Mt.Gox fait trembler la planète Bitcoin. La plus grosse plate-forme d’échanges a été placée, le 28 février, sous la protection de la loi sur les faillites au Japon. Son passif a été évalué à 63,6 millions de dollars (46 millions d’euros). L’avocat de Mt.Gox a déclaré qu’environ 20 millions d’euros avaient disparu…
Environ 750 000 Bitcoins de ses clients et 100 000 Bitcoins du site, soit environ 345 millions d’euros, ont disparu… Mi-février, Silk Road 2.0, surnommé « l’e-Bay de la drogue », a été piraté. Là non plus, le nombre de Bitcoins dérobés n’a pas été précisé. Diverses estimations évoquent environ 59 000 Bitcoins, soit quelque 36,1 millions de dollars…
Ces deux affaires secouent le microcosme Bitcoin et agitent les médias. Résultat, le cours du Bitcoin s’effondre. Le 25 février, sa valeur a chuté de 15 % à 455 dollars chez Bitstamp, basé à Londres.
La rédaction de SecuriteOff tente de faire le point avec le plus d’objectivité et de clarté possibles.
1-Bitcoin, c’est quoi ?
C’est à la fois un protocole de transaction et une unité de compte. Bitcoin s’appuie sur deux principes. Premièrement, les transactions sont effectuées directement entre les individus (principe du « peer-to-peer »). Deuxièmement, les échanges sont (presque) anonymes. L’utilisation de Bitcoin laisse beaucoup de traces publiques. Ces unités monétaires sont créées par chaque utilisateur grâce à un logiciel Open source et des algorithmes. C’est le principe du « minage ». Il y a des « mineurs » indépendants et des coopératives comme BTCMine au Royaume-Uni et Btcmp en Allemagne.
2-Bitcoin est-il réservé aux Geeks ?
Non. Il est possible de souscrire un contrat auprès de l’assureur Beauchamp McSpadden, de réserver sa place pour voyager dans l’espace avec Virgin Atlantic ou de réserver des billets pour voir l’équipe de basket des Sacramento Kings. Même des poids lourds du e-commerce non alimentaire s’y sont mis récemment comme Overstock.com début 2014. En acceptant les règlements en Bitcoin, le site a bénéficié d’une couverture presse très importante (et gratuite) ce qui lui a permis d’attirer de nombreux internautes. Mais les ventes restent encore dérisoires. Selon Patrick Byrne, PDG de ce site américain, ses ventes en Bitcoins ne représenteront que 1 % en 2014 ! Même constat en France. « Le nombre de ventes en Bitcoin se compte aujourd’hui sur les doigts de la main et représente moins de 1 % des ventes mensuelles », a expliqué au magazine Challenges Marie-José Chevalier, une pharmacienne des Yvelines qui gère le site medicament.com, où l’on peut acheter des médicaments sans ordonnance.
3-Quelles sont les solutions pour stocker ses Bitcoins ?
Il en existe trois. La première est la plus simple. Elle consiste à faire appel aux services d’une plate-forme en ligne. Dans ce cas, l’internaute délègue la sécurité à un tiers et il est donc indispensable de s’assurer qu’il est sérieux, qu’il n’a pas subi d’attaques ayant entrainé des vols de Bitcoins et que son support répond précisément et rapidement aux questions.
La seconde option n’est pas conseillée aux débutants. Il s’agit du stockage sur son ordinateur en utilisant un « portefeuille de bureau » comme Electrum, MultiBit ou encore Armory (dont l’un des développeurs est français). « Il n’y a jamais eu de gros problèmes à propos de vulnérabilités avec ces logiciels », constate Karl Chappé du site FranceBitcoin.com. Néanmoins, cette solution exige de bien protéger ses données et l’accès à son PC. Avec un seul mot d’ordre, le chiffrement à tous les étages ! Il existe aussi des porte-monnaie mobiles comme Bitcoin Wallet, sous Android, qui ne s’appuie sur aucun service central à la différence d’autres solutions qui jouent le rôle de tiers. Ils permettent d’échanger des Bitcoins et de payer dans des boutiques par un simple scan de code QR affiché sur un écran ou avec la technologie NFC.
