Beaucoup de gens pensent que leur crypto-monnaie est en sécurité dans leur portefeuille, mais en réalité, votre portefeuille ne stocke que la clé privée qui déverrouille vos fonds, tout comme une carte bancaire en plastique vous donne accès à votre compte bancaire, mais ne contient pas d’argent en soi.
Avec des milliards de dollars d’actifs cryptographiques en jeu, les portefeuilles de crypto-monnaies peuvent être des cibles de choix pour les attaquants à la recherche de vulnérabilités. Que vous soyez un investisseur occasionnel ou un trader actif, il est important de comprendre comment fonctionnent les portefeuilles de crypto-monnaies, ce qui les rend uniques, et les mesures que vous pouvez prendre pour sécuriser vos actifs numériques.
Risques et menaces des portefeuilles de crypto-monnaies
Malgré leur variété, les portefeuilles de crypto-monnaies se divisent généralement en deux catégories principales :
- Les portefeuilles froids, tels que les portefeuilles matériels, nécessitent un accès physique.
- Les portefeuilles chauds, tels que les applications mobiles ou basées sur un navigateur, restent connectés à Internet.
Les portefeuilles en froid ne se connectent pas à Internet par défaut, ce qui en fait l’un des moyens les plus sûrs de stocker la crypto-monnaie. Les exemples incluent les portefeuilles papier, les clés USB ou les dispositifs matériels dédiés. Cependant, ils doivent néanmoins être connectés occasionnellement à un ordinateur ou à un téléphone pour valider les transactions ou transférer des fonds. Il est important de rappeler que lors de l’utilisation de portefeuilles froids, le propriétaire a la pleine responsabilité de la protection des clés privées et des actifs qui leur sont associés. Avec les portefeuilles chauds, en revanche, la responsabilité de la sécurité incombe en grande partie au fournisseur de services, tel qu’un dépositaire ou un organisme de garde.
Les principaux problèmes et les menaces auxquels les utilisateurs de portefeuilles de crypto-monnaies sont confrontés comprennent :
- Perte d’accès
Si un utilisateur perd son mot de passe, sa clé privée ou sa phrase de sauvegarde, il peut perdre l’accès à ses fonds de manière permanente et sans possibilité de les récupérer. Cette perte ne signifie pas forcément un vol ; il peut s’agir simplement d’un oubli d’informations importantes. Des erreurs de gestion de portefeuille, le fait de stocker une clé privée ou une phrase de sauvegarde de manière incorrecte, ou de perdre une sauvegarde en général, peuvent entraîner le même résultat irréversible.
- Piratages et cyberattaques
Les portefeuilles sont souvent la cible d’attaquants cherchant à accéder aux clés privées et à voler des fonds. Les pirates utilisent une variété de tactiques pour compromettre les portefeuilles, dont les logiciels malveillants, les enregistreurs de frappe et les exploits sophistiqués ciblant les vulnérabilités des logiciels, applications de portefeuille ou dispositifs matériels. Les cybercriminels peuvent se faire passer pour des services de confiance, envoyer de fausses mises à jour pour les logiciels de portefeuille ou exploiter des faiblesses dans les configurations multi-signatures.
- Hameçonnage, ingénierie sociale
Les attaques peuvent cibler non seulement les vulnérabilités techniques, mais aussi le comportement humain, en trompant les utilisateurs pour qu’ils révèlent des informations confidentielles par le biais de la ruse, y compris en utilisant l’IA et des deepfakes. Les attaquants peuvent également mettre en place de faux sites Web et des e-mails qui imitent des services de crypto-monnaie légitimes, trompant les utilisateurs pour qu’ils saisissent leurs informations de connexion et finissent par perdre l’accès à leurs fonds.
