Les leçons du piratage de Bybit

La récente violation de sécurité pour environ 1,5 milliard de dollars à Bybit, la deuxième plus grande bourse de crypto-monnaie au monde en termes de volume commercial, a envoyé des ondulations via la communauté des actifs numériques. Avec 20 milliards de dollars d’actifs clients sous garde, ByBit a fait face à un défi important lorsqu’un attaquant a exploité des contrôles de sécurité lors d’un transfert de routine d’un portefeuille « froid » à un portefeuille « chaud » utilisé pour le trading quotidien.

Les premiers rapports suggèrent que la vulnérabilité impliquait une implémentation Web3 locale à l’aide de Gnosis Safe – un portefeuille multi-signature qui utilise des techniques de mise à l’échelle hors chaîne, contient une architecture mise à niveau centralisée et une interface utilisateur pour la signature. Le code malveillant déployé à l’aide de l’architecture améliorable a fait ce qui ressemblait à un transfert de routine en fait un contrat modifié. L’incident a déclenché environ 350 000 demandes de retrait alors que les utilisateurs se précipitaient pour sécuriser leurs fonds.

Bien que considérable en termes absolus, cette violation – estimée à moins de 0,01% de la capitalisation boursière totale de la crypto-monnaie – montre comment ce qui aurait été une crise existentielle est devenu un incident opérationnel gérable. L’assurance rapide de Bybit que tous les fonds non récupérés seront couverts par ses réserves ou ses prêts partenaires illustre encore sa maturation.

Depuis la création des crypto-monnaies, l’erreur humaine – et non les défauts techniques dans les protocoles de blockchain – a toujours été la principale vulnérabilité. Nos recherches examinant plus d’une décennie de violations majeures de crypto-monnaie montrent que les facteurs humains ont toujours dominé. Rien qu’en 2024, environ 2,2 milliards de dollars ont été volés.

Ce qui est frappant, c’est que ces violations continuent de se produire pour des raisons similaires: les organisations ne sécurissent pas les systèmes parce qu’ils ne reconnaîtront pas explicitement la responsabilité d’eux, ou s’appuient sur des solutions sur mesure qui préservent l’illusion que leurs exigences sont particulièrement différentes des cadres de sécurité établis. Ce modèle de réinventure des approches de sécurité plutôt que d’adapter des méthodologies prouvées perpétue les vulnérabilités.

Bien que les technologies de la blockchain et des cryptographies se soient révélées cryptographiquement robustes, le maillon le plus faible de la sécurité n’est pas la technologie mais l’élément humain interfaçant avec elle. Ce modèle est resté remarquablement cohérent des premiers jours de la crypto-monnaie aux environnements institutionnels sophistiqués d’aujourd’hui et fait écho aux préoccupations de cybersécurité dans d’autres domaines – plus traditionnels -.

Ces erreurs humaines incluent la mauvaise gestion des clés privées, où la perte, la mauvaise gestion ou l’exposition des clés privées compromet la sécurité. Les attaques d’ingénierie sociale restent une menace majeure car les pirates manipulent les victimes pour divulguer des données sensibles par le phishing, l’identité et la tromperie.

Solutions de sécurité centrées sur l’homme

Les solutions purement techniques ne peuvent pas résoudre ce qui est fondamentalement un problème humain. Bien que l’industrie ait investi des milliards dans des mesures de sécurité technologique, il a relativement peu été investi dans la lutte contre les facteurs humains qui permettent systématiquement les violations.

Un obstacle à une sécurité efficace est la réticence à reconnaître la propriété et la responsabilité des systèmes vulnérables. Les organisations qui ne définissent clairement pas ce qu’elles contrôlent – ou insistent sur le fait que leur environnement est trop unique pour que les principes de sécurité établis s’appliquent – créent des angles morts que les attaquants exploitent facilement.

Cela reflète ce que l’expert en sécurité Bruce Schneier a appelé une loi de sécurité: les systèmes conçus isolément par des équipes convaincus de leur caractère unique contiennent presque invariablement des vulnérabilités critiques que les pratiques de sécurité établies auraient abordées. Le secteur des crypto-monnaies est tombé à plusieurs reprises dans ce piège, reconstruisant souvent des cadres de sécurité à partir de zéro plutôt que d’adapter des approches éprouvées des finances traditionnelles et de la sécurité de l’information.

Un changement de paradigme vers la conception de la sécurité centrée sur l’homme est essentiel. Ironiquement, tandis que la finance traditionnelle est passée de l’authentification multi-facteurs (MFA), la crypto-monnaie précoce a simplifié la sécurité à l’authentification à facteur unique via des clés privées ou des phrases de semences sous le voile de la sécurité par le cryptage seul. Cette simplification excessive était dangereuse, conduisant à la vitesse de l’industrie de diverses vulnérabilités et exploits. Des milliards de dollars de pertes plus tard, nous arrivons aux approches de sécurité les plus sophistiquées sur lesquelles la finance traditionnelle a réglé.

