Un badge d’audit, peut-être le placebo le plus cher du monde crypto.
Le rapport du troisième trimestre publié cette semaine par la société de sécurité blockchain Hacken met les chiffres sur la table : au troisième trimestre, des pirates ont dérobé 1,18 milliard de dollars à des projets crypto, lors de 107 incidents, soit une hausse de 55 % par rapport au trimestre précédent.
Le plus frappant n’est pas le montant total, mais sa répartition : environ 906,8 millions de dollars (77 %) de pertes sont survenues en dehors du périmètre des audits : fournisseurs compromis, outils de développement contaminés, correctifs connus depuis longtemps mais jamais installés, composants exclus de l’audit.
Andrii Matiukhin, cofondateur de Hacken, résume le problème en une phrase : « Le problème vient toujours du périmètre. » Les audits portent généralement sur quelques contrats intelligents précis ; les portefeuilles, les systèmes de signature et les logiciels tiers n’en font pas partie. Les utilisateurs voient le badge « audité » et supposent que toute la plateforme est couverte. Pourtant, l’argent disparaît à cause de clés, de fournisseurs et de configurations que personne n’a jamais testés.
Parmi les gros incidents de ce trimestre : environ 387 millions de dollars dérobés à Bitget en septembre (selon les informations rapportées, une faille dans un produit de sécurité tiers a affecté le système de retrait), environ 320 millions sur le Liquid Network, environ 120 millions chez Tectonic et environ 115 millions à cause d’une vulnérabilité du micrologiciel Coldcard. Les failles de contrats intelligents ont été les plus fréquentes, mais les moins coûteuses par incident : 71 cas, pour environ 228 millions de dollars.
Le bon côté des choses, c’est que les mécanismes de récupération fonctionnent : environ 387 millions de dollars ont été récupérés ou annulés (les hackers éthiques de l’incident Liquid ont rendu 272 millions, et les validateurs de Cronos ont annulé les transactions liées à Tectonic), tandis que les opérateurs ont couvert environ 410 millions. Au final, environ 384 millions restent introuvables, soit un peu plus de 30 % des pertes.
À mon avis, les audits ne sont pas inutiles : ils protègent la « logique du code ». Mais aujourd’hui, les pirates s’en prennent aux « personnes, à la chaîne d’approvisionnement et aux clés ». Pour les petits investisseurs, une règle s’impose : ne plus considérer la mention « audité » comme un bouclier absolu, et vérifier plutôt si l’équipe applique régulièrement des correctifs et met en place des mesures opérationnelles comme des primes aux bugs, des signatures multiples et des clés matérielles.
La prochaine fois que vous verrez une grande bannière « audité », posez-vous la question : quelle partie a vraiment été auditée ?
Vous consultez les rapports d’audit des projets, ou vous ne regardez que les rendements ?
#黑客 #安全审计 #安全
Ceci ne constitue pas un conseil en investissement. Faites vos propres recherches (DYOR) ; le trading comporte des risques.
Le rapport du troisième trimestre publié cette semaine par la société de sécurité blockchain Hacken met les chiffres sur la table : au troisième trimestre, des pirates ont dérobé 1,18 milliard de dollars à des projets crypto, lors de 107 incidents, soit une hausse de 55 % par rapport au trimestre précédent.
Le plus frappant n’est pas le montant total, mais sa répartition : environ 906,8 millions de dollars (77 %) de pertes sont survenues en dehors du périmètre des audits : fournisseurs compromis, outils de développement contaminés, correctifs connus depuis longtemps mais jamais installés, composants exclus de l’audit.
Andrii Matiukhin, cofondateur de Hacken, résume le problème en une phrase : « Le problème vient toujours du périmètre. » Les audits portent généralement sur quelques contrats intelligents précis ; les portefeuilles, les systèmes de signature et les logiciels tiers n’en font pas partie. Les utilisateurs voient le badge « audité » et supposent que toute la plateforme est couverte. Pourtant, l’argent disparaît à cause de clés, de fournisseurs et de configurations que personne n’a jamais testés.
Parmi les gros incidents de ce trimestre : environ 387 millions de dollars dérobés à Bitget en septembre (selon les informations rapportées, une faille dans un produit de sécurité tiers a affecté le système de retrait), environ 320 millions sur le Liquid Network, environ 120 millions chez Tectonic et environ 115 millions à cause d’une vulnérabilité du micrologiciel Coldcard. Les failles de contrats intelligents ont été les plus fréquentes, mais les moins coûteuses par incident : 71 cas, pour environ 228 millions de dollars.
Le bon côté des choses, c’est que les mécanismes de récupération fonctionnent : environ 387 millions de dollars ont été récupérés ou annulés (les hackers éthiques de l’incident Liquid ont rendu 272 millions, et les validateurs de Cronos ont annulé les transactions liées à Tectonic), tandis que les opérateurs ont couvert environ 410 millions. Au final, environ 384 millions restent introuvables, soit un peu plus de 30 % des pertes.
À mon avis, les audits ne sont pas inutiles : ils protègent la « logique du code ». Mais aujourd’hui, les pirates s’en prennent aux « personnes, à la chaîne d’approvisionnement et aux clés ». Pour les petits investisseurs, une règle s’impose : ne plus considérer la mention « audité » comme un bouclier absolu, et vérifier plutôt si l’équipe applique régulièrement des correctifs et met en place des mesures opérationnelles comme des primes aux bugs, des signatures multiples et des clés matérielles.
La prochaine fois que vous verrez une grande bannière « audité », posez-vous la question : quelle partie a vraiment été auditée ?
Vous consultez les rapports d’audit des projets, ou vous ne regardez que les rendements ?
#黑客 #安全审计 #安全
Ceci ne constitue pas un conseil en investissement. Faites vos propres recherches (DYOR) ; le trading comporte des risques.