Crypto pour les humains : les leçons du piratage de Bybit

Le récente faille de sécurité d'environ 1,5 milliard de dollars L'incident survenu chez Bybit, deuxième plateforme d'échange de Cryptomonnaie au monde en termes de volume d'échange, a eu un retentissement considérable au sein de la communauté des actifs numériques. Avec 20 milliards de dollars d'actifs clients sous gestion, Bybit a dû faire face à un défi de taille lorsqu'un attaquant a exploité les contrôles de sécurité lors d'un transfert de routine d'un portefeuille « froid » hors ligne vers un portefeuille « chaud » utilisé pour les transactions quotidiennes.

Les premiers rapports suggèrent que la vulnérabilité impliquait une implémentation Web3 développée en interne, utilisant Gnosis Safe – un portefeuille multi-signatures utilisant des techniques de mise à l'échelle hors chaîne, doté d'une architecture évolutive centralisée et d'une interface utilisateur pour la signature. Un code malveillant déployé à l'aide de cette architecture évolutive a transformé ce qui semblait être un transfert de routine en un contrat altéré. L'incident a déclenché environ 350 000 demandes de retrait, les utilisateurs s'empressant de sécuriser leurs fonds.

Bien que considérable en termes absolus, cette violation – estimée à moins de 0,01 % de la capitalisation boursière totale des Cryptomonnaie – démontre comment ce qui aurait pu être une crise existentielle est devenu un incident opérationnel gérable. L'assurance rapide de Bybit que tous les fonds non récupérés seront couverts par ses réserves ou des prêts de partenaires illustre une fois de plus sa maturité.

Depuis l'apparition des cryptomonnaies, l'erreur Human , et non les failles techniques des protocoles blockchain, a toujours été la principale vulnérabilité. recherche examinant Plus d'une décennie de violations majeures de Cryptomonnaie montre que les facteurs Human ont toujours dominé. Rien qu'en 2024, environ 2,2 milliards de dollars ont été volés.

Ce qui est frappant, c'est que ces failles continuent de se produire pour des raisons similaires : les organisations ne parviennent pas à sécuriser leurs systèmes, car elles n'en reconnaissent T explicitement la responsabilité, ou s'appuient sur des solutions sur mesure qui entretiennent l'illusion que leurs exigences sont fondamentalement différentes des cadres de sécurité établis. Cette tendance à réinventer les approches de sécurité au lieu d'adapter des méthodologies éprouvées perpétue les vulnérabilités.

Si la blockchain et les technologies cryptographiques ont prouvé leur robustesse cryptographique, le LINK faible de la sécurité n'est pas la Technologies , mais l'élément Human qui l'utilise. Ce modèle est resté remarquablement constant depuis les débuts des cryptomonnaies jusqu'aux environnements institutionnels sophistiqués d'aujourd'hui. fait écho aux préoccupations en matière de cybersécurité dans d'autres—plus traditionnel—domaines.

Ces erreurs Human incluent la mauvaise gestion des clés privées, où perdantLa mauvaise manipulation ou l'exposition des clés privées compromet la sécurité. Les attaques d'ingénierie sociale demeurent une menace majeure, car les pirates informatiques manipulent leurs victimes pour qu'elles divulguent des données sensibles par hameçonnage, usurpation d'identité et tromperie.

Solutions de sécurité centrées sur l'humain

Les solutions purement techniques ne peuvent résoudre ce qui est fondamentalement un problème Human . Si l'industrie a investi des milliards dans des mesures de sécurité technologiques, peu d'investissements ont été faits pour s'attaquer aux facteurs Human qui favorisent systématiquement les violations.

Un obstacle à une sécurité efficace réside dans la réticence à reconnaître la propriété et la responsabilité des systèmes vulnérables. Les organisations qui ne définissent pas clairement ce qu'elles contrôlent – ou insistent sur le fait que leur environnement est trop unique pour que les principes de sécurité établis puissent s'appliquer – créent des angles morts facilement exploitables par les attaquants.

Cela reflète ce que l’expert en sécurité Bruce Schneier a appelé une loi de sécurité :les systèmes conçus de manière isolée par des équipes convaincues de leur caractère unique contiennent presque invariablement des vulnérabilités critiques que les pratiques de sécurité établies auraient traitéesLe secteur des Cryptomonnaie est tombé à plusieurs reprises dans ce piège, reconstruisant souvent les cadres de sécurité à partir de zéro plutôt que d’adapter les approches éprouvées de la Finance traditionnelle et de la sécurité de l’information.

Un changement de paradigme vers une conception de la sécurité centrée sur l'humain est essentiel. Ironiquement, alors que la Finance traditionnelle évoluait de l'authentification à facteur unique (mot de passe) à l'authentification multifacteur (AMF), les premières Cryptomonnaie simplifiaient la sécurité en la ramenant à l'authentification à facteur unique par clés privées ou phrases clés, sous le seul couvert de la sécurité du chiffrement. Cette simplification excessive était dangereuse, conduisant le secteur à exploiter rapidement diverses vulnérabilités et exploits. Des milliards de dollars de pertes plus tard, nous en arrivons aux approches de sécurité plus sophistiquées adoptées par la Finance traditionnelle.

