Amis lecteurs, cet article est un fondamental de la sécurité.
Par essence, le monde de la crypto signifie le monde de l’informatique.
Comme c’est un écosystème très riche en capitalisation financière, il n’est pas surprenant qu’il attire des convoitises et soit soumis à des tentatives de piratages, des hacks en tous genres qui poussent à mettre en face tous les outils et procédés pour s’en préserver, toujours de plus en plus sophistiqués.
NDLR : Attention, nous ne parlons pas du système Bitcoin – qui n’est pas piratable – mais de bien tout ce qui peut graviter autour.
Vu la valeur grandissante du bitcoin et des cryptomonnaies, leur sécurisation est devenue un des principaux sujets d’attention pour leurs détenteurs.
En conséquence, ces derniers mettent en place des stratégies de garde et de protection toujours plus fortes, aidés par les avancées continues en dispositifs de stockage à froid et en cryptographie.
Aveuglés par l’évidence de ces attaques technologiques, ils en oublient peut-être une, dissimulée dans leur angle mort : ‘l’Attaque à la clé anglaise de 5 dollars’ !
Une attaque dans le monde matériel
L’expression ‘Attaque à la clé anglaise de 5 dollars’ a été introduite par Jameson Lopp, un cypherpunk, ingénieur américain, spécialiste de Bitcoin et producteur de contenu dans le domaine de l’expérimentation et de la sécurité
Il s’agit tout bonnement d’une métaphore décrivant le vol par la contrainte physique ciblée.
Plutôt que de pirater les dispositifs informatiques d’une personne ou tenter d’exploiter des failles technologiques complexes, cette attaque repose sur l’utilisation de la force physique et de la menace pour extorquer les informations sensibles permettant d’accéder aux précieuses cryptomonnaies.
Une vérité dérangeante
Avec le temps, ce concept a été popularisé pour souligner une vérité dérangeante : la sécurité de nos actifs numériques n’est pas seulement une question de technologie.
Car si les cryptomonnaies sont protégées par des mécanismes cryptographiques solides, rendant impossible le brute-forçage d’une clé privée, un agresseur motivé peut tout bonnement contourner ces protections en s’attaquant à la personne détenant les clés.
L’idée est simple : au lieu de dépenser des dizaines voire des centaines de milliers de dollars pour briser un système de sécurité avancé, un voleur sans scrupules peut utiliser un outil bon marché – une clé anglaise ou tout autre objet du même genre acheté dans un magasin de bricolage – pour menacer quelqu’un et le forcer à lui donner ses clés privées et à transférer ses fonds.
Une préoccupation permanente
Il faut se rendre à l’évidence, c’est bien ici l’être humain qui est le point de faiblesse.
Ce type d’attaque devrait constituer pour nous une préoccupation permanente car les meilleures technologies informatiques ne protégeront pas contre nos limites humaines.
Sous la menace, on peut en arriver à céder pour protéger sa vie ou celle de ses proches.
Pire, contrairement au système bancaire traditionnel où les virements frauduleux peuvent être annulés, les transactions Bitcoin sont irréversibles et ne permettent aucun recours.
C’est une caractéristique voulue par design pour assurer la liberté des échanges sans tiers de confiance mais… c’est aussi malheureusement une aubaine pour les nouveaux bandits de grands chemins.
Il leur suffit alors de s’intéresser aux détenteurs de cryptomonnaies, ceux qui s’affichent un peu trop publiquement, connaître leurs habitudes et mettre au point un guet-apens.
La probabilité de succès
Ce qui doit nous alerter, c’est la probabilité de succès d’une telle attaque.
Dans son article ‘How to protect your bitcoin from $5 wrench attacks’, Lopp relève que dans la vaste majorité des attaques connues et documentées, les agresseurs sont bien arrivés à leurs fins et ont réussi à contraindre leurs victimes à transférer les fonds.
Les rares échecs recensés concernent des otages qui ont sauté par la fenêtre, des cas de torture qui ont mal tourné et un cas isolé à Miami, où la personne attaquée a sorti une arme de poing et abattu son agresseur (…une mesure de protection difficile à imaginer par chez nous…)
En outre, il faut considérer la relative impuissance de nos services de police. Voler de la crypto, c’est comme voler du cash.
Et hélas, la crypto a encore souvent mauvaise presse. Bonne chance pour une enquête !
Heureusement, nous ne sommes pas non plus totalement démunis.
Plusieurs stratégies peuvent être mises en place pour minimiser les risques. Elles incluent des précautions physiques, des solutions techniques et quelques ajustements comportementaux.