- Restrictions réglementaires
Pour certains utilisateurs et certaines régions, les sanctions imposées par des plateformes à la demande de régulateurs étrangers (tels que l’OFAC ou la SEC) soulèvent des risques importants. Dans certains cas, les bourses bloquent simplement les portefeuilles. De plus, certaines juridictions peuvent interdire la simple utilisation de certains logiciels de portefeuille ou même interdire les crypto-monnaies en général.
- Menaces internes
Les menaces internes sont un problème croissant dans le domaine de la crypto-monnaie. Les employés ou les contractants disposant d’un accès privilégié peuvent divulguer des informations sensibles sur les portefeuilles, les plateformes et les protocoles de transaction, mettant ainsi en danger les fonds des utilisateurs. Ces personnes peuvent vendre des données privées à des pirates, créer des portes dérobées ou exploiter des failles de sécurité à des fins personnelles. Contrairement aux piratages externes, les attaques internes sont plus difficiles à détecter et à empêcher car les auteurs disposent déjà d’un accès de confiance.
- Problèmes de résistance quantique
De nombreux développeurs se sont récemment tournés vers la protection des portefeuilles de crypto-monnaies contre les futurs ordinateurs quantiques, en particulier contre les attaques par force brute sur les clés privées. Bien que la menace de l’informatique quantique soit actuellement exagérée, elle est bien réelle, et sa gravité dépend en grande partie des mesures prises par les développeurs de la blockchain avant que celle-ci ne devienne une réalité. Par exemple, les développeurs d’Ethereum travaillent déjà sur des techniques cryptographiques résistantes à l’informatique quantique, telles que les signatures Winternitz et les preuves de connaissance nulle STARK , pour renforcer le réseau contre les menaces quantiques potentielles.
Exemples de vulnérabilités et d’attaques
En août 2022, un vol important de tokens depuis des portefeuilles Solana a eu lieu en raison d’une vulnérabilité liée à l’infrastructure centralisée du serveur Sentry. Les chercheurs ont découvert deux nouvelles méthodes pour extraire des données des portefeuilles Solana, notamment des attaques par bit-flipping qui peuvent compromettre les clés privées ou les données transactionnelles.
Fin novembre 2023, jusqu’à 1,5 million de bitcoins ont été signalés comme étant en danger en raison d’une vulnérabilité connue sous le nom de Randstorm. Cette faille pourrait permettre aux attaquants de récupérer des mots de passe et de mettre en péril l’accès à plusieurs portefeuilles sur différentes plateformes blockchain. La vulnérabilité était liée à BitcoinJS, une bibliothèque JavaScript open-source souvent utilisée pour développer des portefeuilles de crypto-monnaies dans le navigateur. Le problème principal était le manque d’entropie lors de la génération des clés, rendant les attaques par force brute réalisables et permettant de récupérer les clés privées.
En décembre 2023, les “inscriptions” de Bitcoin ont été ajoutées à la base de données nationale de vulnérabilité (NVD) des États-Unis et signalées comme un risque de cybersécurité. Cette inscription visait à mettre en évidence les failles de sécurité introduites lors du développement du protocole Ordinals en 2022. L’inclusion dans la NVD signifie que la vulnérabilité est reconnue comme suffisamment importante pour en informer le public et aider les développeurs à atténuer les menaces potentielles.
En décembre 2023, les attaquants ont exploité l’opcode CREATE2 d’Ethereum pour voler environ 60 millions de dollars. CREATE2 est une fonctionnalité légitime qui permet aux développeurs de déployer des smart contracts à des adresses dont ils peuvent calculer l’emplacement avant le déploiement. Cependant, cela a créé une faille que les attaquants ont utilisée pour contourner les vérifications de sécurité du portefeuille. En générant de nouvelles adresses de contrats sans historique suspect, ils ont trompé les victimes pour qu’elles signent des transactions malveillantes. Une fois signés, les attaquants ont déployé les contrats malveillants aux adresses prédéterminées et ont vidé les actifs des victimes.