Les solutions modernes et les Technologies réglementaires devraient reconnaître que l’erreur Human est inévitable et concevoir des systèmes qui restent sécurisés malgré ces erreurs plutôt que de supposer une conformité Human parfaite aux protocoles de sécurité. Il est important de noter que la Technologies ne modifie pas les motivations fondamentales.Sa mise en œuvre entraîne des coûts directs, et son évitement risque de porter atteinte à la réputation.

Les mécanismes de sécurité doivent évoluer au-delà de la simple protection des systèmes techniques : ils doivent anticiper les erreurs Human et être résilients face aux pièges courants. Les identifiants statiques, tels que les mots de passe et les jetons d'authentification, sont insuffisants contre les attaquants qui exploitent les comportements Human prévisibles. Les systèmes de sécurité doivent intégrer la détection des anomalies comportementales pour signaler les activités suspectes.

Les clés privées stockées dans un emplacement unique et facilement accessible présentent un risque de sécurité majeur. La répartition du stockage des clés entre environnements hors ligne et en ligne limite la compromission de la clé complète. Par exemple, stocker une partie d'une clé sur un module de sécurité matériel tout en conservant une autre partie hors ligne renforce la sécurité en exigeant plusieurs vérifications pour un accès complet, réintroduisant ainsi les principes de l'authentification multifacteur dans la sécurité des Cryptomonnaie .

Mesures concrètes pour une approche de la sécurité centrée sur l'humain

Un cadre de sécurité complet centré sur l’humain doit traiter les vulnérabilités des Cryptomonnaie à plusieurs niveaux, avec des approches coordonnées à travers l’écosystème plutôt que des solutions isolées.

Pour les utilisateurs individuels, les solutions de portefeuille matériel restent la meilleure norme.Cependant, de nombreux utilisateurs préfèrent la commodité à la responsabilité en matière de sécurité., la deuxième meilleure solution est donc que les plateformes d'échange mettent en œuvre des pratiques issues de la Finance traditionnelle : des périodes d'attente par défaut (mais ajustables) pour les transferts importants, des systèmes de comptes à plusieurs niveaux avec différents niveaux d'autorisation et une formation à la sécurité contextuelle qui s'active à des points de décision critiques.

Les plateformes d'échange et les institutions doivent cesser de supposer une conformité parfaite des utilisateurs et concevoir des systèmes anticipant les erreurs Human . Cela commence par une reconnaissance explicite des composants et des processus qu'elles contrôlent et dont elles sont donc responsables de la sécurité.

Le déni ou l'ambiguïté des limites de responsabilité compromet directement les efforts de sécurité. Une fois cette responsabilité établie, les organisations doivent mettre en œuvre des analyses comportementales pour détecter les anomalies, exiger une autorisation multipartite pour les transferts de grande valeur et déployer des « coupe-circuits » automatiques limitant les dommages potentiels en cas de compromission.

De plus, la complexité des outils Web3 crée de vastes surfaces d'attaque. La simplification et l'adoption de modèles de sécurité établis permettraient de réduire les vulnérabilités sans compromettre les fonctionnalités.

Au niveau de l’industrie,Les régulateurs et les dirigeants peuvent établir des exigences normalisées en matière de facteurs Human dans les certifications de sécurité, mais il existe des compromis Entre innovation et sécurité. L'incident Bybit illustre l'évolution de l'écosystème des Cryptomonnaie , depuis ses débuts fragiles jusqu'à une infrastructure financière plus résiliente. Si les failles de sécurité persistent – ​​et persisteront probablement –, leur nature a évolué, passant de menaces existentielles susceptibles de détruire la confiance dans le concept de Cryptomonnaie à des défis opérationnels nécessitant des solutions d'ingénierie continues.

L'avenir de la cryptosécurité ne réside pas dans la poursuite de l'objectif impossible d'éliminer toute erreur Human , mais dans la conception de systèmes qui restent sécurisés malgré les inévitables erreurs Human . Cela nécessite d'abord de reconnaître les aspects du système qui relèvent de la responsabilité de l'organisation plutôt que de maintenir une ambiguïté susceptible de créer des failles de sécurité.

En reconnaissant les limites Human et en construisant des systèmes qui les prennent en compte, l’écosystème des Cryptomonnaie peut continuer à évoluer d’une curiosité spéculative vers une infrastructure financière robuste plutôt que de supposer une conformité parfaite avec les protocoles de sécurité.

La clé d'une cryptosécurité efficace sur ce marché en pleine maturité réside non pas dans des solutions techniques plus complexes, mais dans une conception plus réfléchie et centrée sur l'humain. En privilégiant des architectures de sécurité qui tiennent compte des réalités comportementales et des limites Human , nous pouvons bâtir un écosystème financier numérique plus résilient, capable de fonctionner en toute sécurité lorsque des erreurs Human se produisent.