Je repense sans cesse à une phrase d’Elon Musk après la cyberattaque de Binance : « Chaque jour est un jour zéro. »
C’est court, mais cela résume un aspect inquiétant de la sécurité des cryptomonnaies. Nous pouvons bâtir des plateformes d’échange gigantesques, des écosystèmes pesant des milliards et des systèmes de sécurité sophistiqués, mais une seule faille inconnue peut encore tout changer en quelques minutes.
Le commentaire de Musk est intervenu après la cyberattaque visant Binance, remettant au premier plan la question plus générale de la cybersécurité. Il a également republié une analyse de The Kobeissi Letter affirmant qu’environ 5,7 milliards de dollars avaient quitté Binance à la suite de l’incident.
Et honnêtement, c'est ce chiffre qui attire immédiatement l'attention.
Mais je pense qu'il y a un détail important que les gens ne devraient pas négliger.
Des sorties de fonds de 5,7 milliards de dollars ne signifient pas automatiquement que 5,7 milliards de dollars ont été volés.
Cette distinction est importante.
Quand les utilisateurs apprennent qu'une plateforme d'échange a été attaquée, ils s'inquiètent naturellement. Certains peuvent transférer leurs bitcoins ou d'autres actifs vers une autre plateforme. D'autres peuvent transférer leurs fonds vers leurs propres portefeuilles. Certains voudront peut-être simplement réduire leur exposition en attendant de comprendre ce qui s'est passé.
Toutes ces actions peuvent entraîner des sorties de fonds massives des plateformes d'échange.
Je distinguerais donc deux chiffres différents :
Combien d'argent a quitté Binance ?
Et :
Combien d'argent l'attaquant a-t-il réellement emporté ?
Ce n'est pas nécessairement la même chose.
C'est là que la question des « zero-days » devient encore plus intéressante.
Une vulnérabilité zero-day est une faille de sécurité que les attaquants peuvent exploiter avant que le développeur du logiciel ne l'ait révélée publiquement ou n'ait publié un correctif. Le problème est simple : les défenseurs peuvent même ignorer l'existence de la porte jusqu'à ce que quelqu'un l'ait déjà franchie.
C'est ce qui rend les zero-days si dangereux.
Les plateformes d'échange de cryptomonnaies sont particulièrement vulnérables, car elles ne détiennent pas seulement des données. Elles détiennent des actifs qui peuvent potentiellement être transférés presque instantanément à l'autre bout du monde.
Une seule exploitation réussie peut donc causer deux types de dommages en même temps : une perte financière réelle et une perte de confiance.
La seconde peut parfois prendre encore plus d'ampleur.
Si les utilisateurs commencent à penser qu'une plateforme d'échange n'est pas sûre, ils n'ont pas besoin d'attendre qu'un attaquant leur prenne leur argent. Ils peuvent le transférer eux-mêmes.
Une situation étrange se crée alors : une plateforme d'échange peut enregistrer des sorties de fonds de plusieurs milliards sans que plusieurs milliards aient nécessairement été volés.
C'est pourquoi je pense que la prochaine étape de l'affaire Binance ne devrait pas simplement se concentrer sur le chiffre le plus élevé qui circule en ligne.
Nous devons savoir ce qui s'est réellement passé sur la blockchain.
Quels portefeuilles ont reçu les fonds ?
Quel montant a été confirmé comme volé ?
Quel montant a été transféré par des utilisateurs ordinaires ?
Et quel montant a simplement été transféré en réaction à la nouvelle ?
Ces détails racontent une histoire très différente d'un titre affirmant que « 5,7 milliards de dollars ont quitté Binance ».
Pour moi, la principale leçon à retenir ne concerne pas seulement Binance.
Elle concerne la rapidité avec laquelle un risque lié à la sécurité peut devenir un risque pour la confiance dans le monde de la crypto.
Le commentaire de Musk, « Chaque jour est un zero-day », semble presque désinvolte, mais le message sous-jacent est sérieux : dans un système financier numérique, les hypothèses de sécurité d'hier ne vous protégeront peut-être pas aujourd'hui.
L'attaque pourrait finalement être évaluée à des millions ou des milliards de dollars.
Mais la question plus importante que je me pose est la suivante :
Une fois les comptes faits, les utilisateurs feront-ils toujours confiance aux plateformes crypto centralisées pour détenir leurs actifs ?
Car dans la crypto, parfois, la chose la plus difficile à récupérer, ce n'est pas l'argent.
C'est la confiance.
