Alerte sur la blockchain ! – Les failles sont des ennemis permanents des cryptomonnaies. En effet, celles-ci peuvent mettre en péril des écosystèmes entiers. Une récente publication de Harlborn a présenté une faille critique qui pourrait impacter des centaines de blockchains.
Des vulnérabilités alarmantes découvertes sur Dogecoin
Halborn est une entreprise spécialisée dans la sécurité des blockchains. En mars 2022, l’entreprise obtient un contrat pour évaluer le code source Dogecoin. Ce qui devait être une simple vérification a tourné au cauchemar.
Lors de son étude, Halborn a découvert plusieurs vulnérabilités critiques qui auraient pu découler des sur hacks. Celles-ci ont depuis été corrigées sur Dogecoin. Toutefois, après une étude plus approfondie, Halborn a découvert que les mêmes vulnérabilités étaient présentes sur pas moins de 280 blockchains différentes. Cette faille qui impacte des réseaux, tels de Litecoin ou Zcash, met à risque plus de 25 milliards d’actifs numériques.
Halborn dévoile le résultat ses recherches – Source : Twitter
Les chercheurs de Halborn ont nommé cette suite de vulnérabilités « Rab13s ».
>> Une plateforme sûre pour acheter vos cryptos ? Inscrivez-vous sur PrimeXBT (lien commercial) <<
Rab13s : quelles sont les failles les plus critiques ?
Dans un article post-mortem, Rob Behnke de Halborn revient sur ces failles. En réalité, Rab13s est composé des failles les plus critiques découvertes par les équipes de Halborn lors de son étude sur Dogecoin, puis sur des centaines d’autres chaînes.
Vulnérabilité peer-to-peer
« La vulnérabilité la plus critique découverte est liée aux communications peer-to-peer (p2p). Les attaquants peuvent créer des messages de consensus et les envoyer à des nœuds individuels pour les mettre hors ligne. »
Déclaration de Halborn
Ainsi, via cette vulnérabilité, un utilisateur malveillant est en mesure d’explorer les différents pairs du réseau et d’attaquer les nœuds vulnérables. Cela pourrait avoir des répercussions dramatiques. Concrètement, grâce à Rab13s, un attaquant serait en mesure d’envoyer des messages de consensus malveillant aux nœuds du réseau pour les mettre hors ligne. Cette mise hors ligne massive des nœuds du réseau augmente drastiquement le risque d’attaque des 51 %.
En effet, l’attaquant pourrait, par exemple, louer de la puissance de calcul sur Nicehash en parallèle avec son attaque sur les nœuds du réseau. Résultat : une concentration de plus de 51 % de la puissance du réseau dans les mains de l’attaquant.
Failles des RPC
La seconde faille critique cible, quant à elle, les nœuds RPC (Remote Procedure Call). Ces nœuds font office d’interface entre l’utilisateur et la blockchain.
« La seconde vulnérabilité dans les services RPC permettait à un attaquant de faire crasher le nœud via des requêtes RPC. »
Déclaration de Halborn
Heureusement, la réussite de cette attaque nécessite des informations d’identification valides. Comme expliqué par Halborn, cela réduit drastiquement la probabilité qu’une contagion à l’échelle du réseau.
Enfin, la troisième vulnérabilité permet à un attaquant d’exécuter du code dans le contexte de l’utilisateur qui opère le nœud RPC. Comme la faille précédente, cela nécessite des informations d’identification qui réduisent largement la surface d’attaque.
Un kit mis en place par Halborn pour éviter le pire
Heureusement, Halborn a été en mesure de produire un kit Rab13s qui permet de tester les différents vecteurs d’attaque sur un réseau. À noter que ce kit n’a pas été partagé. En parallèle, Halborn a partagé les informations techniques sur les failles aux blockchains concernées afin de les aider à corriger les vulnérabilités.
Heureusement, ces failles n’ont pour le moment pas été exploitées. Cela aurait pu drastiquement alourdir le bilan, déjà conséquent, des hacks de 2022. En effet, 3,8 milliards de dollars ont été dérobés dans l’écosystème DeFi.
Les hacks sont des aléas malheureux, mais pas une fatalité… Jouez la sécurité et inscrivez-vous dès maintenant sur la plateforme PrimeXBT (lien commercial).
Auteur : Renaud H.
Source : journalducoin.com