Le directeur de la sécurité de Casa, Jameson Lopp, a exhorté les détenteurs de Bitcoin à ne pas abandonner l'auto-conservation au profit des ETF et des dépositaires tiers à la suite d'une série d'incidents de sécurité liés aux portefeuilles de cryptomonnaies.
Résumé
- Jameson Lopp a exhorté les détenteurs de Bitcoin à ne pas abandonner l'auto-conservation malgré.
- Lopp a averti que les ETF Bitcoin et les dépositaires tiers n'éliminent pas les risques de sécurité mais laissent les investisseurs dépendants des institutions pour protéger leurs avoirs.
- Des incidents récents ont soulevé des questions sur la sécurité de la gestion indépendante du Bitcoin.
- Lopp a recommandé les portefeuilles multisig et la distribution des clés privées sur différents emplacements et fournisseurs de matériel afin de réduire le risque de perte de fonds.
- Il est conseillé aux détenteurs de Bitcoin de revoir leurs dispositions de sécurité et de se préparer à des situations où ils pourraient ne plus être en mesure d'accéder à leurs fonds.
Dans une lettre ouverte du 22 octobre adressée aux clients de Casa et à la communauté Bitcoin, Lopp a soutenu que les récentes attaques avaient suscité de véritables inquiétudes quant à la gestion des clés privées, mais ne justifiaient pas d'abandonner le contrôle direct des avoirs en Bitcoin.
Lopp a cité des incidents récents impliquant des pirates utilisant l'IA pour trouver des failles de sécurité, des chaînes d'approvisionnement de portefeuilles matériels compromises, des portefeuilles froids vidés et des escroqueries plus sophistiquées, qui ont laissé de nombreux détenteurs de Bitcoin se demander s'ils pouvaient gérer leurs propres fonds en toute sécurité.
Selon lui, bon nombre des attaques qui font les gros titres aujourd'hui étaient déjà connues des professionnels de la sécurité, bien que leur apparition dans des incidents réels ait rendu les risques plus difficiles à ignorer pour les détenteurs ordinaires.
Lopp avertit que les ETF Bitcoin n'éliminent pas les risques de garde
Lopp a particulièrement contesté l'idée que le transfert de Bitcoin vers des fonds négociés en bourse ou d'autres arrangements de garde gérés offrait une solution simple aux récents problèmes de sécurité.
Il a reconnu que les investisseurs pouvaient se sentir plus à l'aise en s'appuyant sur des institutions financières après avoir entendu parler de compromissions de portefeuilles, mais a soutenu que le transfert du contrôle des clés privées ne faisait que placer la responsabilité chez une autre partie.
Selon lui, les ETF Bitcoin offrent aux investisseurs une exposition au prix de la cryptomonnaie sans leur donner de contrôle direct sur les pièces sous-jacentes.
L'arrangement oblige les investisseurs à dépendre du fonds, de son dépositaire et d'autres parties responsables de la protection des actifs. Lopp a averti que les détenteurs pourraient avoir peu d'influence sur les décisions affectant leur Bitcoin, y compris les situations impliquant des gels ou des saisies par les autorités.
Il a maintenu que les propriétés déterminantes du Bitcoin provenaient de son offre fixe, de ses règles vérifiables publiquement et de la capacité des utilisateurs à accéder à leurs avoirs sans obtenir l'autorisation d'un intermédiaire.
Bien que les investisseurs puissent bénéficier financièrement du Bitcoin sans détenir de clés privées, Lopp a soutenu qu'ils ne jouiraient pas du même degré de contrôle disponible grâce à la propriété directe.
L'avertissement faisait suite à des rapports selon lesquels certains détenteurs de Bitcoin avaient déplacé des actifs vers des plateformes centralisées après de récentes compromissions de portefeuilles.
En août, crypto.news a rapporté des entrées record sur OKX à la suite de l'exploit du portefeuille matériel Coldcard, la plateforme d'échange déclarant que les clients se tournaient de plus en plus vers la garde gérée.
