leurs fonds.

Mais avant tout, nous sommes un cabinet d'audit centré sur la DeFi et les cryptomonnaies. Cela signifie que nous effectuons de nombreux audits de contrats intelligents et aidons ainsi les projets crypto à gagner la confiance des investisseurs, car les investisseurs font davantage confiance aux projets qui sont bien protégés contre les erreurs coûteuses qui pourraient affecter financièrement leurs investisseurs.

Q : Quels sont vos commentaires sur les initiatives du G7 et du président américain Joe Biden pour mettre fin au rançongiciel (ransomware), à la cybersécurité et aux piratages de crypto fréquents ?

L'amélioration constante des normes de sécurité fait partie de notre routine et de notre idéologie d'entreprise. Nous cherchons à instiller la confiance dans l'espace DeFi, par nature sans confiance. Et cette question est cruciale dans tout domaine informatique, pas seulement en DeFi. Avec l'émergence rapide de nouveaux produits logiciels, l'aspect cybersécurité est malheureusement trop peu pris en compte, ce qui crée des opportunités pour les pirates d'exploiter. Il y a deux raisons principales à cela : la programmation au « clic de souris » et une main-d'œuvre de faible qualité qui se voit offrir des salaires injustifiément élevés.

C'est un inconvénient des entreprises informatiques en croissance rapide. Dans cet environnement de concurrence acharnée, les entreprises essaient de devancer les autres, en proposant de nouveaux produits et en faisant souvent les yeux grands ouverts sur les problèmes de sécurité malgré leur importance. En conséquence, nous obtenons parfois de grands systèmes, utilisés par un grand nombre de clients, qui comportent encore des bugs pouvant entraîner la perte des fonds des utilisateurs. Parfois, les conséquences de ces bugs peuvent même être continentales.

De ce point de vue, l'interférence gouvernementale est tout à fait justifiée. Si les gouvernements n'intervenaient pas dans ces questions, qui d'autre ferait respecter la loi contre les hommes d'affaires avides et les convaincrait de consacrer des efforts à des mesures de sécurité et au développement de logiciels de manière sensée ?

Si les gens commencent à signaler les piratages aux agences gouvernementales, cela aura un effet positif. Des informations opportunes peuvent aider à minimiser les conséquences d'une panne potentielle en permettant d'activer des canaux de réserve (la situation concernant l'approvisionnement en pétrole sur la côte est des États-Unis peut être considérée comme un bon exemple de cette pratique).

Des normes de sécurité unifiées dans toute l'industrie seraient également bénéfiques, si elles sont développées par des experts plutôt que par des outsiders. Même à ce stade précoce du développement des DApp, nous voyons ces normes être mises en œuvre par les principaux auditeurs. L'intégration de tels protocoles aidera tout le monde : cela rendra la programmation plus facile, les codes plus sûrs, et protégera également les fonds des utilisateurs.

Q : Ces piratages témoignent-ils de leur impact sur l'industrie des cryptomonnaies ?

Le retour sur l'industrie crypto est une tentative de contrôler les fonds volés. Je pense que c'est une bonne chose. Actuellement, vous ne pouvez pas obtenir tous les avantages du monde réel via les cryptomonnaies. Cette situation change jour après jour, mais elle est loin d'être parfaite. Par conséquent, les pirates ont toujours besoin d'un pont entre les fonds crypto et les fonds fiduciaires (fiat) pour retirer illégalement les fonds acquis.

C'est l'étape à laquelle les criminels peuvent être identifiés. Plus ils sont nombreux à être trouvés, moins ils seront disposés à tenter de le faire à nouveau. On peut penser à la manière dont on coupait autrefois les membres du corps pour vol dans les cultures orientales. De telles interventions des agences de maintien de l'ordre ont une influence entièrement positive sur l'industrie crypto et sa réputation. Ces actions donnent aux gens un sentiment de sécurité.

Q : Les acteurs malveillants derrière la plupart de ces piratages crypto, quelles sanctions recommanderiez-vous pour dissuader les autres ?

Comme je l'ai dit précédemment, je suis favorable à la pénalisation de ces individus. Je considérerais de telles opérations comme une fraude financière d'une gravité variable et appliquerais des actions juridiques correspondantes. Je ne chercherais pas à élaborer de nouvelles lois à ce stade.

Q : Un monde crypto sans piratages est presque impossible à atteindre, comment les parties prenantes, les décideurs politiques et tous les autres peuvent-ils réduire les attaques au minimum absolu ?

Aucun domaine informatique n'est concevable sans cybermenaces. Mais lorsque nous parlons d'entreprises ordinaires, nous ne voyons que la partie émergée de l'iceberg, pas le tableau complet. Il y a beaucoup plus de piratages qui passent inaperçus parce que les entreprises pourraient nuire à leur réputation si de telles connaissances devenaient publiques. Avec les cryptomonnaies, tout est transparent et connu du public, donc les médias écrivent plus souvent sur ces choses.

La cybersécurité est une pratique multidimensionnelle, qui inclut les cadres réglementaires aux points d'entrée et de sortie crypto-vers-fiat, l'éducation des utilisateurs, les équipes de cybersécurité vérifiant le code, etc. Cette industrie est encore jeune, ce qui offre une excellente opportunité de l'orienter vers les bons vecteurs de développement. De cette manière, nous pouvons utiliser des pratiques plus sûres dès le début, au lieu d'essayer de colmater des trous quelque part plus tard.