Une vulnérabilité vient d'être réparée sur Bitcoin – Quelles auraient pu être les conséquences ?
Antoine Poinsot et Niklas Gögge ont récemment corrigé une vulnérabilité dans btcd, une implémentation de Bitcoin. Ce bug aurait pu permettre à des attaquants d'isoler certains nœuds du réseau. Cette mise à jour vise à renforcer la sécurité des nœuds btcd et à prévenir d'éventuels risques.
le 11 octobre 2024 à 10:00.
2 minutes de lecture
Acheter Bitcoin (BTC)
Partenaire Bitpanda
Une vulnérabilité qui aurait coûté cher aux utilisateurs de btcd
Antoine Poinsot et Niklas Gögge, 2 développeurs Bitcoin, ont récemment rapporté une vulnérabilité dans l'implémentation du logiciel Bitcoin « btcd ». Une exploitation de celle-ci par un acteur malveillant aurait pu permettre le vol de fonds et la double dépense de transactions.
🌐 Pour aller plus loin – Qu'est-ce que Bitcoin Core ?
Niklas Gögge (@dergoegge) and i just published the details of CVE-2024-38365.
Btcd didn't implement FindAndDelete correctly. An attacker could trigger this behaviour by using a standard P2SH transaction, forking off btcd nodes at virtually no cost.https://t.co/VOQd9kvQPi
— Antoine Poinsot (@darosior) October 10, 2024
« Niklas Gögge et moi [Antoine Poinsot] venons de publier les détails de la CVE-2024-38365. Btcd n'implémentait pas correctement la fonction FindAndDelete. Un attaquant pouvait exploiter ce comportement en utilisant une transaction P2SH standard, provoquant le fork des nœuds btcd à pratiquement aucun coût. »
Pour simplifier, les versions de btcd antérieures à 0.24.2 ne respectaient pas correctement certaines règles de consensus concernant la vérification des signatures des transactions sur le réseau Bitcoin.
Ledger : la meilleure solution pour protéger vos cryptomonnaies 🔒Qu'est-ce que Bitcoin risquait avec ce type d'attaque ?
Ainsi, ce bug pouvait être exploité pour générer des transactions valides sur Bitcoin Core (le logiciel principalement utilisé sur le réseau), mais invalides pour les nœuds utilisant une version vulnérable de btcd. Cela permettait à un attaquant de créer un fork, isolant ces nœuds vulnérables du reste du réseau via une attaque à très faible coût.
Nous avons discuté avec Antoine, qui a détaillé les risques d'une telle attaque :
« C'est-à-dire que le node pourrait refuser de suivre la chaîne principale. Ça pourrait avoir de sérieuses conséquences, car il ne serait plus à jour avec le réseau : il pourrait avoir envoyé une transaction qu'il voit comme non confirmée alors qu'elle l'est, où il pourrait avoir les fonds de son canal Lightning qui se font voler dans la chaîne principale sans qu'il ne puisse réagir. Pire encore, il pourrait accepter comme valide un bloc (ou une chaîne) invalide. »
Le rejet de la chaîne principale par les nœuds btcd aurait pu exposer leurs utilisateurs à des attaques de double dépense, acceptant un paiement sans que la transaction soit réellement validée par le reste du réseau.
📰 À lire également dans l'actualité – Les options sur les ETF Bitcoin spot devraient arriver d'ici le 1er trimestre 2025, selon un analyste de Bloomberg
En résumé, cette vulnérabilité permettrait à un attaquant d'isoler un nœud btcd du reste du réseau et d'exploiter cette situation pour potentiellement voler des fonds, simplement grâce à une transaction standard.
Cependant, l'attaque corrigée par Antoine Poinsot et Niklas Gögge aurait eu un impact limité sur le réseau Bitcoin, car elle concernait exclusivement l'implémentation btcd, qui est très peu utilisée, représentant environ 0,27 % des nœuds. D'autres implémentations existent, comme Bitcoin Knots de Luke Dashjr, elle aussi peu utilisée, représentant 0,71 % des nœuds.
L'implémentation la plus largement utilisée reste Bitcoin Core, utilisée par près de 99 % des nœuds. Une faille ou une vulnérabilité dans cette implémentation pourrait avoir des conséquences beaucoup plus graves pour l'ensemble de la blockchain, c'est également une implémentation largement surveillée par de nombreux développeurs de l'écosystème.
Trade Republic : acheter des cryptos et des actions en 5 minutesSources : CVE-2024-38365, Luke Dashjr
Recevez un récapitulatif de l'actualité crypto chaque jour par mail 👌
Ce qu’il faut savoir sur les liens d’affiliation. Cette page peut présenter des actifs, des produits ou des services relatifs aux investissements. Certains liens présents dans cet article peuvent être affiliés. Cela signifie que si vous achetez un produit ou que vous vous inscrivez sur un site depuis cet article, notre partenaire nous reverse une commission. Cela nous permet de continuer à vous proposer des contenus originaux et utiles. Il n'y a aucune incidence vous concernant et vous pouvez même obtenir un bonus en utilisant nos liens.
Les investissements dans les crypto-monnaies sont risqués. Cryptoast n'est pas responsable de la qualité des produits ou services présentés sur cette page et ne pourrait être tenu responsable, directement ou indirectement, par tout dommage ou perte causé suite à l'utilisation d'un bien ou service mis en avant dans cet article. Les investissements liés aux crypto-actifs sont risqués par nature, les lecteurs doivent faire leurs propres recherches avant d'entreprendre toute action et n’investir que dans les limites de leurs capacités financières. Cet article ne constitue pas un conseil en investissement.
Recommandations de l'AMF. Il n’existe pas de rendement élevé garanti, un produit présentant un potentiel de rendement élevé implique un risque élevé. Cette prise de risque doit être en adéquation avec votre projet, votre horizon de placement et votre capacité à perdre une partie de cette épargne. N’investissez pas si vous n’êtes pas prêt à perdre tout ou partie de votre capital.
Pour aller plus loin, lisez nos pages Situation Financière, Transparence du Média et Mentions Légales.
D'abord attiré par l'appât du gain, je suis maintenant piégé deep into the rabbit hole. Sans porte de sortie, je n'ai plus qu'à partager mes connaissances et transmettre la passion que j'ai pour Bitcoin. Je suis également le créateur d'Adopt a Block, un site éducatif dédié à Bitcoin.
Marius Farashi Tasooji
363 articles