De récents exploits de portefeuilles Bitcoin ont soulevé des préoccupations de sécurité
Les préoccupations exposées dans la lettre de Lopp faisaient suite à plusieurs incidents impliquant des faiblesses dans les logiciels de portefeuille, la distribution matérielle et la génération de clés privées.
L'un des cas les plus importants concernait les portefeuilles matériels Coldcard, où une erreur de configuration du firmware remontant à mars 2021 a amené les appareils concernés à générer des graines de récupération à l'aide d'une source d'aléatoire plus faible.
Un rapport du 3 août sur la exploit de sécurité Coldcard détaillait des vols de Bitcoin présumés d'une valeur de près de 90 millions de dollars à l'époque et les appels du directeur de la sécurité de Kraken, Nick Percoco, en faveur de tests indépendants de la génération des phrases de récupération des portefeuilles.
La faille permettait aux attaquants de reconstruire des clés privées vulnérables sans accéder physiquement aux appareils ni obtenir leurs phrases de récupération.
Coldcard a par la suite publié un micrologiciel corrigé, bien que les phrases de récupération vulnérables générées auparavant aient obligé les utilisateurs à créer de nouveaux portefeuilles et à transférer leurs avoirs.
Plus récemment, une enquête du 13 octobre sur des portefeuilles matériels Ledger compromis détaillait des cas impliquant des appareils distribués par le revendeur d'Asie du Sud-Est CryptoBilis.
Ledger a confirmé qu'un implant matériel non autorisé avait été identifié dans un appareil affecté, tandis que l'enquête n'avait pas établi que ses propres systèmes ou ses canaux de vente directs avaient été compromis.
Les problèmes de sécurité liés à des phrases de récupération faibles ont également touché d'autres réseaux de cryptomonnaies.
Le 18 octobre, Qubic a divulgué une faille de sécurité de portefeuille impliquant environ 2,94 billions de jetons QU d'une valeur de 1,4 million de dollars volés dans 1 404 portefeuilles.
Les développeurs ont attribué l'incident à un manque de caractère aléatoire suffisant dans certaines phrases de récupération de portefeuilles et ont par la suite corrigé le logiciel concerné.
La sécurité multisig reste centrale
Dans ce contexte, Lopp a soutenu que la réponse aux défaillances des contrôles de sécurité devrait consister à améliorer la protection des portefeuilles plutôt qu'à abandonner complètement la garde personnelle.
S'appuyant sur plus de 15 ans d'incidents de sécurité dans l'ensemble de l'industrie des cryptomonnaies, il a déclaré que des dispositifs de garde efficaces devaient tenir compte des erreurs humaines et de la possibilité que des protections individuelles puissent échouer.
Son approche privilégiée impliquait des portefeuilles multisignatures, qui répartissent l'autorisation des transactions entre plusieurs clés privées et peuvent empêcher qu'une seule clé compromise donne un accès complet aux fonds.
Lopp a averti que le multisig n'était pas une solution complète en soi, bien qu'il ait maintenu que des dispositifs soigneusement conçus pouvaient offrir une protection plus forte que les systèmes de garde conventionnels.
Il a encouragé les détenteurs de Bitcoin à revoir leurs configurations existantes et à répartir les clés sur différents emplacements géographiques et chaînes d'approvisionnement matérielles afin de réduire leur dépendance à un seul appareil ou emplacement.
La lettre abordait la planification successorale comme une autre considération importante, en particulier ce qui arriverait au Bitcoin de quelqu'un s'il devenait incapable d'accéder à ses avoirs ou de les gérer.
Casa, qui fournit des services de garde personnelle assistée, positionne son rôle autour de l'aide aux clients pour gérer ces dispositifs sans prendre possession de leurs clés privées.
Lopp a conclu en avertissant que tant les acteurs malveillants que les intermédiaires bien intentionnés pourraient finalement prendre le contrôle du Bitcoin de quelqu'un d'autre, laissant aux détenteurs la responsabilité de décider de la quantité de contrôle qu'ils étaient prêts à céder.
