À retenir
Une attaque par rejeu se produit lorsqu’un acteur malveillant intercepte une transmission de données valide et la renvoie à un réseau pour la tromper et lui faire l’accepter à nouveau.
Les attaques par rejeu n’exigent pas de déchiffrer des données ; elles exploitent la légitimité de la transmission d’origine.
Dans le domaine des cryptomonnaies, des attaques par rejeu peuvent survenir après un hard fork de blockchain, permettant de dupliquer une transaction d’une chaîne sur l’autre.
Les défenses courantes incluent des horodatages, des nonces et des jetons de session pour les réseaux généraux, ainsi qu’une protection forte ou opt-in contre les rejouements pour les blockchains.
La plupart des hard forks majeurs incluent désormais une protection forte intégrée pour empêcher la duplication de transactions entre chaînes.
Introduction
Une attaque par rejeu, parfois appelée attaque par lecture (playback), est un type d’attaque informatique dans laquelle une transmission de données valide est interceptée, puis renvoyée sur un réseau. Comme les données proviennent d’un utilisateur autorisé, les protocoles de sécurité du réseau peuvent les traiter comme légitimes. Cela permet à un attaquant d’effectuer des actions non autorisées sans avoir besoin de falsifier des identifiants ni de briser le chiffrement.
Les attaques par rejeu peuvent affecter de nombreux types de réseaux, notamment des systèmes financiers, des plateformes d’authentification et des registres de cryptomonnaies. Dans le contexte des cryptos, elles sont particulièrement pertinentes lorsque une blockchain subit un hard fork, ce qui peut laisser les deux chaînes résultantes vulnérables à la duplication de transactions entre chaînes.
Que peuvent faire les hackers avec une attaque par rejeu ?
Les attaques par rejeu peuvent être utilisées pour obtenir un accès non autorisé à un réseau protégé en présentant des identifiants que le réseau reconnaît comme valides. Les attaquants peuvent aussi les utiliser pour dupliquer des transactions financières, par exemple en déclenchant deux fois le même paiement. Dans certains cas, les hackers combinent des fragments de différents messages chiffrés pour produire un nouveau texte chiffré, dans ce qui est connu sous le nom d’attaque « cut-and-paste » (couper-coller). La réponse du réseau à un message ainsi manipulé peut révéler des informations utiles pour une exploitation ultérieure.
Malgré ces risques, les attaques par rejeu ont des limites claires. Les attaquants ne peuvent pas modifier les données envoyées sans que le réseau les rejette. Cela les contraint à répéter des actions passées plutôt qu’à en introduire de nouvelles. Les attaques par rejeu sont aussi relativement prévisibles, ce qui les rend plus faciles à défendre que certains autres types de menaces informatiques.
Pourquoi les attaques par rejeu comptent en cryptomonnaie
Les registres de blockchain subissent parfois des changements de protocole appelés hard forks. Lorsqu’un hard fork se produit, le registre se divise en deux chaînes : une chaîne utilisant le logiciel d’origine et une chaîne utilisant la version mise à jour. Certains forks sont prévus comme des mises à niveau, tandis que d’autres créent entièrement des cryptomonnaies distinctes. Un exemple bien connu est Bitcoin Cash, qui s’est séparé de la blockchain Bitcoin principale en août 2017.
Lorsqu’une blockchain fork, les deux chaînes qui en résultent partagent la même historique des transactions jusqu’au moment de la séparation. Une transaction valide avant le fork peut rester valide sur les deux chaînes par la suite. Cela crée une fenêtre pour les attaques par rejeu : si vous envoyez une transaction sur une chaîne, un attaquant pourrait potentiellement la rejouer sur l’autre, transférant une quantité équivalente de jetons sans votre autorisation.
Les utilisateurs qui avaient des portefeuilles avant le hard fork sont les plus exposés à ce risque. Ceux qui ont rejoint l’une ou l’autre chaîne après la séparation ne sont généralement pas concernés, car leurs portefeuilles n’ont pas d’historique sur le registre partagé avant le fork.
Comment les blockchains se protègent contre les attaques par rejeu
La plupart des hard forks majeurs incluent des protections spécifiques contre les attaques par rejeu. Elles se répartissent en deux catégories.
La protection forte contre les rejouements ajoute automatiquement un marqueur spécial aux transactions sur la nouvelle chaîne, les rendant invalides sur la chaîne d’origine, et vice versa. Cette protection est appliquée au niveau du réseau et ne nécessite aucune action de la part des utilisateurs. Bitcoin Cash a mis en œuvre une protection forte contre les rejouements au moment de son fork depuis Bitcoin.
La protection opt-in contre les rejouements oblige les utilisateurs à modifier manuellement leurs transactions afin d’empêcher leur rejouement sur l’autre chaîne. Cette approche est plus courante lorsque le hard fork est destiné à être une mise à niveau du réseau plutôt qu’une séparation complète, où l’on s’attend à ce que la plupart des transactions restent valides sur les deux chaînes.
Les utilisateurs individuels peuvent aussi bloquer leurs pièces jusqu’à ce que le registre atteigne une certaine hauteur de bloc, ce qui empêche ces jetons d’être inclus dans une attaque par rejeu jusqu’à l’expiration du blocage. Tous les portefeuilles ne prennent pas en charge cette fonctionnalité.
