La plateforme de trading de crypto-monnaie basée à Londres, Wintermute, a vu les cyberattaquants décoller avec 160 millions de dollars cette semaine, probablement en raison d'une faille de sécurité découverte dans le code d'un partenaire. Selon les chercheurs, cet incident met en évidence de profondes inquiétudes quant à la mise en œuvre de la sécurité dans ce secteur financier.

Le fondateur et PDG de Wintermute, Evgeny Gaevoy, a déclaré sur Twitter que le braquage visait la branche finance décentralisée (DeFi) de l'entreprise et que même si l'incident pourrait perturber certaines opérations « pendant quelques jours », l'entreprise n'est pas existentiellement impactée.

« Nous sommes solvables avec deux fois plus de fonds propres restants » il tweeted. « Si vous avez un accord [de gestion d'argent] avec Wintermute, vos fonds sont en sécurité. Il y aura une interruption de nos services aujourd’hui et potentiellement dans les prochains jours et nous reviendrons à la normale par la suite. »

Il a également déclaré qu’environ 90 actifs avaient été touchés et a fait appel au coupable : « Nous sommes (toujours) disposés à traiter cela comme un [incident] de type chapeau blanc, donc si vous êtes l’attaquant, contactez-nous. »

Pendant ce temps, il expliquait à Forbes que le commentaire « chapeau blanc » signifie que Wintermute offre une « prime aux bugs » de 16 millions de dollars si le cyberattaquant restitue les 144 millions de dollars restants.

Rempli de grossièretés

Il a également déclaré au média que le vol remonte probablement à un bug dans un service appelé Profanity, qui permet aux utilisateurs d'attribuer un identifiant à leurs comptes de crypto-monnaie (normalement, les noms de compte sont constitués de longues chaînes de lettres et de chiffres charabia). La vulnérabilité, divulgué la semaine dernière, permet aux attaquants de découvrir les clés utilisées pour chiffrer et ouvrir les portefeuilles Ethereum générés avec Profanity.

Wintermute utilisait 10 comptes générés par Profanity pour effectuer des transactions rapides dans le cadre de son activité DeFi, selon Forbes. Les réseaux DeFi connectent diverses blockchains de crypto-monnaie pour créer une infrastructure décentralisée pour l'emprunt, le commerce et d'autres transactions. Lorsque la nouvelle du bug a été annoncée, la société de cryptographie a tenté de mettre les comptes hors ligne, mais en raison d'une « erreur humaine », l'un des 10 comptes est resté vulnérable et a permis aux attaquants d'accéder au système, a déclaré Gaevoy.

"Certaines de ces technologies [DeFi] impliquent également des intégrations et des connexions tierces où l'entreprise peut ne pas avoir la capacité de contrôler le code source, ce qui entraîne un risque supplémentaire pour l'entreprise", a déclaré Karl Steinkamp, ​​directeur de Coalfire, à Dark Reading. "Dans ce cas, un fournisseur d'adresses numériques personnalisées, Profanity, a été exploité dans l'attaque… Une erreur coûteuse et évitable pour Wintermute."

Les échanges DeFi deviendront une cible

Les analystes de Bishop Fox ont découvert plus tôt cette année que Les plateformes DeFi ont perdu 1.8 milliard de dollars aux cyberattaques rien qu’en 2021. Avec un total de 65 événements observés, 90 % des pertes proviennent d'attaques peu sophistiquées, selon le rapport, qui souligne le difficulté à verrouiller le secteur, qui repose sur des transactions automatisées.

Et le mois dernier, le FBI a publié un avertissement que les cybercriminels exploitent de plus en plus les vulnérabilités des plateformes DeFi pour voler des crypto-monnaies, à hauteur de 1.3 milliard de dollars récupérés entre janvier et mars 2022 seulement.

Les chercheurs notent que l’adoption accrue et l’appréciation des prix des actifs numériques ont attiré et continueront d’attirer l’attention des individus malveillants – tout comme le laxisme en matière de sécurité dans le domaine DeFi.

« Beaucoup de ces entreprises connaissent une croissance si rapide que l'acquisition de clients est leur objectif principal », déclare Mike Puterbaugh, directeur marketing chez Pathlock. « Si la sécurité interne et les contrôles d’accès sont secondaires pour « croître à tout prix », il y aura des failles dans la sécurité des applications qui seront exploitées. »

Les obstacles au renforcement de la sécurité DeFi sont nombreux ; Le chef de Wintermute a souligné qu’il était difficile de trouver les outils appropriés.

"Vous devez signer des transactions à la volée, en quelques secondes", a déclaré Gaevoy à Forbes, ajoutant que Wintermute a dû créer ses propres protocoles de sécurité en raison du manque d'outils. Il a également admis que Profanity n’offrait pas d’authentification multifacteur, mais la société a quand même décidé d’utiliser le service. « En fin de compte, c’est le risque que nous avons pris. C’était calculé», a-t-il ajouté.

Steinkamp note : « En fonction de l'architecture de la plate-forme DeFi, leur sécurisation peut présenter de multiples défis. Ceux-ci peuvent aller du risque provenant de tiers aux bogues de pont cryptographique, en passant par l’erreur humaine et le manque de développement de logiciels sécurisés, pour n’en nommer que quelques-uns.

Et Puterbaugh souligne que même avec des contrôles et des configurations prêts à l'emploi activés, les personnalisations et les intégrations pourraient créer des faiblesses dans la sécurité globale.

Meilleures pratiques pour renforcer la sécurité DeFi

Malgré les défis, il existe néanmoins des approches exemplaires que les plateformes DeFi devraient mettre en œuvre.

Par exemple, Puterbaugh préconise la mise en œuvre de contrôles d'accès à chaque nouveau déploiement d'application, ainsi que de vérifications continues des conflits d'accès ou des vulnérabilités des applications, comme élément clé, en particulier lorsqu'il s'agit de monnaie numérique facilement portable.

En outre, « les entreprises de l’espace DeFi doivent régulièrement effectuer des tests internes et externes de leurs plates-formes pour s’assurer en permanence qu’elles atténuent les menaces de manière proactive », selon Steinkamp. Il ajoute que les entreprises devraient également mettre en œuvre des mesures de sécurité renforcées supplémentaires dans le cadre de la sécurité transactionnelle, notamment l'authentification multifactorielle et les déclencheurs d'alertes sur les transactions suspectes et/ou malveillantes.

Chaque couche est utile, ajoute-t-il. « À quoi préféreriez-vous essayer d’accéder : une maison avec la porte ouverte ou un château avec des douves et un pont-levis ? il dit. "Les sociétés DeFi continueront d'être des cibles privilégiées des cyber-voleurs jusqu'à ce qu'elles mettent en œuvre des contrôles de sécurité et de processus adéquats pour rendre les attaques sur leurs plates-formes moins attrayantes."