Un trimestre paradoxal : le prix monte, les hackers aussi

Je vais commencer par une question simple : où sont la plupart de vos cryptos en ce moment ? Sur un exchange, sur un portefeuille matériel, dans un protocole DeFi pour gagner des intérêts ? Si votre réponse est « uniquement dans ma tête », alors félicitations, les hackers ne peuvent pas les toucher, mais vous non plus.

Le trimestre dernier, le Bitcoin a grimpé de plus de 40 %. Pendant ce même trimestre, des hackers sont repartis avec 1,26 milliard de dollars. Et presque les trois quarts de cette somme viennent de seulement quatre piratages : un exchange, un sidechain Bitcoin, un protocole de prêt et un portefeuille matériel.

Ces chiffres viennent de CertiK. Le nombre de piratages n'a augmenté que d'un peu plus de 10 % par rapport au trimestre précédent, mais les pertes ont bondi de plus de 50 %. Les attaquants n'ont pas été plus nombreux, ils ont simplement mieux choisi leurs cibles.

Premier piratage : l'exchange Bitget, environ 390 millions de dollars

Beaucoup de gens pensent qu'un gros exchange est solide : contrôles de risque, sociétés de protection, cold wallets et hot wallets séparés. Bitget avait tout cela. Les hackers n'ont même pas essayé de forcer la serrure. Ils sont passés par un produit de sécurité tiers que Bitget payait lui-même.

À travers cette faille, ils ont accédé à des comptes internes de haut niveau et ont envoyé au système de retraits une série de fausses demandes. Les cold wallets n'ont pas été touchés, mais les hot wallets et les warm wallets ont été vidés. Bitget a déclaré que les soldes des utilisateurs n'étaient pas affectés et que sa société de protection a couvert les pertes. Les retraits sont revenus par étapes, et le dernier lot n'a été rouvert que le 2 octobre.

Je suis déjà passé par là. Il y a quelques années, j'ai placé des coins sur une plateforme à la réputation excellente. Puis les retraits ont été gelés pendant une semaine entière. La page affichait « maintenance du système ». Mon seul recours était d'appuyer sur la touche actualiser. C'est exactement ce que vivent les utilisateurs quand un exchange gèle les retraits : votre argent n'est pas forcément perdu, mais vous ne pouvez plus y toucher.

Deuxième piratage : Liquid Network, le sidechain Bitcoin, environ 320 millions de dollars

Vous pourriez vous dire : plus d'exchange, je garde tout on-chain. Le deuxième cas pourrait vous faire changer d'avis. Liquid est un sidechain Bitcoin : une voie rapide à côté de l'autoroute principale. Sur ce sidechain, vous avez le LBTC, un token censé être adossé un pour un à du vrai Bitcoin verrouillé. Pensez à un vestiaire : vous déposez votre veste, vous recevez un ticket, et ce ticket doit toujours vous rendre votre veste.

Le bug venait du système de vérification. Pour économiser de la puissance de calcul, il mémorisait les éléments déjà vérifiés et les réutilisait. Les attaquants ont trouvé comment fabriquer de faux dépôts qui semblaient déjà vérifiés. Ils ont donc imprimé des tickets à partir de rien, sans déposer la moindre veste, puis sont repartis avec les vestes des autres.

Ils se sont ensuite déclarés white hats et ont rendu environ 85 % des fonds. Fin heureuse ? Pas vraiment. L'argent est revenu parce qu'ils ont choisi de le rendre, pas parce qu'un mécanisme vous protégeait. Chaque bridge et chaque sidechain que vous utilisez pour économiser des frais ajoute une couche de code que vous ne pouvez pas vérifier vous-même.

Troisième piratage : Tectonic, le protocole de prêt, environ 120 millions de dollars

Peut-être pensez-vous : je n'utilise pas de bridge, je fais juste du lending DeFi et je vérifie l'audit de chaque projet. Ce cas est pour vous. Tectonic est un protocole de prêt sur la chaîne Cronos. Le principe est simple : vous déposez un collatéral et vous empruntez autre chose. La valeur de votre collatéral dépend entièrement de son prix. C'est exactement là que les attaquants ont frappé.

Ils ont d'abord déposé environ 5 millions de dollars et ont manipulé le prix d'un token obscur que presque personne n'échangeait, le faisant grimper de plus de 100 fois. Ensuite, ils ont utilisé ce token gonflé comme collatéral et ont emprunté 120 millions de dollars en une dizaine de minutes. Ils n'ont cassé aucune cryptographie, ils n'ont enfreint aucune règle. Ce qui a échoué, c'est un réglage : le prix d'un marché sans liquidité a décidé de la valeur d'une position de 100 millions de dollars.

J'avais autrefois trop confiance dans le mot « audité ». Voir un rapport me donnait l'impression d'une carte de sortie de prison. Maintenant je le vois plutôt comme un contrôle technique automobile : réussir l'inspection signifie que vos freins et vos feux fonctionnaient ce jour-là, cela n'empêche pas quelqu'un de vous rentrer dedans plus tard.

