#两地址约12.8亿枚USDT遭冻结
Les 6 milliards de dollars de Binance viennent, sans aucun suspense, de battre le record du plus grand vol jamais recensé dans l’histoire de l’humanité !
La cause probable de l’incident : des pirates ont infiltré l’ordinateur portable d’un ingénieur, puis ont accédé aux serveurs grâce à ses autorisations et directement soumis des ordres de retrait. En à peine deux ans, Bybit, Bitget et Binance, trois des principales plateformes d’échange centralisées (CEX), ont été compromises à tour de rôle. À mon avis, ce n’est plus une coïncidence. La cause fondamentale est à peu près la même dans chaque cas : c’est le talon d’Achille des plateformes d’échange centralisées.
Aujourd’hui, beaucoup de grandes entreprises mettent en place une architecture de sécurité « Zero Trust », qui consiste à ne jamais faire confiance et à toujours vérifier. Mais pour assurer la maintenance et les tests, les ingénieurs doivent disposer de privilèges élevés. Les pirates peuvent attaquer les terminaux des employés, et même les serveurs de rebond soumis à plusieurs niveaux d’approbation finissent par être compromis. Tous les mécanismes de vérification fondés sur des identifiants deviennent alors complètement inutiles.
En réalité, les CEX revêtent les habits décentralisés du Web3, mais sont, au fond, les entreprises Internet Web2 les plus centralisées qui soient. Pour permettre aux utilisateurs de déposer et de retirer des fonds en quelques secondes, le système doit être extrêmement automatisé. Si chaque retrait nécessitait la signature simultanée d’une dizaine de cadres à l’aide de portefeuilles matériels, l’expérience serait désastreuse et les utilisateurs partiraient tous sur des DEX.
Les portefeuilles chauds doivent donc rester actifs, les API doivent être ouvertes et les programmes de consolidation automatisée des fonds doivent fonctionner 24 heures sur 24. Résultat : il suffit aux pirates de trouver une faille d’élévation de privilèges dans une API interne ou de falsifier un ordre de retrait pour vider les portefeuilles !
Heureusement, Tether et Circle ont aidé à procéder à un gel d’urgence sur la blockchain. Même si cela a permis de récupérer la majeure partie des pertes, ça ne traite que les symptômes. Tant que la garde des fonds et les transactions ne seront pas séparées, et tant que les êtres humains resteront le maillon de confiance des systèmes automatisés, les portefeuilles chauds resteront le plus gros point faible du secteur !
Face aux pertes, Binance a montré l’exemple en annonçant qu’elle les couvrirait intégralement. C’est le sens des responsabilités de la première plateforme d’échange au monde, et cela mérite d’être salué 👍. Comme le dit si bien le dicton : si votre portefeuille se fait pirater, vous avez tout perdu ; si cela arrive sur une plateforme d’échange, vous pouvez encore être remboursé intégralement 🤣. Je crois aux capacités et à la technologie de Binance, et j’espère que la sécurité sera optimisée jusqu’à atteindre 100/100.
Abonnez-vous pour ne rien rater, et rejoignez mon groupe de discussion Binance 👇
Les 6 milliards de dollars de Binance viennent, sans aucun suspense, de battre le record du plus grand vol jamais recensé dans l’histoire de l’humanité !
La cause probable de l’incident : des pirates ont infiltré l’ordinateur portable d’un ingénieur, puis ont accédé aux serveurs grâce à ses autorisations et directement soumis des ordres de retrait. En à peine deux ans, Bybit, Bitget et Binance, trois des principales plateformes d’échange centralisées (CEX), ont été compromises à tour de rôle. À mon avis, ce n’est plus une coïncidence. La cause fondamentale est à peu près la même dans chaque cas : c’est le talon d’Achille des plateformes d’échange centralisées.
Aujourd’hui, beaucoup de grandes entreprises mettent en place une architecture de sécurité « Zero Trust », qui consiste à ne jamais faire confiance et à toujours vérifier. Mais pour assurer la maintenance et les tests, les ingénieurs doivent disposer de privilèges élevés. Les pirates peuvent attaquer les terminaux des employés, et même les serveurs de rebond soumis à plusieurs niveaux d’approbation finissent par être compromis. Tous les mécanismes de vérification fondés sur des identifiants deviennent alors complètement inutiles.
En réalité, les CEX revêtent les habits décentralisés du Web3, mais sont, au fond, les entreprises Internet Web2 les plus centralisées qui soient. Pour permettre aux utilisateurs de déposer et de retirer des fonds en quelques secondes, le système doit être extrêmement automatisé. Si chaque retrait nécessitait la signature simultanée d’une dizaine de cadres à l’aide de portefeuilles matériels, l’expérience serait désastreuse et les utilisateurs partiraient tous sur des DEX.
Les portefeuilles chauds doivent donc rester actifs, les API doivent être ouvertes et les programmes de consolidation automatisée des fonds doivent fonctionner 24 heures sur 24. Résultat : il suffit aux pirates de trouver une faille d’élévation de privilèges dans une API interne ou de falsifier un ordre de retrait pour vider les portefeuilles !
Heureusement, Tether et Circle ont aidé à procéder à un gel d’urgence sur la blockchain. Même si cela a permis de récupérer la majeure partie des pertes, ça ne traite que les symptômes. Tant que la garde des fonds et les transactions ne seront pas séparées, et tant que les êtres humains resteront le maillon de confiance des systèmes automatisés, les portefeuilles chauds resteront le plus gros point faible du secteur !
Face aux pertes, Binance a montré l’exemple en annonçant qu’elle les couvrirait intégralement. C’est le sens des responsabilités de la première plateforme d’échange au monde, et cela mérite d’être salué 👍. Comme le dit si bien le dicton : si votre portefeuille se fait pirater, vous avez tout perdu ; si cela arrive sur une plateforme d’échange, vous pouvez encore être remboursé intégralement 🤣. Je crois aux capacités et à la technologie de Binance, et j’espère que la sécurité sera optimisée jusqu’à atteindre 100/100.
Abonnez-vous pour ne rien rater, et rejoignez mon groupe de discussion Binance 👇