Les pirates ont volé 1.4 milliard de dollars cette année en utilisant des ponts cryptographiques

Les investisseurs en crypto ont été durement touchés cette année par des piratages et des escroqueries. L'une des raisons est que les cybercriminels ont trouvé une voie particulièrement utile pour les atteindre : les ponts.

Les ponts Blockchain, qui connectent de manière ténue les réseaux pour permettre les échanges rapides de jetons, gagnent en popularité en tant que moyen pour les utilisateurs de cryptographie d'effectuer des transactions. Mais en les utilisant, les passionnés de crypto contournent un échange centralisé et utilisent un système qui n'est en grande partie pas protégé.

Un total d'environ 1.4 milliard de dollars a été perdu à cause de brèches sur ces ponts inter-chaînes depuis le début de l'année, selon les chiffres de la société d'analyse blockchain Chainalysis. Le plus grand événement a été le record de 615 millions de dollars arraché à Ronin, un pont prenant en charge le populaire jeu de jetons non fongible Axie Infinity, qui permet aux utilisateurs de gagner de l'argent en jouant.

Il y avait aussi le 320 millions de dollars volés à Wormhole, un pont cryptographique soutenu par la société de trading à haute fréquence de Wall Street Jump Trading. En juin, le pont Harmony's Horizon a subi une attaque de 100 millions de dollars. Et la semaine dernière, près de 200 millions de dollars ont été saisis par des pirates dans une brèche ciblant Nomad.

"Les ponts blockchain sont devenus le fruit à portée de main pour les cybercriminels, avec des milliards de dollars d'actifs cryptographiques enfermés en leur sein", a déclaré Tom Robinson, co-fondateur et scientifique en chef de la société d'analyse blockchain Elliptic, dans une interview. "Ces ponts ont été piratés par des pirates de diverses manières, ce qui suggère que leur niveau de sécurité n'a pas suivi le rythme de la valeur des actifs qu'ils détiennent."

Les exploits de pont se produisent à un rythme frappant, étant donné qu'il s'agit d'un phénomène si nouveau. Selon les données de Chainalysis, le montant volé dans les cambriolages de ponts représente 69 % des fonds volés dans les hacks liés à la cryptographie jusqu'à présent en 2022.

Un pont est un logiciel qui permet à quelqu'un d'envoyer des jetons depuis un réseau blockchain et de les recevoir sur une chaîne distincte. Les chaînes de blocs sont les systèmes de grand livre distribué qui sous-tendent diverses crypto-monnaies.

Lors de l'échange d'un jeton d'une chaîne à une autre - comme lors de l'envoi de d'ether d'ethereum au réseau solana - un investisseur dépose les jetons dans un contrat intelligent, un morceau de code sur la blockchain qui permet aux accords de s'exécuter automatiquement sans intervention humaine.

Cette crypto est ensuite « frappée » sur une nouvelle blockchain sous la forme d'un soi-disant jeton enveloppé, qui représente une revendication sur les pièces d'éther d'origine. Le jeton peut ensuite être échangé sur un nouveau réseau. Cela peut être utile pour les investisseurs utilisant Ethereum, qui est devenu notoire pour ses pics soudains de frais et ses temps d'attente plus longs lorsque le réseau est occupé.

"Ils détiennent généralement d'énormes sommes d'argent", a déclaré Adrian Hetman, responsable technique de la société de sécurité cryptographique Immunefi. "Ces sommes d'argent et la quantité de trafic qui passe par les ponts sont un point d'attaque très attrayant."

La vulnérabilité des ponts peut être attribuée en partie à une ingénierie bâclée.

Le piratage du pont Horizon d'Harmony, par exemple, a été possible en raison du nombre limité de validateurs nécessaires pour approuver les transactions. Les pirates n'avaient qu'à compromettre deux comptes sur un total de cinq pour obtenir les mots de passe nécessaires au retrait de fonds.

Une situation similaire s'est produite avec Ronin. Les pirates n'avaient qu'à convaincre cinq validateurs sur neuf du réseau de remettre leurs clés privées pour accéder à la cryptographie verrouillée à l'intérieur du système.

Dans le cas de Nomad, le pont était beaucoup plus simple à manipuler pour les pirates. Les attaquants ont pu saisir n'importe quelle valeur dans le système, puis retirer des fonds, même s'il n'y avait pas suffisamment d'actifs déposés dans le pont. Ils n'avaient besoin d'aucune compétence en programmation, et leurs exploits ont conduit les imitateurs à s'accumuler, conduisant au huitième plus grand vol de crypto de tous les temps, selon Elliptic.

Nomade est offrant des pirates une prime allant jusqu'à 10% pour récupérer les fonds des utilisateurs et dit qu'il s'abstiendra de poursuivre en justice les pirates qui restituent 90% des actifs qu'ils ont pris.

Nomad a déclaré à CNBC qu'il "s'engage à tenir sa communauté informée au fur et à mesure qu'elle en apprend davantage" et "apprécie tous ceux qui ont agi rapidement pour protéger les fonds".

Les ponts sont un outil essentiel dans l'industrie de la finance décentralisée (DeFi), qui est l'alternative crypto au système bancaire.

Avec DeFi, au lieu que des joueurs centralisés appellent les coups, les échanges d'argent sont gérés par un morceau de code programmable appelé contrat intelligent. Ce contrat est écrit sur une blockchain publique, telle que Ethereum or solana, et il s'exécute lorsque certaines conditions sont remplies, éliminant ainsi le besoin d'un intermédiaire central. 

"Nous ne pouvons pas simplement déplacer ces actifs", a déclaré Hetman. "C'est pourquoi nous avons besoin de ponts blockchain."

Au fur et à mesure que l'espace DeFi continue d'évoluer, les développeurs devront rendre les blockchains interopérables pour garantir que les actifs et les données peuvent circuler en douceur entre les réseaux.

"Sans eux, les actifs sont verrouillés sur des chaînes natives", a déclaré Auston Bunsen, co-fondateur de QuikNode, qui fournit une infrastructure de blockchain aux développeurs et aux entreprises.

Mais ils sont risqués.

"Ils sont effectivement non gouvernés", a déclaré David Carlisle, responsable des affaires réglementaires chez Elliptic. Ils sont "très vulnérables aux piratages ou à être utilisés dans des crimes comme le blanchiment d'argent".

Les criminels ont transféré au moins 540 millions de dollars de gains mal acquis via un pont appelé RenBridge depuis 2020, selon nouvelle recherche qu'Elliptic a fourni à CNBC.

"Une question majeure est de savoir si les ponts seront soumis à une réglementation, car ils agissent un peu comme des échanges cryptographiques, qui sont déjà réglementés", a déclaré Carlisle.

Cette semaine, l'Office of Foreign Assets Control, ou OFAC, du département du Trésor américain, a annoncé des sanctions contre Tornado Cash, un mélangeur de crypto-monnaie populaire, interdisant aux Américains d'utiliser le service. Les mélangeurs sont des outils qui mélangent les jetons d'un utilisateur avec un pool d'autres fonds pour dissimuler l'identité des individus et des entités impliqués.

Carlisle a déclaré qu'il devenait évident que "les régulateurs américains sont prêts à s'attaquer aux services DeFi qui facilitent les activités illicites".

REGARDER: Adrian Hetman d'Immunefi explique comment les pirates ont volé 200 millions de dollars