La DARPA a publié cette semaine une étude qui remet en question les hypothèses sur la sécurité des grands livres distribués (blockchains), ainsi que le bitcoin. Le rapport, intitulé "Are Blockchains Decentralized ?", a mis en évidence quelques vulnérabilités majeures susceptibles de mettre en péril l'éthique supposée "décentralisée" de la technologie blockchain. Il pointe du doigt une poignée de "centralités involontaires" qui pourraient concentrer le pouvoir des blockchains entre les mains de quelques individus ou groupes sélectionnés.Selon les partisans des actifs numériques, l'un des grands avantages des cryptomonnaies par rapport aux autres systèmes financiers est qu'aucune entreprise, banque centrale ou gouvernement particulier n'en a le contrôle. Comme l'a scandé la foule lors de la récente conférence Bitcoin 2022 à Miami, en Floride, aux États-Unis, tout est question de "liberté". En raison de sa conception, le système est censé être à l'abri des interférences des acteurs étatiques. Mais selon les chercheurs qui ont travaillé sur un rapport commandé par la DARPA (Defense Advanced Research Projects Agency), le système décentralisé ne fonctionne pas aussi bien qu'on le suppose.
Le rapport a été élaboré par la société de recherche en sécurité logicielle Trail of Bits. Il met spécifiquement en évidence une poignée de "centralités involontaires" qui, selon les auteurs, peuvent potentiellement concentrer le pouvoir de la blockchain entre les mains de quelques individus ou groupes sélectionnés. En se penchant sur la blockchain du Bitcoin, les chercheurs ont découvert que ces centralités involontaires vont des nouveaux puissants mineurs de cryptomonnaies aux ordinateurs obsolètes vulnérables aux attaques, en passant par une cohorte de fournisseurs de services Internet chargés de gérer le trafic de bitcoins.
« On a considéré comme acquis que la blockchain est immuable et décentralisée, parce que la communauté le dit », a déclaré Dan Guido, PDG de Trail of Bits. Selon Guido, le pouvoir des cryptomonnaies est concentré entre les mains de personnes ou d'organisations qui détiennent une grande partie du gâteau. Plutôt que d'explorer les attaques qui ciblent les vulnérabilités cryptographiques, l'étude se concentre sur les approches qui pourraient subvertir les propriétés de "l'implémentation, la mise en réseau ou le protocole de consensus" d'une blockchain.
Trail of Bits a défini les "centralités involontaires" comme des circonstances dans lesquelles une entité a de l'influence sur un système dit décentralisé, ce qui pourrait lui donner la possibilité d'altérer les registres de propriété. Le rapport indique également que trois fournisseurs d'accès Internet gèrent 60 % de l'ensemble du trafic de bitcoins. Un réseau blockchain pourrait être perturbé si un régulateur des communications, un pirate informatique ou une autre personne ayant la mainmise sur l'un de ces FAI ralentissait ou interrompait le trafic de bitcoins. Guido pense que cela est semblable à tout autre système capitaliste.
« Imaginons que quelqu'un ayant un grand contrôle descendant de l'Internet dans son pays commence à interférer avec ce réseau. En ralentissant ou en interrompant le trafic légitime de la blockchain, un attaquant pourrait devenir la voix majoritaire dans le consensus de ce qui est écrit sur une blockchain à ce moment-là. Ils peuvent réécrire l'histoire. Ils peuvent censurer les transactions. Ils peuvent faire en sorte que vous ne puissiez pas dépenser vos bitcoins. C'est définitivement quelque chose que les gens voudraient faire s'ils veulent "chagriner" le réseau », explique Guido. La notion de ce type d'attaque n'est pas nouvelle.
Il existerait également des faiblesses dans le réseau bitcoin lui-même. Le rapport révèle que 21 % des nœuds utilisent une ancienne version vulnérable du client bitcoin principal. Ces systèmes pourraient être la cible d'un cybercriminel qui chercherait à prendre le contrôle de la majorité d'un réseau blockchain, bien que cela semble relativement improbable étant donné la taille du réseau bitcoin. Selon les chercheurs, cela signifie que tous ces ordinateurs sont ouverts au même type de piratage - un premier pas important pour un attaquant qui tente de dominer un réseau blockchain, parfois appelé "attaque des 51 %".