En décembre 2023, de nombreux services de crypto-monnaies ont été mis en danger par un piratage impliquant le logiciel de portefeuille de Ledger. Les attaquants ont compromis le code largement utilisé de la fonction wallet-connect de Ledger, qui est intégré à de nombreuses applications décentralisées (dApps). Bien que la vulnérabilité ait été rapidement corrigée, elle a forcé les administrateurs de plusieurs services décentralisés populaires à désactiver leurs interfaces utilisateur pour éviter des dommages supplémentaires. Ledger a confirmé que le code malveillant avait été supprimé, mais l’exploitation a été active pendant environ deux heures et a affecté de nombreux projets de crypto-monnaie de premier plan.
Stratégies pour gérer les risques et vulnérabilités des portefeuilles de crypto-monnaies
Lorsqu’il s’agit de sécuriser les portefeuilles de crypto-monnaies, les conseils donnés semblent souvent basiques, mais cela ne les rend pas moins essentiels :
- Choisissez toujours un portefeuille de crypto-monnaies réputé et de confiance pour minimiser votre risque de piratage et de vulnérabilité. Envisagez d’utiliser des portefeuilles multi-signatures pour une sécurité accrue, en particulier pour les montants plus importants ou les comptes partagés.
- Maintenez la mise à jour de votre système et de vos logiciels. La mise à jour régulière de votre portefeuille et de tout logiciel connexe permet de corriger les vulnérabilités connues et de sécuriser votre installation.
- Utilisez des mots de passe robustes et uniques pour tous les comptes de portefeuille et les services associés, et stockez-les dans un gestionnaire de mots de passe sécurisé. Activez l’authentification multi-facteurs pour ajouter une couche de protection supplémentaire.
- Faites régulièrement des sauvegardes de vos clés d’accès au portefeuille et stockez-les de manière sécurisée. De cette façon, vous pouvez éviter de perdre vos fonds si votre portefeuille d’origine est perdu ou endommagé. Testez vos sauvegardes périodiquement pour vous assurer que vous pouvez récupérer votre portefeuille si votre appareil principal est perdu ou endommagé.
- Passez du temps à apprendre sur la sécurité des portefeuilles de crypto-monnaies. Même une compréhension de base des menaces et des meilleures pratiques peut vous aider à protéger vos fonds à domicile.
- Séparez vos fonds – gardez vos dépenses quotidiennes dans un petit portefeuille chaud et stockez le reste dans un espace de stockage à froid sécurisé. Le fait de conserver des fonds importants hors ligne réduit le risque de piratage en ligne.
- Vérifiez toujours deux fois les adresses de portefeuille avant d’envoyer des fonds pour éviter de devenir victime de logiciels malveillants de substitution d’adresses ou d’arnaques par hameçonnage. Ne cliquez jamais sur des liens suspects et ne partagez jamais vos clés privées ou vos phrases de récupération avec quiconque.
- Utilisez des logiciels antivirus et anti-malware de confiance pour protéger vos appareils contre les enregistreurs de frappe et autres menaces.
- Limitez l’accès aux appareils de portefeuille. Ne laissez pas les autres utiliser vos appareils sans votre surveillance et verrouillez-les lorsqu’ils ne sont pas en cours d’utilisation.
Dernières réflexions
Il est important de renforcer la collaboration et le soutien mutuel au sein de la communauté de la crypto pour partager des connaissances sur les problèmes de sécurité et résoudre les vulnérabilités des portefeuilles plus rapidement. Il est temps de commencer à se préparer à la menace croissante de l’informatique quantique en développant et en mettant en œuvre des protocoles et des technologies résistants à l’informatique quantique. L’année ou les deux à venir, les attaquants pourraient obtenir l’accès à des algorithmes quantiques capables de forcer les clés privées.
Avis de non-responsabilité de Benzinga : Cet article provient d’un contributeur externe non rémunéré. Il ne représente pas les rapports de Benzinga et n’a pas été édité pour son contenu ou sa précision.