Chaque base de données est un point de défaillance, même lorsque le dépositaire n'est pas celui qui est attaqué.
L’auto-garde élimine dès la conception la dépendance à l’égard de tiers et réduit la surface d’attaque.
Cet article a été rédigé par Matías Mathey. L'auteur est diplômé en cryptoéconomie, est un expert universitaire en blockchain, DeFi, NFT et auto-conservation. De plus, il est conférencier chez {(₿)} Bitcoin.ar, éducateur chez Satoshi Bookstore (B4OS) et partenaire officiel de Liana Wallet (portefeuille pour les héritages).
_________________________________________________________________________________________________
La récente fuite de données chez Lemon, provenant de son fournisseur Mixpanel, met une fois de plus sur la table un problème que l'écosystème des crypto-monnaies continue de sous-estimer : la fragilité de la dépendance à des tiers pour la garde et la gestion de nos actifs numériques.
Même si dans ce cas aucun fonds ni mot de passe n’ont été dévoilés, les noms, prénoms et adresses e-mail des utilisateurs ont été compromis, soit suffisamment d’informations pour permettre des attaques d’ingénierie sociale très efficaces.
Pour ceux d'entre nous qui travaillent dans l'éducation et la conception de systèmes d'auto-garde, cet incident est un Cela montre plutôt quelque chose que nous répétons depuis des années : la véritable sécurité n'est pas laissée entre les mains de tiers..
Le risque silencieux que les données personnelles soient entre les mains de tiers
Même si les informations indiquent qu'aucune clé n'a été divulguée, mots de passe ni les mouvements financiers, l’exposition des données personnelles a de profondes conséquences.
Un email associé à une application financière permet à un attaquant de construire un message parfaitement crédible. Et aujourd'hui, le phishing (phishing) est plus dangereux que n'importe quelle ligne de code malveillant.
Les utilisateurs qui pensent avoir « simplement » divulgué leur courrier électronique sous-estiment le risque. La réalité est différente :
- Les attaquants peuvent envoyer des e-mails simulant une assistance technique.
- Ils peuvent demander une « vérification » des données ou des codes 2FA.
- Ils peuvent vous inciter à installer de fausses applications.
- Ils peuvent compromettre d’autres comptes utilisant la même adresse e-mail.
Les fuites ne volent pas de fonds : elles volent la confiance en soi de l’utilisateur, fragilisant ainsi l’un des piliers du Bitcoin : la souveraineté individuelle.
L’erreur structurelle : protéger l’endroit où vous opérez
L'éducation à la garde de soi commence par la compréhension que les échanges, fintechs et les prestataires de services ne sont pas des portefeuilles : ce sont des entreprises. Ils ont des employés, des fournisseurs, des serveurs, des intégrations, des tiers et des quatrièmes parties. Chacun de ces éléments est un vecteur d’attaque potentiel.
S’appuyer sur ces plateformes pour stocker des Bitcoins ou des informations sensibles non seulement accumule les risques, mais les concentre. Dans le cas de Lemon, trois liens ont été vus : Mixpanel + Lemon + User.
Quand on casse, c’est toute la chaîne qui est compromise. Ce modèle va dans le sens inverse du principe de conception de Bitcoin– Élimination des points de défaillance uniques.
L’auto-garde n’est pas un concept philosophique ou un idéal libertaire : c’est un modèle technique de sécurité. Un modèle dans lequel : Il n'y a pas de base de données centralisée avec vos informations.
Personne ne peut geler, censurer ou manipuler vos fonds. Vous ne dépendez pas de serveurs, d'entreprises ou de prestataires externes. Votre identité n'est pas associée à la possession de vos clés.
Lorsque vous contrôlez vos clés privées, la surface d’attaque se réduit à un seul élément : ce que l’on appelle point de défaillance uniquetoi-même. Et même si cela implique une responsabilité, cela implique aussi une liberté.
Les entreprises peuvent disposer d'audits, de politiques de sécurité, de cryptage des données et de fournisseurs robustes ; mais rien de tout cela ne change la nature du risque : si une base de données existe, il existe une possibilité de violation.
Les fuites continueront à se produire. Les changements dépendront de la manière dont elles vous affectent.
L’écosystème des cryptomonnaies n’évolue pas vers moins de fuites, mais vers des fuites plus sophistiquées. La chaîne de fournisseurs est de plus en plus étendue. Le volume de données augmente. L’incitation économique à attaquer est de plus en plus forte.
S’attendre à ce qu’aucun dépositaire ne fasse faillite est aussi irréaliste que de s’attendre à ce qu’aucune banque ne soit piratée, qu’aucune entreprise ne soit victime d’une violation ou qu’aucun employé ne commette une erreur humaine.
La différence est simple : si vous dépendez de gardiens, les erreurs de chacun vous affectent personnellement. Si vous utilisez l'auto-garde, l'erreur de quelqu'un d'autre ne peut pas affecter vos fonds ou vos clés.
Ce que l'écosystème devrait apprendre de cet incident
Les fournisseurs tiers sont tout aussi importants que le dépositaire principal. L'utilisateur sait rarement combien de systèmes ont un accès indirect à ses données.
La communication et la transparence sont essentielles. Les entreprises qui ne déclarent pas aggravent rapidement les dégâts. L'auto-garde est la seule véritable protection contre les événements systémiques. Il ne protège pas les e-mails, mais protège les actifs.
L'éducation à la sécurité n'est pas facultative. L'utilisateur doit apprendre à reconnaître hameçonnagefaux liens et e-mails suspects.
Conclusion : l'avenir n'est pas avec moins d'auto-garde, mais avec plus
Des incidents comme celui de Lemon ne devraient pas provoquer la panique, mais plutôt faire mûrir. Rappelez-nous que par exemple Bitcoin n'a pas été créé pour que nous laissions la responsabilité aux autresmais pour que nous puissions reprendre le contrôle de notre argent.
La garde de soi est exigeante, elle nécessite un apprentissage, oui. Mais c’est le seul outil qui fait de l’utilisateur le véritable propriétaire de ses actifs.
Et alors que le monde traditionnel de la finance et des cryptomonnaies ne cesse de démontrer qu’aucun tiers n’est infaillible, posséder ses clés n’est pas une recommandation technique : c’est un incontournable si vous souhaitez que vos bitcoins restent les vôtres.
Clause de non-responsabilité: Les points de vue et opinions exprimés dans cet article appartiennent à son auteur et ne reflètent pas nécessairement ceux de CriptoNoticias. L'avis de l'auteur est à titre informatif et ne constitue en aucun cas une recommandation d'investissement ou un conseil financier.