Un total de 2 millions de Binance Coin – équivalent à près de 570 millions de dollars US (895 millions de dollars) – ont été effectivement frappés et pris par le pirate. Binance a déclaré dans un communiqué que l’incident était isolé de BNB Chain, sur lequel il n’exerce aucun contrôle. Environ 100 millions de dollars des fonds volés n’ont pas été récupérés, tandis que le reste a été gelé, selon le communiqué. Aucun fonds d’utilisateur n’a été perdu, a ajouté Binance.
L’incapacité à sécuriser les ponts – Chainalysis estime que 2 milliards de dollars (3,1 milliards de dollars) de jetons ont été pillés lors de 13 attaques distinctes, dont la majorité a été volée cette année – présente un dilemme fondamental car sans de telles plates-formes, les principales chaînes de blocs d’Ethereum à Solana restent largement séparés les uns des autres.
La vision derrière le web3, présentée par les protagonistes comme la prochaine itération d’Internet, repose en partie sur des jetons circulant librement entre divers écosystèmes.
Soulignant la demande pour cette technologie, les protocoles construits autour des ponts inter-chaînes et de l’interopérabilité ont permis de lever environ 347 millions de dollars (545 millions de dollars) sur 30 transactions depuis 2021, selon Kunal Goel, analyste de recherche chez Messari.
LayerZero a conclu le plus gros accord avec 135 millions de dollars (212 millions de dollars), mais la plupart des accords ont été des tours de table, a déclaré Goel.
Mais même les ponts bien financés construits spécifiquement pour être « la sécurité d’abord » n’ont pas été épargnés. En août, un de ces ponts appelé Nomad – qui utilise une méthode de vérification des transactions qui, selon lui, est plus sûre que celles utilisées par d’autres plates-formes inter-chaînes – a été touché par un piratage de 200 millions de dollars (315 millions de dollars).
L’un des principaux défis liés à la construction de ponts sécurisés est leur complexité, qui offre aux pirates de nombreux points d’entrée potentiels. Et il y a peu d’experts qualifiés qui peuvent les construire et les sécuriser, disent les analystes de sécurité et les développeurs de blockchain.
Les développeurs de ponts doivent non seulement connaître en profondeur le fonctionnement du logiciel, mais également le fonctionnement des différentes chaînes de blocs auxquelles il se connecte. Trouver quelqu’un avec ce savoir-faire n’est pas facile, selon les analystes et les programmeurs.
« J’ai étudié l’informatique distribuée et le consensus et pourtant je dois dire que je ne comprends pas bien les ponts », a déclaré Paul Frambot, directeur général de la startup crypto Morpho Labs, qui a développé un nouveau protocole. « C’est très difficile à bien comprendre et donc encore plus difficile d’en construire des sécurisés. »
Les ponts sont des logiciels open source, leur code est donc accessible à tous. Il s’agit d’une épée à double tranchant : cela les rend naturellement plus vulnérables aux piratages que les réseaux financiers traditionnels, tels que les réseaux privés exploités par les banques, mais permet également à davantage d’individus de contribuer à l’amélioration du code, ont déclaré des experts.
« A court terme, le code étant open-source permet aux acteurs malveillants de repérer les vulnérabilités dans les bibliothèques et les packages qui ont été récemment construits et développés », a déclaré David Kroger, scientifique des données numériques chez Cowen Digital.
« Cependant, être open-source permet aux communautés de se rassembler pour exposer tôt les surfaces d’attaque avant qu’elles ne deviennent préjudiciables. »
Un autre problème avec les ponts est que la plupart fonctionnent avec un petit ensemble de gardiens ou d’entités telles que des validateurs qui sont responsables de la sécurisation du réseau. Cela les rend vulnérables car ils sacrifient la décentralisation pour fonctionner à grande échelle.
Insectes embêtants
Les bogues sont également courants sur les ponts, en partie parce que la technologie utilisée est très nouvelle, ont déclaré des experts en sécurité. Mais il y a une doublure en argent.
« La conception de ponts sécurisés reste un défi technique que l’industrie tente de résoudre par essais et erreurs », a déclaré Adrian Hetman, responsable technique du triage sur le site de chasse aux bogues Immunefi. « Avec chaque nouveau piratage et bogue de sécurité trouvé, nous pouvons apprendre des erreurs et créer de meilleures solutions. »
Les développeurs n’ont toujours pas beaucoup d’outils pour créer, déboguer ou prendre en charge les logiciels de pont, ni les normes d’exploitation de base, a écrit Chase Devens, analyste de recherche chez Messari, dans un rapport de juillet.
En plus des défis techniques, les développeurs qui construisent des ponts sont confrontés à des ennemis plus dangereux. Lazarus, un groupe de piratage soutenu par l’État nord-coréen, a été identifié comme l’attaquant derrière le piratage de Ronin Bridge et le vol de 100 millions de dollars d’Horizon Bridge en juin.
Pour repousser les pirates avisés disposant de vastes ressources et prouver qu’ils peuvent être plus qu’un casse-tête coûteux pour le secteur, les ponts pourraient n’avoir d’autre choix que d’intensifier leur jeu, ont déclaré des experts en sécurité.
« Nous en sommes encore au stade de la petite enfance », déclare Mudit Gupta, responsable de la sécurité de l’information chez Polygon, la solution de mise à l’échelle d’Ethereum. « Il y a encore beaucoup de travail à faire. »
Bloomberg
Bloomberg