Jusqu'à présent, les risques décrits dans le rapport ne semblent pas constituer une préoccupation majeure pour le secteur des cryptomonnaies. « Nous pensons que les risques inhérents aux blockchains et aux cryptomonnaies ont été mal décrits et sont souvent ignorés - voire moqués - par ceux qui cherchent à profiter de la ruée vers l'or de cette décennie », ont déclaré les auteurs dans un communiqué. Coinbase et d'autres grandes entreprises de cryptomonnaies n'ont pas voulu commenter le rapport, mais Yan Pritzker, cofondateur d'une société bitcoin appelée Swan, a déclaré qu'il considérait les risques comme "théoriques".
« Si ce genre d'attaque est possible, pourquoi n'a-t-elle pas eu lieu ? Je pense que la preuve est un peu dans le pudding. Dans des conditions réelles, ces choses ne se produisent pas », a déclaré Pritzker. Il est néanmoins d'accord avec le rapport sur ce point : il y a plus de centralisation dans certaines des nouvelles formes de cryptomonnaies, en particulier celles qui reposent sur un système appelé "preuve d'enjeu", qui utilise moins de puissance de calcul. Il est plus confiant dans la résilience du bitcoin, car sa blockchain basée sur la "preuve de travail", très énergivore, nécessiterait beaucoup plus d'énergie de calcul pour être corrompue.
En plus, Pritzker a souligné que cette recherche a été commandée par une agence gouvernementale. « Ils font essentiellement de la recherche de fin de partie. Leur jeu consiste à se demander "comment obtenir un meilleur contrôle de la monnaie", et "comment construire de meilleurs systèmes pour notre contrôle de la monnaie" », dit-il à propos de rapports comme celui-ci. Selon Josh Baron, chef de projet de l'unité de la DARPA, certaines des conclusions sont "étonnantes". Cependant, Christian Catalini, fondateur du MIT Cryptoeconomics Lab, considère que le rapport est utile, mais pas trop inquiétant.
« Certaines des préoccupations que je pense sont valables, mais peut-être que le danger pour l'écosystème plus large est un peu exagéré », a-t-il déclaré, notant qu'il est important de garder à l'esprit que les systèmes de cryptomonnaies ne sont pas complètement autonomes. Certaines de ces situations évoquées dans le rapport sont théoriques, mais il met en évidence certaines des déficiences de la blockchain. Il y a eu quelques exemples clairs de centralisation ayant un impact sur certaines parties de l'écosystème, cependant.
L'on a appris récemment que la plateforme de prêt Solend (basée sur la blockchain Solana) a tenté de prendre le contrôle de son plus grand compte, car elle estimait que l'opérateur pouvait avoir une influence considérable sur les mouvements du marché. Solend prévoyait de prendre temporairement le contrôle du compte de l'investisseur "baleine" afin de liquider sa position "gracieusement" et d'éviter d'éventuelles perturbations. Une proposition permettant à la plateforme de procéder à cette opération controversée (Solend se qualifie de "protocole décentralisé", après tout) a été adoptée dimanche.
Cependant, les utilisateurs de Solend ont voté sur une autre proposition visant à annuler la première, avec 99,8 % de votes favorables. Il s'avère que le titulaire du compte en question a obtenu plus d'un million de voix sur un total de 1,48 million. Solend tente une autre méthode pour liquider la position de l'investisseur, mais pour l'instant, le pouvoir de la plateforme semble être centralisé en faveur de ce titulaire de compte.
Source : Rapport de l'étude (PDF)
Et vous ?
Quel est votre avis sur le sujet ? Que pensez-vous des conclusions du rapport de la DARPA ? Pensez-vous que les conclusions du rapport reflètent la réalité ?Voir aussi
La blockchain, la cybersécurité, le cloud, l'apprentissage automatique, et le DevOps font partie des compétences technologiques les plus demandées en 2022, selon un rapport de Comptia Les produits et fonds d'investissement en cryptomonnaies ont enregistré des sorties nettes totalisant un montant record de 207 millions de dollars la première semaine de 2022, selon CoinShares Le Web 3.0 et l'avenir de la Crypto : les développeurs donnent leur avis dans un sondage La blockchain est-elle une dangereuse absurdité ? Une analyse de Nicolas Lenz