Défenses générales contre les attaques par rejeu sur le réseau
En dehors de la blockchain, plusieurs méthodes bien établies protègent les réseaux contre les attaques par rejeu :
Horodatages : les transactions incluent une composante de temps et sont rejetées après un court délai.
Nonces : des valeurs uniques à usage unique sont associées à chaque session ; ainsi, un message rejoué avec un nonce déjà utilisé est automatiquement rejeté.
Jetons de session : jetons côté serveur qui expirent après utilisation, garantissant qu’un jeton capturé ne peut pas être réutilisé.
Codes d’authentification de message (MAC) : balises cryptographiques qui lient un message à une session spécifique, rendant invalides les rejouements interdits entre sessions.
Ces méthodes fonctionnent en veillant à ce que chaque transmission valide soit liée à un contexte précis qui ne peut pas être réutilisé. Même si un attaquant capture un message légitime, le rejouer dans une autre session ou dans une autre fenêtre de temps entraînera un refus.
FAQ
Qu’est-ce qu’une attaque par rejeu ?
Une attaque par rejeu se produit lorsqu’une transmission de données valide est interceptée puis renvoyée sur un réseau pour la tromper et lui faire traiter à nouveau la demande. L’attaque fonctionne parce que les données sont authentiques, ce qui rend plus difficile pour les systèmes de sécurité standards de la signaler comme malveillante sans protections supplémentaires en place.
Les attaques par rejeu peuvent-elles servir à voler des cryptomonnaies ?
En théorie, oui. Après un hard fork de blockchain, une transaction traitée sur une chaîne pourrait être rejouée sur l’autre, dupliquant un transfert de jeton sans l’autorisation de l’expéditeur. En pratique, une forte protection contre les rejouements intégrée aux hard forks modernes empêche cela pour la plupart des réseaux majeurs.
Quelle est la différence entre la protection forte et la protection opt-in contre les rejouements ?
La protection forte contre les rejouements est automatique et appliquée au niveau du réseau. Elle marque les transactions pour qu’elles ne soient valables que sur une chaîne spécifique. La protection opt-in oblige les utilisateurs à étiqueter manuellement leurs transactions afin d’empêcher la réplication entre chaînes. La protection forte est considérée comme plus fiable puisqu’elle ne dépend pas d’une action de l’utilisateur.
À quel point les attaques par rejeu sont-elles fréquentes en 2026 ?
Les attaques par rejeu spécifiques à la blockchain sont rares sur les réseaux disposant d’une protection forte contre les rejouements. Les attaques générales par rejeu sur le réseau restent un sujet de préoccupation dans les systèmes d’authentification, en particulier lorsque la gestion de session n’est pas bien mise en œuvre. Utiliser une authentification multifacteur et maintenir les logiciels à jour réduit l’exposition à ce risque.
Les attaques par rejeu sont-elles les mêmes que les attaques de type homme du milieu (man-in-the-middle) ?
Elles se recoupent, mais sont distinctes. Une attaque de type homme du milieu implique qu’un attaquant intercepte et modifie potentiellement les communications en temps réel. Une attaque par rejeu consiste spécifiquement à renvoyer un message légitime capturé précédemment, sans nécessairement le modifier. Les deux exploitent la communication réseau, mais les mécanismes et les objectifs peuvent différer.
Réflexions finales
Les attaques par rejeu constituent un risque de sécurité réel, en particulier pour les réseaux de blockchain pendant et après des hard forks. Comme elles exploitent des données valides plutôt que d’exiger un déchiffrement ou une falsification d’identifiants, elles peuvent être efficaces même contre des systèmes par ailleurs sécurisés.
La protection forte contre les rejouements, désormais standard dans la plupart des hard forks majeurs, est la défense la plus fiable au niveau du réseau. Pour les utilisateurs individuels, comprendre quelles protections une blockchain donnée a mises en place peut aider à réduire l’exposition à ce type d’attaque.
Pour aller plus loin
Hard forks et soft forks expliqués
Qu’est-ce que Bitcoin Cash (BCH) ?
Qu’est-ce qu’une attaque des 51 % ?
Qu’est-ce que l’hameçonnage (phishing) et comment ça fonctionne ?
Attaques Sybil expliquées
Avertissement : ce contenu vous est fourni « en l’état » uniquement à des fins d’information générale et d’éducation, sans aucune déclaration ni garantie d’aucune sorte. Il ne doit pas être interprété comme un conseil financier, juridique ou autre conseil professionnel, ni comme une recommandation d’achat de tout produit ou service spécifique. Vous devez demander votre propre avis à des conseillers professionnels appropriés. Lorsque le contenu est fourni par un contributeur tiers, veuillez noter que les points de vue exprimés appartiennent à ce contributeur tiers et ne reflètent pas nécessairement ceux de Binance Academy. Les prix des actifs numériques peuvent être volatils. La valeur de votre investissement peut augmenter ou diminuer et vous pourriez ne pas récupérer le montant investi. Vous êtes seul responsable de vos décisions d’investissement et Binance Academy n’est pas responsable des pertes que vous pourriez encourir. Pour plus d’informations, reportez-vous à nos Conditions d’utilisation, à l’Avis sur les risques et aux Conditions d’utilisation de Binance Academy.