Sécurité dans les contrats intelligents et bugs Web2 : le grand dilemme des protocoles

Après une longue période de vulnérabilité, la blockchain a évolué pour renforcer considérablement les modalités de sécurité des smart contracts. La maturité du secteur est évidente, ce qui laisse peu de possibilités aux hackers lorsqu’il s’agit d’attaquer les codes. Pourquoi les vols continuent-ils dans le secteur Web3 ?

Une enquête récente de Sentora aborde ce phénomène et passe en revue les nouvelles tendances chez les cybercriminels. L'ouvrage montre quelques exemples de la manière dont les attaquants modifient leurs principaux objectifs lorsqu'ils attaquent une plateforme. En ne pouvant pas violer le contrats intelligentsles pirates s’attaquent aux maillons faibles de cette chaîne.

Les points faibles des plateformes sont les humains et leurs erreurs communes, ainsi que l’ensemble du framework lié au Web2.

L'évolution de la sécurité dans les contrats intelligents

La fin de l’ère des bugs de code marque un pas fondamental dans le processus évolutif de la blockchain. Lors du boom de la finance décentralisée (DeFi) en 2021, les protocoles se sont précipités pour lancer pour profiter de l'exposition à un marché en croissance rapide.

L'improvisation, la précipitation et le manque d'expérience des développeurs ont abouti à des codes chargés de vulnérabilités logiques. Il s’agissait notamment d’erreurs d’arrondi et de rentrée, qui ont coûté des milliards de dollars aux investisseurs.

Début 2026, on peut affirmer sans se tromper que cette époque est déjà révolue. Le rapport susmentionné met en évidence des éléments tels que la standardisation des bibliothèques open source comme OpenZeppelin, l'adoption massive d'audits rigoureux et le recours à la vérification formelle, qui ont protégé le cœur technique des projets.

Désormais, les développeurs n'opèrent pas aveuglément, mais utilisent des blocs éprouvés et qui peuvent désormais être considérés comme impénétrables. Cette nouvelle ère de sécurité des contrats intelligents oblige les pirates informatiques à abandonner l’analyse de ces codes pour rechercher des faiblesses ailleurs dans ce processus.

Mais ce qui est clair, c'est que contrats intelligents Ils ne constituent plus le maillon faible de la chaîne, mais plutôt son fondement le plus solide.

Le nouvel épicentre du « OpSec Gap » ou des failles de sécurité

Comme mentionné ci-dessus, le «Écart OpSec» qui sont désormais dans la ligne de mire des hackers sont les erreurs humaines et l'infrastructure Web2. Les chiffres présentés dans le rapport Sentora confirment pleinement ce changement de cap des assaillants.

Par exemple, ils soulignent qu’en 2025, environ 70 % des pertes n’étaient pas liées à des défaillances du secteur. contrats intelligentsmais dans les failles de sécurité traditionnelles.

Les principaux vecteurs de pertes étaient les attaques d’ingénierie sociale (phishing), le vol de clés privées et les vulnérabilités des portefeuilles multi-signatures (multisig).

Quelques exemples de violations

L'ouvrage met en évidence certains cas qui montrent clairement que l'épicentre des attaques s'est déplacé du Web3 vers le Web2. Il s’agit d’incidents dans lesquels le vol a laissé derrière lui des codes techniquement solides, mais des erreurs causées par des facteurs externes.

Parmi les exemples les plus connus, on peut citer :

• Cas du groupe Lazarus (ingénierie sociale) : Une tendance intéressante à partir de 2025 est la façon dont certains groupes comme Lazarus ont cessé de rechercher des problèmes dans les codes pour se concentrer sur les employés clés de certains protocoles. Par exemple, ils envoient des liens via LinkedIn avec des logiciels malveillants qui, une fois ouverts, permettent d'accéder aux ordinateurs des employés.
• Attaques d’interface (Front-end Hijacking) : Des cas sont cités où le contrat intelligent était sécurisé à 100 %, mais les pirates ont réussi à compromettre le serveur Web du protocole. Ce faisant, ils ont injecté du code malveillant dans le bouton « Connect Wallet ». L'utilisateur pensait interagir avec le protocole réel, mais en réalité, il envoyait ses fonds directement dans le portefeuille de l'attaquant.
• Engagement de gouvernance (Multisig) : Le rapport met en évidence des incidents où l'attaque n'était pas technique, mais logistique : les pirates ont pris le contrôle de la majorité des signatures nécessaires (par exemple, 3 clés sur 5) dans un portefeuille multisig en volant les informations d'identification des administrateurs, leur permettant d'autoriser « légalement » le retrait de tous les fonds.

La contradiction qui émane de la maturité

Le rapport souligne qu’il existe un paradoxe particulièrement frappant dans ce nouvel environnement. D’une part, cela met en évidence le fait que les pirates sont rusés et flexibles, ce qui leur permet de se déplacer pour trouver le point faible. C’est le point négatif qui suscite l’inquiétude.

Mais cela se heurte au point positif lié à l’évolution du Web3. La technologie Blockchain démontre que la sécurité des contrats intelligents peut atteindre un état proche de la perfection. Cela va à tel point que des géants du piratage comme Lazarus choisissent de se tourner vers le Web2 pour éviter de perdre du temps à chercher des failles dans le Web3.

Les recommandations du rapport pour parvenir à une sécurité globale

Comme cela devient évident, la robustesse du Web3 n’est pas suffisante pour garantir la sécurité des fonds des utilisateurs des plateformes DeFi. Désormais une réalité équivalente à celle de renforcer la porte avec de l'acier et en même temps laisse la fenêtre ouverte.

En ce sens, le rapport Sentora recommande certaines étapes essentielles pour générer un climat de sécurité global qui remplace l’unilatéralisme actuel. Ces étapes sont résumées dans :

• Focus sur la sécurité opérationnelle (OpSec) : Les établissements devraient mettre en œuvre des contrôles de gestion clés plus stricts.
• Formation des utilisateurs : Le facteur humain étant désormais l’objectif principal, la protection doit se concentrer sur la prévention du phishing et de la fraude sociale.
• Surveillance en temps réel : Utiliser des outils de gestion des risques pour détecter les anomalies avant qu’une compromission clé ne vide les fonds.

Évaluation des risques et stratégies

La transition des menaces du code vers l’infrastructure opérationnelle nécessite un changement radical dans la gestion des risques en 2026. L’évaluation des risques ne devrait plus se limiter à un audit statique des contrats intelligents. Il est désormais impératif de mener des audits OpSec qui identifient les vulnérabilités dans la conservation des clés et l'accès aux serveurs, indique le rapport.

La stratégie centrale doit être basée sur le principe de moindre privilège et la décentralisation de la gouvernance, empêchant l’engagement d’un seul individu de mettre en échec l’ensemble du protocole.

En rapport