Posté le mai 7, 2019 à 21:37
UN BUG CRITIQUE A EXPOSÉ TRON À D’ÉNORMES PROBLÈMES LIÉS AUX ATTAQUES DDOS.
Un chercheur indépendant en cybersécurité a découvert une faille critique dans le code blockchain de Tron. Cette faille aurait pu permettre à une personne malveillante de faire planter la blockchain de Tron dans son intégralité avec seulement un ordinateur capable de lancer des attaques DDOS.
HackerOne aide une autre entreprise
Le rapport de divulgation de HackerOne donne plus de détails sur la faille. Toute attaque DDOS potentielle aurait pu consommer toutes les ressources de la blockchain évaluée à 1,6 milliard de dollars. Les attaquants pourraient utiliser l’attaque pour demander le déploiement de contrats intelligents infectés par du code malveillant.
Dans le rapport, il était indiqué qu’«en utilisant une seule machine, un attaquant pourrait lancer une attaque DDOS à l’ensemble des noeuds [Super Représentant], soit 51%, et rendre le réseau TRON inutilisable ou le rendre indisponible.»
La faille dans le portefeuille de Tron a permis à un seul ordinateur d’utiliser toutes les ressources mémoire du réseau. Le bug, découvert le 14 janvier, a reçu une prime de 1 500 dollars le 1er février. Une deuxième prime pour avoir trouver le bug a été versée, celle-ci valant 3 100 dollars, bien que l’entreprise Tron garde le silence sur la faille.
Les primes versées via HackerOne sont devenues la norme de référence dans le secteur et cette organisation a aidé de nombreux hackers à transformer leurs compétences en action positive. L’entreprise Tron elle-même a déjà versé plus de 78 800 $ en prime sur 15 rapports uniques. La plus haute prime qu’ils ont payée était de 10 000 $. Cela n’a rien à voir avec la prime de 30 000 $ versée par Coinbase à un hacker qui a découvert une faille vraiment critique qui n’a pas encore été révélée bien qu’elle ait été découverte plus tôt cette année.
Tron n’est pas la seule à être affectée par le bug
Des failles similaires ont été trouvées dans d’autres blockchains. En fait, Bitcoin Core, la crypto-monnaie OG a révélé un cas similaire septembre dernier. La faille de sécurité aurait eu des conséquences paralysantes pour la crypto-monnaie, car les nœuds étaient exposés à une inondation de trafic de la même manière que le bug de Tron.
L’écosystème de crypto-monnaie est un gros client de HackerOne, Monero, Augur, et Coinbase étant parmi les clients qui offrent des primes via HackerOne. Des chercheurs indépendants ont gagné un total de 878 000 $ auprès d’entreprises de cryptomonnaie, et cela seulement en 2018.
La plus grande partie de cet argent provient de la plateforme EOS de Block.one, qui a versé 534 500 $. Cela représente près de 60% de toutes les primes versées en 2018, mais a l’honneur douteux d’être le mieux payé de tous les temps dans l’écosystème de la cryptomonnaie. Coinbase prend la deuxième place avec 290 000 $ alors même qu’il gère un programme de divulgation depuis 2014. Block.one a ouvert son programme en mai, suivi d’un pirate informatique réclamant plus de 100 000 USD en primes en une seule semaine.
HackerOne a déclaré qu’il y a actuellement 64 sociétés utilisant la technologie blockchain sur sa plateforme. Cela peut sembler peu, en particulier lorsque le nombre total d’entreprises impliquées dans la blockchain est d’environ 2000. Les bugs critiques détectés à la fois dans Bitcoin et Bitcoin Cash montrent que la cryptomonnaie n’est peut-être pas aussi sûre que cela puisse paraître, compte tenu en particulier de la faille absolument critique découverte par Bitcoin l’année dernière.
La gravité de ces bugs est aggravée par les aspects immuables de la blockchain. Il n’existe aucun moyen d’annuler des transactions contrairement à un système centralisé. Cela a fait beaucoup de gens à réfléchir si la blockchain est bien tout ce qui avait été imaginé l’être. Il existe des systèmes tels qu’EOS et d’autres qui ont une porte dérobée intégrée, mais ceux-ci n’ont jamais vraiment été considérés comme faisant partie du «véritable» écosystème de la cryptomonnaie par les puristes.
Le fait est qu’avec toutes les nouvelles en provenance de hackerspace, ce n’est peut-être pas une bonne idée de garder trop de fonds bloqués dans une blockchain. Un désastre se profile à l’horizon et il pourrait frapper le plus tôt possible.