La discrétion avant tout
Bien sûr, la première règle est de ne pas révéler publiquement – ou le moins possible – que l’on possède des cryptomonnaies… et jamais dans quelle proportion !
Plus les gens autour de nous ignorent la nature et l’ampleur de nos avoirs numériques, moins nous sommes exposés.
La prudence élémentaire est donc d’éviter de se vanter de ses investissements en cryptos sur les réseaux sociaux, ne pas montrer trop de signes extérieurs de richesse qui pourraient éveiller des soupçons et utiliser des pseudos pour toute transaction ou interaction en ligne.
Pour vivre heureux, vivons cachés.
Cependant, cette attitude peut s’avérer difficile à tenir si l’on veut participer à des événements, des rassemblements ou même s’investir dans l’associatif.
Quoiqu’il en soit, rester muet sur ses avoirs reste de mise. Aucun bitcoineur honnête ne posera de question insidieuse à un autre.
Le stockage sécurisé
Les clés privées doivent être conservées dans des dispositifs et des environnements où elles sont difficiles à obtenir, même sous la contrainte.
Là, plusieurs solutions existent : nous pouvons stocker nos clés sur des dispositifs comme Ledger ou Trezor, qui nécessitent une authentification pour chaque transaction. Nous pouvons configurer un portefeuille nécessitant plusieurs signatures, donc plusieurs clés, pour autoriser les transactions. Là, même si nous sommes contraints de donner une clé, l’agresseur ne pourra pas accéder à nos fonds sans les autres.
Cette configuration multisignature, la ‘2/3’ par exemple, où deux signatures sur trois autorisent la dépense, permettrait de stocker une clé chez soi, une autre dans un coffre-fort ailleurs et une troisième chez un proche.
Des mécanismes de dissuasion peuvent également être envisagés, de façon à rendre l’attaque inutile ou peu rentable. Ayons toujours plusieurs portefeuilles avec des fonds diversifiés, certains avec la majorité de nos fonds dans des lieux difficiles d’accès et gardons une petite somme dans un portefeuille facilement accessible.
Si un agresseur attaque, il voudra être rapide et il est probable qu’il emporte le portefeuille secondaire, ce qui minimiserait les pertes.
Aujourd’hui, certains portefeuilles matériels poussent même le luxe jusqu’à configurer un mot de passe de leurre. Lorsqu’il est saisi, il donne accès à une somme dérisoire, trompant ainsi l’agresseur.
Des protocoles de délais
Il est également essentiel d’anticiper et de se donner du temps de réaction en cas d’attaque.
Envisager l’introduction d’écarts temporels pour accéder à nos fonds, des retards ou des délais via des scripts ou des contrats intelligents, mais aussi tout bêtement le recours à des lieux de stockage qui dépendent d’horaires d’ouverture et qui obligent à se déplacer au grand jour.
En clair, nous devrions privilégier tout ce qui rend les retraits immédiats impossibles, accorde un temps de réponse et un possible signalement d’attaque.
Ce sont des contraintes également pour nous mais la sécurité est à ce prix.
L’intégrité physique
Enfin, la protection de notre intégrité est cruciale.
Restons sur nos gardes. Restons alertes. Restons discrets dans nos déplacements et entretenons une forme physique correcte.
N’hésitons pas non plus à investir dans des systèmes de sécurité domestiques (caméras, alarmes, etc.)
Ou bien…
L’objectif du présent article n’est ni de faire peur ni d’instaurer un insupportable qui-vive.
Mais c’est un fait : si nous voulons gérer la protection de nos avoirs nous-même, la vigilance, la discrétion et l’adoption de mesures préventives sont effectivement essentielles.
Et elles nous incombent…à nous seuls !
Sauf qu’il existe une autre voie.
Celle que nous empruntons déjà depuis bien longtemps pour nos métaux précieux (Voir ‘Bitcoin ou le retour de la confiance’) et qui s’est parfaitement adaptée à la conservation de notre patrimoine crypto-économique.
Un service de professionnels du stockage sécurisé, audité et réputé qui nous assure une mise à l’abri, dans des coffres à toute épreuve, des dispositifs physiques associés à nos clés.
Un service qui dispose du savoir-faire et de l’infrastructure.
Il montera la garde pendant que nous dormirons sur nos deux oreilles. C’est son métier et sa raison d’être.
Pensons-y sereinement et, une fois le nécessaire fait, n’y pensons plus.
