Avertissement du réseau Bitcoin : Les développeurs trouvent près de 5 000 vulnérabilités
Des développeurs bénévoles ont signalé 4 962 problèmes de sécurité dans 390 projets Bitcoin en environ 30 heures. Parmi les 391 bases de code qu'ils ont examinées, une seule est revenue propre.
Le groupe se nomme le Bitcoin Red Team. Il a classé 720 de ces problèmes comme élevés ou critiques. Seuls 147 ont atteint les mainteneurs qui doivent les corriger.
Un problème sur 7 est sérieux
La répartition de la gravité est plus étroite que ne le suggère le total brut. Les examinateurs ont enregistré 85 problèmes critiques et 635 problèmes élevés.
Cela représente 14,5 % de tout ce qui a été signalé. Le reste se trouve dans des catégories moyennes, faibles ou informatives. 246 autres problèmes n'ont pas de label de gravité du tout.
La qualité des preuves varie également. Environ 21,4 % étaient accompagnées d'un code de preuve de concept fonctionnel. Environ 91 % sont arrivés par le biais de scans automatisés. Les examinateurs n'ont retiré que huit comme faux positifs.
Suivez-nous sur X pour obtenir les dernières nouvelles au fur et à mesure qu'elles se produisent
Une heure a produit 83 % des problèmes
Le cadre de 30 heures nécessite une mise en garde. Une seule heure a absorbé 4 101 problèmes. Ce pic était un complément, pas un scan en direct. Rob Hamilton, directeur général de l'assureur Bitcoin AnchorWatch, a effectué sa propre révision avant le début officiel de la campagne.
Il a déclaré avoir dépensé plus de 10 000 $ pour scanner plus de 100 bibliothèques.
En retirant le pic, le rythme change radicalement. Environ 840 problèmes ont été reçus au cours des 29 autres heures. Cela est plus proche de 29 par heure que des 166,3 annoncés dans le rapport.
Les points de données s'éloignent des portefeuilles matériels
La répartition par catégorie réserve une surprise. Les portefeuilles matériels et le firmware, groupe auquel appartient Coldcard, se classent au deuxième rang le plus bas pour les défauts graves à 9,6%.
D'autres secteurs s'en sont moins bien sortis. Les pools de minage ont atteint 21,7%, l'infrastructure et les outils 21,5%, et les échanges et swaps 20,9%. Les outils de confidentialité ont dominé le tableau à 24%, bien que les évaluateurs n'en aient couvert que trois.
Les bibliothèques crypto ont pris le relais. Elles ont produit 1 385 constatations à travers 128 projets, plus d'un quart du corpus.
Calle, le physicien pseudonyme qui a créé le protocole Cashu ecash, a déclaré que les mainteneurs confirment les pires rapports.
La plupart des rapports critiques que nous avons établis jusqu'à présent ont été rapidement vérifiés par les propriétaires de projets. Nous savons que nous touchons de vraies cibles,” ont-ils écrit.
Pourquoi l'équipe rouge s'est formée après Coldcard
Le balayage a commencé à cause d'une puce défectueuse. Coinkite a révélé le 30 juillet que la génération de clés sur les appareils Coldcard affectés était revenue à une routine logicielle prévisible.
Le manque était sévère. Seuls 32 bits provenaient de l'élément sécurisé, limitant la recherche d'un attaquant à environ 4,3 milliards de tentatives.
Galaxy Research a évalué les vols confirmés à 1 596 Bitcoin (BTC) provenant d'environ 7 300 adresses le 4 août. Une quatrième vague d'attaques suspectée porterait le total à près de 130 millions de dollars. Galaxy souligne que sa liste d'adresses n'est pas définitive.
La panique s'est manifestée sur la chaîne, où les adresses actives ont atteint un sommet de 20 mois. Les détenteurs coréens ont largement échappé à cela car les graines basées sur des dés sont courantes là-bas.
Cependant, une faiblesse de la randomisation continue de se manifester dans Bitcoin. Le bug Milk Sad de 2023 a généré des clés Libbitcoin Explorer à partir de 32 bits de temps d'horloge. En mai, la vulnérabilité Ill Bloom a drainé 5,7 millions de dollars de portefeuilles construits sur un générateur JavaScript faible.
Le financement suit les découvertes
OpenSats, une organisation à but non lucratif qui finance le développement de Bitcoin, a lancé un programme de subventions Code RED jeudi. Il rémunère les chercheurs qui divulguent des failles. Il rembourse également les frais d'intelligence artificielle (IA) engendrés par le travail.
Pendant ce temps, Bitcoin se négociait près de 64 396 $ jeudi, en hausse de 0,5 % sur 24 heures. L'audit n'a pas fait bouger le marché.
Le contexte reste important pour le chiffre brut. Ce sont des découvertes, pas des exploits confirmés, et la plupart ne seront jamais armés.
D'après les preuves jusqu'à présent, cependant, Coldcard n'était pas un échec isolé. Les données suggèrent également que le prochain ne sera pas un portefeuille matériel.
Source : BeInCrypto