Les solutions modernes et la technologie réglementaire devraient reconnaître que l’erreur humaine est des systèmes inévitables et des systèmes de conception qui restent en sécurité malgré ces erreurs plutôt que de supposer une conformité humaine parfaite aux protocoles de sécurité. Surtout, la technologie ne modifie pas les incitations fondamentales. La mise en œuvre comporte des coûts directs et l’éviter des risques de réputation.

Les mécanismes de sécurité doivent évoluer au-delà de la simple protection des systèmes techniques pour anticiper les erreurs humaines et être résilient contre les pièges communs. Les informations d’identification statiques, telles que les mots de passe et les jetons d’authentification, sont insuffisants contre les attaquants qui exploitent un comportement humain prévisible. Les systèmes de sécurité doivent intégrer la détection des anomalies comportementales pour signaler les activités suspectes.

Les clés privées stockées dans un seul emplacement facilement accessible pose un risque de sécurité majeur. La division du stockage de clés entre les environnements hors ligne atténue les compromis en pleine clé. Par exemple, le stockage d’une partie d’une clé sur un module de sécurité matérielle tout en gardant une autre partie hors ligne améliore la sécurité en nécessitant plusieurs vérifications pour un accès complet – réintroduire les principes d’authentification multi-facteurs à la sécurité des crypto-monnaies.

Étapes exploitables pour une approche de sécurité centrée sur l’homme

Un cadre de sécurité complet axé sur l’homme doit aborder les vulnérabilités des crypto-monnaies à plusieurs niveaux, avec des approches coordonnées à travers l’écosystème plutôt que des solutions isolées.

Pour les utilisateurs individuels, les solutions de portefeuille matérielle restent la meilleure norme. Cependant, de nombreux utilisateurs préfèrent la commodité à la responsabilité de la sécurité, donc le deuxième meilleur est pour les échanges de mettre en œuvre des pratiques de la finance traditionnelle: par défaut (mais ajusté) des périodes d’attente pour les transferts importants, des systèmes de comptes à plusieurs niveaux avec différents niveaux d’autorisation et une éducation de sécurité sensible au contexte qui s’active aux points de décision critiques.

Les échanges et les institutions doivent passer de la conformité parfaite des utilisateurs à la conception de systèmes qui anticipent l’erreur humaine. Cela commence par reconnaître explicitement les composants et les processus qu’ils contrôlent et sont donc responsables de la sécurisation.

Le déni ou l’ambiguïté concernant les limites de la responsabilité compromet directement les efforts de sécurité. Une fois cette responsabilité établie, les organisations devraient mettre en œuvre l’analyse comportementale pour détecter les modèles anormaux, nécessiter une autorisation multipartite pour les transferts de grande valeur et déployer des «disjoncteurs» automatiques qui limitent les dommages potentiels s’ils sont compromis.

De plus, la complexité des outils Web3 crée de grandes surfaces d’attaque. La simplification et l’adoption de modèles de sécurité établis réduiraient les vulnérabilités sans sacrifier les fonctionnalités.

Au niveau de l’industrie, les régulateurs et les dirigeants peuvent établir des exigences de facteurs humains standardisés dans les certifications de sécurité, mais il existe des compromis entre l’innovation et la sécurité. L’incident du recours illustre comment l’écosystème de la crypto-monnaie est passé de ses fragiles tôt à une infrastructure financière plus résiliente. Alors que les violations de sécurité se poursuivent – et le feront probablement toujours – leur nature est passée par rapport aux menaces existentielles qui pourraient détruire la confiance dans la crypto-monnaie en tant que concept aux défis opérationnels qui nécessitent des solutions d’ingénierie en cours.

L’avenir de la cryptosécurité ne réside pas dans la poursuite de l’objectif impossible d’éliminer toutes les erreurs humaines mais dans la conception de systèmes qui restent en sécurité malgré des erreurs humaines inévitables. Cela nécessite d’abord de reconnaître quels aspects du système relèvent de la responsabilité d’une organisation plutôt que de maintenir l’ambiguïté qui conduit à des lacunes de sécurité.

En reconnaissant les limitations humaines et les systèmes de construction qui les accueillent, l’écosystème de la crypto-monnaie peut continuer à évoluer de la curiosité spéculative à des infrastructures financières robustes plutôt qu’à assumer une conformité parfaite aux protocoles de sécurité.

La clé de la cryptosécurité efficace dans ce marché à maturation ne réside pas dans des solutions techniques plus complexes mais dans une conception plus réfléchie centrée sur l’homme. En priorisant les architectures de sécurité qui tiennent compte des réalités comportementales et des limitations humaines, nous pouvons créer un écosystème financier numérique plus résilient qui continue de fonctionner en toute sécurité lorsque les erreurs humaines se produisent.