Crypto-monnaies : quand le piratage menace les plateformes

Il n'y a donc aucune des mesures de sécurité complexes, restrictives et surtout obligatoires qui font le quotidien du monde de la finance, aussi bien sur le plan technique qu'administratif. De fait, dans le petit monde des crypto-monnaies, la sécurité peut aussi bien être sérieuse qu'inexistante : personne n'est là pour le vérifier.

Ce n'est donc pas étonnant que l'on y trouve une plus grande concentration de petits aigrefins en quête d'un profit rapide. Et le pire dans tout ça ? C'est que contrairement au monde bancaire traditionnel, les transactions en crypto monnaies ne peuvent pas être annulées lorsqu'elles sont passées, par exemple après un piratage.

Alors si certaines places de marché en crypto-monnaie remboursent bien leurs clients en cas de piratage de la plateforme d'échange, très souvent leurs administrateurs sont aux abonnés absents lorsque l'on parle en millions.

Et des millions, il y en a eu de perdus ! Avec une parité au dollars atteinte dès 2011 et un cours à quasiment 3000? à l'heure de la rédaction de ces lignes, le bitcoin a attiré de nombreux pirates. En seulement sept ans, le nombre d'attaques réussies contre des plateformes bitcoins a été multiplié par douze mille, pour un butin moyen de. 27 millions d'euros (chiffres issus de l'étude de 73 cas de piratage de plateformes crypto intervenus au cours des sept dernières années).

Première cible : les « exchanges »

Il y a de nombreux intervenants dans la « chaîne » du bitcoin, et tous sont ciblés par les criminels. L'étude a montré qu'avec 63% des attaques, les « exchanges », ces plateformes de compensation qui permettent aux utilisateurs d'acter leurs transactions, sont les services les plus attaqués. Ce n'est guère une surprise, car ce sont eux qui centralisent le plus grand volume de crypto-monnaies et d'utilisateurs.

Mais il n'y a pas qu'eux. Les crypto monnaies reposent sur des mécanismes de stockage appelés des « portefeuilles » (wallets, en anglais).  Un portefeuille dit « chaud » est connecté à Internet en permanence et il sert à régler des achats en temps réel. Ce type de portefeuille est généralement hébergé sur un « exchange » par simplicité, mais il peut aussi fonctionner sur un ordinateur ou même un téléphone mobile. Évidemment, le fait qu'ils soient toujours connectés fait des « hot wallets » des cibles idéales pour les pirates.

Afin de réduire le risque de vol, les crypto-monnaies exploitent aussi des portefeuilles dits « froids » (cold wallets, en anglais), qui ne sont pas connectés à Internet. Les meilleurs d'entre eux ne sont d'ailleurs connectés à aucun réseau, telle une clé USB dotée d'un chiffrement fort. Mais ils peuvent aussi être hébergés sur des « exchanges », auquel cas il s'agit de bases de données dédiées, fortement chiffrées, qui exigent d'être déverrouillées par leur propriétaire à l'aide d'une clé privée avant de pouvoir accepter une transaction.

L'étude a également permis de mettre en évidence que les portefeuilles connectés étaient trois fois plus victimes de vol que les portefeuilles « froids ».

Mais attention : chauds ou froids, même les portefeuilles hébergés en dehors d'une plateforme d'échange peuvent être attaqués : ils représentent environ 1/7 de tous les vols de crypto-monnaie.

Enfin, les services de minage de crypto monnaies (les systèmes qui génèrent de la crypto-monnaie en échange d'une puissance de calcul destinée à faire fonctionner l'infrastructure de gestion de ladite monnaie) sont également des cibles potentielles, bien que cela soit beaucoup plus rare.

Et après ? Réglementer les crypto- monnaies ?

Quel que soit leur domaine, les applications sont un ensemble complexe de services interagissant au sein d'une variété d'environnements, reliées entre elles par des API (interfaces applicatives), des systèmes d'authentification et des réseaux. Cette richesse et cette complexité signifient qu'ils offrent une surface d'attaque importante, et requièrent donc plus de tests, d'évaluations de la sécurité et de protection. Ce qui n'est pas forcément le cas aujourd'hui dans le domaine des crypto- monnaies.

Mais les gouvernements de par le monde commencent enfin à réglementer l'industrie des crypto- monnaies, et certains d'entre eux ont même commencé à définir des mesures de cybersécurité obligatoires. Ainsi, le règlement coréen 5.5.7 (« Réglementation sur la supervision de la finance électronique ») est aujourd'hui considéré comme un exemple du genre, en considérant les mesures de cybersécurité destinées aux plateformes d'échange de crypto-monnaies au même titre que celles de n'importe quelle autre institution financière.

Avec un peu de chance, d'autres gouvernements lui emboiteront le pas.

Matthieu Dierick, Tech Evangelist - F5 Networks.