À la fin, les validateurs de Cronos ont réécrit toute la chaîne en revenant 114 minutes en arrière et ont récupéré la majeure partie des fonds. Mais un rollback rembobine toute la chaîne : chaque transfert effectué par n'importe qui pendant ces deux heures a disparu. Ceux qui ont sauvé la mise peuvent donc aussi réécrire vos transactions. Quand on parle de rendement élevé, il faut surveiller bien plus que le code : le flux de prix, la chaîne, et les personnes capables d'appuyer sur « rewind ».

Quatrième piratage : Coldcard, le portefeuille matériel, plus de 100 millions de dollars

Avec les trois premiers cas, vous pourriez encore dire : pas d'exchange, pas de bridge, pas de lending. Je suis un pur Bitcoin maximaliste, je stacke du Bitcoin. Ce dernier piratage concerne exactement cette dernière ligne de défense.

Coldcard est un portefeuille matériel Bitcoin bien connu. Plus de 100 millions de dollars ont été volés. D'abord, personne n'a cassé l'appareil lui-même. Coinkite, la société qui fabrique les Coldcard, a été claire : le problème venait d'un bug dans le firmware. Certaines versions n'utilisaient pas assez d'aléatoire lors de la création de votre seed phrase. Résultat : ces mots que vous pensiez impossibles à deviner étaient plus faciles à deviner qu'ils n'auraient dû l'être. Les attaquants ont calculé les clés privées hors ligne, sur leurs propres ordinateurs, et ont simplement déplacé les coins.

Et voici le piège : mettre à jour le firmware ne corrige pas une ancienne seed. Il faut en créer une nouvelle. Je répète depuis des années : « Not your keys, not your coins ». Il faut maintenant ajouter : si votre clé était devinable dès le départ, c'est votre clé, mais ce sont les coins de tout le monde.

Le point commun : une couche invisible que vous ne pouvez pas vérifier

Alignons les quatre piratages. Bitget : ce qui a échoué, c'est un produit de sécurité tiers. Liquid : un cache censé accélérer les vérifications. Tectonic : le prix d'un token obscur. Coldcard : le générateur de nombres aléatoires de l'appareil. Vous voyez ? Aucun de ces piratages n'a fissuré Bitcoin, aucun n'a fait échouer la cryptographie. Ce qui a échoué à chaque fois, c'est une couche à laquelle vous ne pensez jamais, et que vous ne pouvez pas vérifier vous-même.

Les hackers ne visent pas le maillon le plus faible. Ils visent l'endroit où vous vous sentez le plus en sécurité, parce que quand on se sent en sécurité, personne ne regarde.

Ce que vous pouvez changer sans tarder

Vous ne pouvez pas vérifier chaque couche vous-même. Je préfère retourner la question : si j'étais hacker, irais-je casser le verrou le plus solide ? Non. La seule chose vraiment utile est de ne pas mettre une grosse somme sur une seule couche.

  • Les exchanges : gardez-y uniquement ce dont vous avez besoin pour la semaine, comme du cash dans un portefeuille. Le gros de vos fonds doit vivre ailleurs.
  • Les portefeuilles matériels : oui pour le stockage long terme, mais pas tout sur un seul appareil ni une seule seed phrase. Vérifiez le modèle et la version du firmware au moment où votre seed a été créée. Si vous êtes sur la liste affectée, ne tardez pas : nouvelle seed, déplacez les coins. Et achetez uniquement auprès de sources officielles.
  • Les audits : traitez-les comme un contrôle technique. Avant de mettre de l'argent, demandez-vous où ce projet a le plus de chances de se faire frapper : le code, un oracle de prix, un tiers invisible ? Si vous ne pouvez pas répondre, mettez moins.
  • Partez du principe que même l'endroit le plus sûr peut avoir un mauvais jour. Répartissez vos avoirs pour survivre à ce jour-là, pas pour gagner plus, mais pour protéger votre capital et continuer à payer votre loyer.

Où sont vos cryptos maintenant ?

Je reviens à ma question initiale : où sont vos cryptos en ce moment ? Sont-elles réellement en sécurité ? La prochaine fois que vous vous apprêtez à déposer des fonds dans un endroit qui semble totalement sûr, posez-vous une seule question : si cela tourne mal, est-ce que je peux encaisser le coup ?

Ces quatre piratages ne sont pas une anomalie isolée. Ils révèlent que la sécurité ne tient pas au nom de la plateforme, au nombre d'audits ou à la solidité présumée d'un appareil. Elle tient surtout à la manière dont vous répartissez vos risques et à votre lucidité quand tout semble aller bien.

Alors prenez dix minutes pour vérifier où sont réellement vos cryptos, et déplacez ce qui doit l'être. Votre futur vous remerciera.