Titres Titres
Bien que le monde de la blockchain fasse des progrès significatifs en termes de sécurité, le système ne parvient parfois pas à protéger ses utilisateurs. Par exemple, la semaine dernière, la bourse BadgerDAO a été victime d’une attaque de hacker qui, en quelques minutes, a fait de gros dégâts sur le portail.
N’ayant accès qu’à 23 portefeuilles, les pirates ont réussi à retirer des BTC et des ETH d’une valeur de 120 millions de dollars. Les enquêtes sur le vol sont en cours et Badger fournit un soutien total aux autorités pour clarifier ce qui s’est passé.
Cet article mettra en lumière les faits connus à ce jour sur cette triste histoire.
Ce que nous savons jusqu’à présent
Voler une blockchain n’est pas exactement comme planifier un vol de banque. Si un criminel ordinaire peut voler une petite succursale bancaire, le piratage d’une blockchain est complexe.
La transparence typique d’une transaction blockchain nous aide à comprendre ce qui s’est passé. En quelques minutes, les pirates ont vidé 23 portefeuilles sur BadgerDAO, avec peu de transactions importantes.
Il est impressionnant de voir, par exemple, le retrait de 896 BTC d’un seul portefeuille. Ce retrait à lui seul s’élève à plus de 40 millions de dollars avec la cotation actuelle du marché. Pour y parvenir, les pirates ont activé un script malveillant sur le portail.
Ce qui est encore plus curieux, c’est la logique derrière l’activation de ce logiciel JavaScript. Il semble que le script ait été actif pendant quelques secondes à intervalles quotidiens aléatoires dès le 10 novembre. Cette technique était cruciale pour éviter l’identification immédiate du problème.
Lorsque BadgerDAO a découvert le problème, il a immédiatement bloqué tous les contrats intelligents en cours. Malheureusement, cela signifie que le portail a cessé de fonctionner, attendant de connaître les résultats de l’enquête.
Ce qui semble vraiment effrayant, c’est, en réalité, la simplicité apparente de surmonter le système d’authentification à deux facteurs par les pirates. Cela semble être le nœud le plus important de la question.
Comment fonctionne l’authentification à deux facteurs
Alors que les lecteurs sont susceptibles d’utiliser l’authentification à deux facteurs tous les jours, nous trouvons utile d’expliquer brièvement comment cela fonctionne.
L’idée de l’authentification à deux facteurs est simple et intelligente :
- Premier facteur: les utilisateurs doivent d’abord entrer leur email et leur mot de passe pour accéder à un site Web
- Deuxième facteur: une fois la première étape terminée, les utilisateurs doivent donner une confirmation d’accès via une autre source (par exemple, un code envoyé par email)
Les créateurs de ce type de système savaient bien qu’en général, le premier facteur à lui seul n’est pas assez sécurisé. Cependant, comme les mots de passe les plus utilisés en ligne sont faciles à deviner, un pirate peut facilement surmonter cet obstacle.
L’introduction d’un deuxième facteur devrait rendre le travail d’un pirate informatique pratiquement impossible. Malheureusement, comme nous le verrons bientôt, il est important de ne pas surestimer ce type de technologie.
L’avis des experts
Quiconque pense pouvoir dormir paisiblement grâce à l’autorisation multifactorielle (AMF) se trompe tout simplement. Mais, malheureusement, une invention aussi nouvelle et innovante peut être victime de la plus ancienne astuce des pirates : le phishing.
Imaginons que vous receviez un e-mail de l’adresse e-mail d’un collègue de travail. Le message signale une demande de cliquer sur un lien apparemment inoffensif qui, malheureusement, déclenche une réaction en chaîne très difficile à bloquer.
Les outils développés par des pirates informatiques (comme Evilginx) contournent parfaitement un système MFA. L’explication de la façon dont cela est possible est quelque peu technique, et tout ce qu’il faut savoir, c’est qu’un simple clic peut désactiver la fiabilité d’un tel système.
L’éducation au phishing doit être une formation régulière pour les étudiants, les employés et les gestionnaires. Les pirates informatiques sont de mieux en mieux dans ce domaine et, par conséquent, les utilisateurs doivent faire plus attention. Badger prétend faire très attention aux problèmes de sécurité, mais cela ne suffit pas.
Il est impossible d’attribuer entièrement la responsabilité de la cybersécurité à un échange ; les utilisateurs aussi doivent faire leur part. Il existe de nombreux cours en ligne dédiés au sujet du phishing, et il est bon d’en savoir plus à ce sujet avant de mettre votre argent en danger.
Ce qui semble s’être passé
La sécurité du portail BadgerDAO repose sur la technologie Cloudflare. Malheureusement, les pirates pouvaient facilement accéder au système de cybersécurité Cloudflare. Un utilisateur peut entrer dans Cloudflare via une clé API complexe, à laquelle seuls ceux qui ont créé le compte doivent accéder.
L’affichage de la clé API nécessite l’utilisation du système MFA décrit dans la section précédente. Une blockchain utilise généralement la technologie connue sous le nom de « Web3 ». Cependant, il semblerait que les pirates pourraient utiliser le protocole Web2 pour contourner le problème.
Ce que nous pouvons apprendre de cette histoire
Vous n’avez pas tort si vous avez envie d’avoir un déjà-vu en lisant cette histoire. PayPal, par exemple, a subi une attaque similaire en 2020. Les criminels ont contourné le système d’authentification à deux facteurs de l’entreprise grâce à une arnaque liée au phishing.
D’autres acteurs de l’industrie de la blockchain ont également subi des pertes dues aux pirates. Personne ne peut oublier les 600 millions de dollars que les pirates ont volés au Poly Network pendant l’été. Ce montant était (et, nous l’espérons, sera toujours) le vol le plus élevé de l’histoire de DeFi.
La cybersécurité complète existe-t-elle même ?
La réponse courte est simple : non, ce n’est pas le cas. Il y a une raison si votre logiciel antivirus continue de demander de redémarrer le système pour installer de nouvelles mises à jour. Les pirates informatiques deviennent de plus en plus intelligents et meilleurs dans leur travail, et la cybersécurité évolue avec eux.
Le problème est que, malheureusement, les pirates informatiques s’avèrent parfois avoir une longueur d’avance sur les systèmes de sécurité. Parfois, un pas suffit pour perdre une énorme somme d’argent qu’il ne récupérera peut-être jamais.
Nous devons tous comprendre le danger de déléguer entièrement la cybersécurité à un morceau de code. La sécurité Internet doit être enseignée et apprise en permanence, et notre logiciel antivirus ne doit pas être la seule arme à mettre à jour de temps en temps.
Le fait que le script malveillant s’exécute depuis environ trois semaines sans attirer l’attention est également très grave. L’activation des clés API a été instantanée, mais leur vol a été effectué sereinement et avec précaution. Néanmoins, des plateformes comme BadgerDAO ont encore beaucoup à apprendre sur la cybersécurité, et nous espérons que cette histoire est la dernière du genre.
