Le piratage de Bybit, l’un des plus importants de l’histoire de la cryptomonnaie, a vu 1,5 milliard de dollars d’Ethereum volé à travers ce qui semble être une attaque sophistiquée de type hameçonnage. Contrairement aux violations de sécurité traditionnelles des bourses qui impliquent de compromettre les clés de l’infrastructure en back-office – telles que les clés privées des portefeuilles chauds, tièdes ou froids – cet incident s’est déroulé de manière très inhabituelle. Selon un live stream du PDG de Bybit, Ben Zhou, le piratage a été exécuté lorsque lui et d’autres signataires multi-sig ont approuvé à leur insu la transaction frauduleuse via leurs appareils Ledger, envoyant effectivement la somme massive directement aux hackers.
La faille critique n’était pas dans l’infrastructure de sécurité de Bybit en tant que tel mais dans les risques inhérents à l’utilisation d’adresses de portefeuille brutes et de DeFi que le Ledger ne comprenait pas. Zhou a admis qu’il n’avait pas vérifié l’écran du Ledger avant de signer, supposant que les détails de la transaction étaient corrects puisqu’il s’agissait d’opérations de routine. Cela suggère que les hackers ont réussi à manipuler la transaction dans l’interface utilisateur web de manière à la rendre légitime, trompant les signataires multiples en autorisant un transfert indéchiffrable pour les humains sur l’écran du Ledger.
Ce type d’attaque souligne un problème persistant dans la cryptomonnaie : les transactions basées sur des adresses sont intrinsèquement sujettes aux erreurs humaines et aux attaques de hameçonnage. Si même le PDG d’une grande bourse peut être trompé pour approuver une transaction frauduleuse, les utilisateurs du quotidien courent un risque encore plus élevé.
La clé pour résoudre ce problème sous-jacent est d’éliminer complètement la dépendance aux adresses de portefeuille brutes. Au lieu de vérifier manuellement une chaîne alphanumérique complexe, les utilisateurs envoient des cryptomonnaies en utilisant des noms lisibles par les humains. Si Bybit avait incorporé cette technologie, le Ledger aurait affiché une erreur et aurait dit aux opérateurs de ne pas signer, rendant beaucoup plus difficile pour les pirates de manipuler les transactions.
Les fournisseurs d’infrastructure comme MatterFi peuvent garantir que tous les portefeuilles peuvent calculer de manière cryptographique l’adresse de réception correcte en fonction du nom enregistré de l’utilisateur, sans exposer les informations sensibles sur la blockchain. Cela signifie que les utilisateurs peuvent partager publiquement leurs noms de paiement – comme “Mehow” sur Instagram – sans révéler leur historique de transactions ou leurs soldes. L’infrastructure de clé privée garantit que seul le destinataire prévu peut accéder aux fonds, atténuant les risques de hameçonnage à un niveau fondamental.
Bybit ayant dû suspendre les dépôts d’Ethereum en réponse à la violation de sécurité, il est clair que les plateformes de cryptomonnaie doivent repenser leurs modèles de sécurité. Les systèmes basés sur les adresses, quels que soient leurs renforcements, laissent toujours les utilisateurs vulnérables à l’ingénierie sociale et aux erreurs humaines.
En passant à des transactions basées sur des noms cryptographiques, l’industrie peut faire un grand pas en avant pour empêcher des incidents similaires à l’avenir.