Une étude révèle que plusieurs bourses et plateformes d’échange de cryptomonnaies présentent des failles de sécurité qui peuvent mettre en danger les fonds qui y sont stockés.
Jean-Philippe Aumasson, co-fondateur et CSO de Groupe Taureau, une société de cybersécurité renommée pour échanges et des échanges de crypto-monnaies, il prétendait que plusieurs des plateformes d'échange largement utilisées dans le monde présentent de graves failles de sécurité dans la manière dont ces échanges protègent les actifs numériques des utilisateurs. Selon Aumasson, lui et son équipe, ainsi que le fabricant de crypto-monnaie ZenGo, Omer Cholomovits, a découvert plusieurs vulnérabilités à haut risque qui pourraient être exploitées par des acteurs malveillants ou des pirates informatiques pour voler les fonds stockés dans ces échanges.
Aumasson est un chercheur et cryptographe renommé, auteur de plusieurs ouvrages tels que La fonction de hachage BLAKE y Cryptographie sérieuse : une introduction pratique au chiffrement moderne, qui possède une vaste expérience et des antécédents dans le monde de la cryptographie et de la cybersécurité. Dans ses déclarations, l'expert précise que :
« Ces organisations gèrent beaucoup d’argent et ont donc des exigences assez élevées en matière de confidentialité et de sécurité. Ils ont besoin d’un moyen de diviser les clés privées de crypto-monnaie en différents composants, différents partages, afin qu’aucune des parties ne connaisse la clé complète et qu’il n’y ait pas de point de défaillance unique. Mais nous avons trouvé quelques failles dans la configuration de ces schémas qui ne sont pas seulement théoriques. "Ils auraient vraiment pu être exécutés par une partie malveillante."
Même si les échanges utilisent clés privées fractionnés pour assurer la sécurité de leurs plateformes, Aumasson souligne qu'il existe plusieurs vecteurs d'attaque qui peuvent soit permettre de voler des fonds, soit désactiver complètement l'accès d'une bourse à ses fonds stockés.
Il peut vous intéresser: Un chercheur découvre une vulnérabilité de sécurité dans Ledger qui permet de dépenser du Bitcoin avec des signatures entièrement valides
Vecteurs d'attaque sur les échanges identifiés par Aumasson
Aumasson a divisé les attaques possibles en 3 catégories, et bien qu'il ait décrit comment chacune de ces attaques peut être exécutée et comment elles ont été découvertes, pour des raisons de sécurité, il a omis les noms des échanges où les vulnérabilités ont été détectées. En outre, Aumasson a noté qu'après avoir identifié les failles de sécurité, les échanges ont immédiatement procédé à leur correction.
Fonction de mise à jour des clés Bibliothèque Open Source
L'expert décrit que la première attaque identifiée provient de la fonction de mise à jour ou de rotation de la clé privée avec laquelle certains échanges cherchent à améliorer les fonctionnalités de confidentialité de la plateforme, afin que des tiers malveillants ne puissent pas travailler lentement sur une clé privée. Aumasson note que les pirates pourraient accéder à la bibliothèque open source et reconstruire les composants de la clé privée ou les échanger, de sorte que l'échange perd complètement l'accès aux fonds.
« L'attaque profite d'une faille dans le mécanisme de mise à jour ou de rotation des clés de la bibliothèque. Dans les systèmes de clés distribuées, vous ne souhaitez pas que la clé secrète ou ses composants restent les mêmes pour toujours, car au fil du temps, un attaquant pourrait lentement compromettre chaque élément et éventuellement le réassembler. Mais dans la bibliothèque vulnérable, le mécanisme de mise à jour permettait à l’un des détenteurs de la clé de lancer une mise à jour, puis de manipuler le processus afin que certains composants de la clé changent réellement et que d’autres restent les mêmes.
Interaction Exchange-client
Une autre vulnérabilité détectée par les experts est liée à l’interaction qu’un échange ou un échange de cryptomonnaie effectue avec ses clients. Dans ce cas, la faille est présente dans une autre bibliothèque open source gérée par la société de gestion des clés. Pendant le processus de rotation des clés, une partie malveillante peut extraire silencieusement la clé privée des utilisateurs et manipuler les fonds ultérieurement.
« Le défaut est une autre bibliothèque open source, cette fois provenant d'une société de gestion de clés anonyme. L'entreprise n'utilise pas la bibliothèque dans ses propres offres, mais la vulnérabilité aurait pu être intégrée ailleurs.
Protocole de génération de clé
Une autre des failles détectées par les experts, et qu'ils soulignent comme la plus grave de toutes, est liée au propre protocole de génération de clés de Binance, qui permettait à un utilisateur d'attribuer des valeurs aléatoires à d'autres utilisateurs pour vérifier leur identité et générer leur clés privées. Cette vulnérabilité permettait à l'utilisateur de se faire passer pour le protocole lui-même.
La faille de sécurité a été détectée par les chercheurs lorsqu'ils ont vérifié que le protocole Binance ne vérifiait pas ce processus lui-même, ni les valeurs aléatoires générées.
« En conséquence, une partie malveillante lors de la génération de la clé pourrait envoyer des messages spécialement construits à tous les autres qui sélectionneraient et attribueraient essentiellement toutes ces valeurs, permettant à l'attaquant d'utiliser ultérieurement ces informations non validées pour extraire la partie de la clé secrète de tout le monde. »
Concernant ce bug, Binance a annoncé qu'il avait été résolu immédiatement et a publié un document sur GitHub expliquant qu'une société de sécurité renommée a procédé à une revue complète de la plateforme.
Enfin, les chercheurs soulignent que, même si pour exécuter ces attaques, un pirate informatique doit avoir une position privilégiée au sein d'un échange, il n'est pas improbable qu'une telle attaque puisse être exécutée et que la sécurité de la plateforme et des fonds stockés puisse être compromise. .
Continuer la lecture: Tor, est-ce vraiment un réseau qui protège notre vie privée ?
