Une étude USENIX quantifie les pertes dues à l’utilisation abusive d’adresses dans Ethereum et BNB Chain à 574,8 millions de dollars, un modèle d’erreurs et d’abus dans la gestion des adresses qui se développe silencieusement.
Faites de nous votre source préférée sur
gsoitsoitgjeet
Une étude universitaire présentée au forum de sécurité USENIX a quantifié pour la première fois l'impact de remédier aux abusune série d’erreurs et d’abus dans la gestion des adresses de crypto-monnaie qui auraient coûté environ 574,8 millions de dollars en Ether (ETH) et en BNB. La recherche attribue un chiffre à un problème qui est généralement caché parmi les hacks majeurs, mais qui affecte silencieusement à la fois les utilisateurs et les contrats intelligents.
Le terme, que l'on pourrait traduire par « abus d'adresses », regroupe les situations dans lesquelles les fonds se retrouvent à de mauvaises adresses, contrôlés par des attaquants ou tout simplement irrécupérables. Il ne s’agit pas toujours d’un vol classique : dans de nombreux cas, le capital est perdu en raison de défauts de conception, d’adresses générées de manière non sécurisée ou de transactions dirigées vers des destinations que personne ne contrôle.
Ce que révèle l’étude sur l’utilisation abusive d’adresses
Les chercheurs ont analysé le comportement sur les deux réseaux les plus actifs en termes de volume de valeur déplacée, Ethereum et BNB Chain, pour suivre comment et où cette fuite de fonds se produit. La somme de 574,8 millions de dollars correspond à la valeur ajoutée détectée dans les deux chaînes, répartie entre différents types d'incidents liés à l'utilisation abusive d'adresses.
Parmi les modèles documentés figurent des adresses faiblement générées – où une clé privée peut être déduite ou entrée en collision –, l'envoi à des adresses « brûlées » ou sans propriétaire, et des techniques d'usurpation d'identité dans lesquelles un attaquant incite la victime à copier une adresse presque identique à l'adresse légitime. Cette dernière méthode, connue sous le nom lutter contre l'empoisonnementest devenue courante : l'escroc insère dans l'historique des transactions de la victime des mouvements de montants minimaux provenant d'une adresse similaire, en espérant que la personne copiera la mauvaise lors du paiement.
La conclusion sous-jacente est inconfortable pour l’industrie : une bonne partie de ces pertes ne répondent pas à des vulnérabilités exotiques, mais à des faiblesses connues dans la manière dont les adresses sont créées, affichées et vérifiées. Le lien humain, ajouté aux interfaces affichant de longues chaînes de caractères difficiles à auditer à l’œil nu, amplifie le risque.
Pourquoi c'est important pour les utilisateurs d'ETH et de BNB
Ce chiffre place l’utilisation abusive d’adresses dans le même ordre de grandeur que certains des plus grands incidents de sécurité de l’année, même si sa nature dispersée la rend moins visible. Contrairement à un exploit ponctuel contre un protocole, les pertes s'accumulent ici goutte à goutte sur des milliers de transactions, ce qui rend difficile la détection et la récupération des fonds.
Pour ceux qui négocient des ETH ou des BNB, les implications sont pratiques. Vérifier l'adresse complète avant l'envoi, ne pas copier les destinations de l'historique des transactions et s'appuyer sur des listes de contacts ou des noms de domaine vérifiables réduit considérablement l'exposition à ces techniques. Les attaques d’usurpation d’identité fonctionnent précisément parce qu’elles exploitent l’habitude de vérifier uniquement le premier et le dernier caractères.
L’étude interroge également les échanges et les portefeuilles. La conception de l'interface, les alertes pour les adresses jamais utilisées auparavant et les contrôles sur les transferts de montant nul peuvent atténuer une grande partie du problème sans modifier le protocole de base.
Un problème de sécurité récurrent
Cette découverte s'ajoute à une série de rapports qui ont insisté cette année sur le facteur humain et sur les fuites silencieuses de capitaux au sein du secteur. Des enquêtes récentes ont tout documenté, depuis les vols liés à des portefeuilles physiques d'une valeur d'environ 150 millions de dollars en Bitcoin jusqu'aux campagnes d'ingénierie sociale opérant sur des plateformes professionnelles, comme les escroqueries cryptographiques sur LinkedIn que les autorités de Singapour ont estimées à 11,8 millions de dollars.
Le schéma commun est clair : à mesure que l’infrastructure réseau se durcit, les attaquants migrent vers le point le plus vulnérable, qui est généralement l’utilisateur et son interaction quotidienne avec les outils. L’abus d’adresse s’inscrit dans cette tendance, car il ne nécessite pas de casser la cryptographie sous-jacente ou de violer un contrat : il suffit de profiter d’un oubli ou d’une mauvaise configuration.
Les auteurs de l'article suggèrent que la communauté devrait traiter la gestion des adresses comme une surface d'attaque de premier ordre, avec des normes de génération et de validation de clés plus strictes au niveau de la couche application. Tant que ces pratiques ne se généralisent pas, l'avertissement sous-jacent demeure : dans les réseaux où une transaction est irréversible, un seul caractère erroné peut entraîner la perte définitive des fonds.