Selon Carjuzaa, près de 100 % des récentes attaques DeFi impliquaient l’IA.
Aujourd’hui, un auditeur n’est plus aussi pertinent, mais il suffit de transmettre le code via des outils d’IA, souligne Carjuzaa.
«Je pense que dans les mois à venir, cela va frapper très fort et nous allons le voir dans les gouvernements des pays du tiers monde, les hôpitaux, les armées, les commissariats de police, les PME, ça va être sauvage. Et cela s’accompagne peut-être d’une nouvelle vague de ransomwares. C'est ainsi que Maximiliano Carjuzaa, co-fondateur de Money On Chain (MOC), a décrit la multiplication des hacks et des attaques utilisant l'intelligence artificielle (IA) qu'il projette dans un avenir proche, notamment avec Mythos, un nouveau modèle d'IA développé par Anthropic.
Dans une interview exclusive avec CriptoNoticias, réalisée le 23 mai dans le cadre de la Bitcoin Week en Uruguay, l'avertissement de Carjuzaa intervient après l'enregistrement d'avril. au moins 34 piratages ayant entraîné des pertes d'environ 635 millions de dollarsun chiffre qui à la fin de ce mois représentait près de 80 % de tous les fonds volés en 2026.
Carjuzaa place l’IA comme le facteur dominant de cette accélération :
Je crois que près de 100 % des attaques que nous avons vues au cours des deux derniers mois sont menées en utilisant plus ou moins l'IA, soit pour découvrir comment attaquer, pour coder le contrat intelligent ou la transaction qui sera l'attaque.
Maximiliano Carjuzaa, co-fondateur de Money On Chain.
Carjuzaa a ajouté une dimension sur l'étendue du risque du nouveau modèle d'Anthropic : « Mythos a trouvé des milliers de vulnérabilités zero-day dans les navigateurs, les systèmes d'exploitation, ce n'est donc pas DeFi qui est exposé, C'est le monde qui est exposé ». Une vulnérabilité Zero Day est une faille inconnue du fabricant du logiciel concerné, ce qui signifie qu'aucun correctif n'est disponible au moment où elle est découverte ou exploitée.
Cependant, contrairement à ce qui s'est passé avec Anthropic's Mythos, que l'entreprise a lancé en version test à quelques entreprises (Google, JPMorgan, Microsoft, entre autres), Carjuzaa a soutenu que « ce qui s'est passé en avril, c'est que l'intelligence artificielle (le reste des modèles Anthropic, OpenAI, Gemini, Grok, entre autres), étant accessible à tous, a pris par surprise la plupart des projets… Les développeurs n'avaient aucune marge de manœuvre pour les choses qu' »ils avaient déjà déployées ».
L’échec que cinq audits n’ont pas constaté
L’IA n’est pas seulement du côté de l’attaque. Carjuzaa a également signalé que c'était précisément un outil de ce type qui avait trouvé une vulnérabilité dans MOC qui avait survécu à cinq audits de sécurité humaine et à sept années de production.
L'attaque pourrait être menée sur une partie du logiciel qui avait passé cinq audits, qui était en production depuis 5 ans, qui avait été examinée par des milliers de hackers… et quand nous l'avons découvert, non, nous ne pouvions pas croire que l'IA aurait eu la capacité de faire les 5 500 tours en l'air qu'il fallait faire.
Maximiliano Carjuzaa, co-fondateur de Money On Chain.
La vulnérabilité en question n'est pas exploitable dans des conditions normales, a déclaré Carjuzaa, qui a également estimé que la probabilité que ces conditions se produisent il en fallait un sur dix millions.
L'ensemble du processus, de la détection au diagnostic complet, a pris environ une minute avec un outil d'IA OpenAI et un système de développement de contrats intelligents :
Vous pouvez le faire en une minute en téléchargeant l'outil et en disant : « Regardez ce référentiel pour voir où je peux l'attaquer ». Et en une minute, vous avez le rapport indiquant comment, quelles conditions doivent être remplies et comment mener l'attaque.
Maximiliano Carjuzaa, co-fondateur de Money On Chain.
Après la découverte, l'équipe a arrêté le protocole pour la première fois en sept ans, pour des raisons de sécurité, a rendu public ce qui s'était passé, a corrigé la faille et a relancé le système. MOC est un protocole de finance décentralisée (DeFi) construit sur Rootstock (RSK), la sidechain de Bitcoin.
Le temps comme seul véritable indicateur de sécurité
L'expérience du MOC a conduit Carjuzaa à reformuler l'équation d'audit de son protocole. «Avant, les protocoles dépensaient plus d'argent en audit qu'en développement. Aujourd’hui, cette équation change complètement. Aujourd'hui, il n'est plus si pertinent d'avoir un auditeur qui examine votre code, mais plutôt que vous avez transmis le code à travers tous ces outils d'intelligence artificielle«.
Le temps passé par l'équipe à réfléchir à la manière dont nous pouvons interrompre le projet par rapport au temps que nous passons à le construire devrait être de 9 contre 1.
Maximiliano Carjuzaa, co-fondateur de Money On Chain.
Et même avec les outils disponibles, le co-fondateur de MOC soutient que l'indicateur de sécurité le plus fiable reste le temps d'exposition réelle : « Ce qui donne le plus de sécurité à un protocole, c'est le temps. Lorsque vous avez utilisé un logiciel pendant des mois, des années, et que vous savez déjà que tout le monde a essayé de tout mettre en œuvre et n'a pas pu le casser, eh bien, d'accord, dans ce protocole, il est dit que vous pouvez avoir confiance.
La tension que cet ensemble laisse ouverte est la même que celle qui traverse tout l’écosystème : les outils qui permettent aux équipes de sécurité de trouver leurs propres failles avant d’être attaquées sont les mêmes que ceux que les attaquants utilisent déjà. La vitesse d’adoption des deux côtés est, pour l’instant, la variable qui définit qui arrive en premier.