Enfin, la troisième solution est le offline sur du hardware ou du paper wallet. « C’est la solution la plus sécurisée à partir du moment où vous les avez imprimés de façon sécurisée (c’est-à-dire offline) », précise Karl Chappé.
Mais tous les experts en sécurité informatique ne partagent pas cet optimisme. « Initialement le protocole décrit par Nakamoto (“… without going through a financial institution…” , voir [2]) parlait de supprimer tout tiers de confiance, banque ou autre. Faire appel aux services d’une plate-forme , et on voit ce qui est arrivé à la plate-forme Mt.Gox, c’est faire appel à un tiers, qui ici ne semble pas de confiance (voir [1] qui, si cela s’avère véridique, est assez édifiant) », constate Robert Erra, Responsable du Laboratoire Sécurité de l’Information et des Systèmes (SI&S), à l’ESIEA.
Même constat pour la solution offline sur papier : « si vous avez des économies papier dans une maison en feu, vous récupérez des cendres de vos économies. Par contre, je suis entièrement d’accord sur le fait que conserver ses Bitcoins dans un « portefeuille de bureau » peut s’avérer à terme dangereux. À ma connaissance, personne n’a regardé de près ces logiciels, la manière dont ils ont été programmés pour résister aux attaques… Il ne serait pas étonnant qu’on voit bientôt apparaitre un malware spécialisé dans le vol de tels portefeuilles numériques de Bitcoins. C’est déjà le cas pour les lightcoins (lire [6]).
4-Pourquoi Mt.Gox est à l’agonie ?
Créé en 2009, Mt.Gox est une plate-forme d’échange de Bitcoins basée à Tokyo. C’est l’un des sites les plus importants de l’univers Bitcoin avec environ 15 % des transactions enregistrées au monde. Mais depuis le 25 février, le site ne répond plus. Pour les personnes qui connaissent bien les Bitcoins, cette déroute, voire cette faillite, n’est pas surprenante (voir l’interview de Karl Chappé).
Différentes causes expliquent cette situation. La principale serait une mauvaise implémentation du protocole Bitcoin qui permettrait de modifier les détails d’une transaction sans invalider sa signature (bug dit de « Transaction Malleability »). Si une transaction a échoué, un deuxième envoi peut être effectué. Mais une seule doit être enregistrée dans le blockchain. Si ce n’est pas le cas, des petits malins peuvent contacter la plate-forme afin de signaler que leur transaction n’a pas eu lieu. Et ils se voient créditer du double de Bitcoins. C’est ce qui est arrivé à Mt.Gox ! Pourtant, des développeurs de la Fondation Bitcoin avaient corrigé cette faille en proposant d’utiliser un second hash (le SHA256) réservé au suivi des transactions. La version disponible le 19 février 2013 intègre aussi un changement majeur qui empêche les transactions d’être acceptées si leur signature n’inclut pas le bon nombre de zéros à leur début (afin de réduire le risque lié à la malléabilité des transactions).
Or selon, différentes sources, Mt.Gox connaissait depuis longtemps ce point faible et ces nouvelles versions (le PDG de Mt.Gox, Mark Karpeles – un français originaire de Bourgogne – était membre du conseil d’administration de la Fondation Bitcoin jusqu’à sa démission le 24 février dernier…), mais n’a pas pris les mesures nécessaires. Résultat, environ 850 000 Bitcoins, soit environ 345 millions d’euros, se sont volatilisés…
5-Quels sont les maillons faibles des plates-formes ?
Le plus souvent, il s’agit d’une mauvaise gestion de la sécurité informatique. C’est le cas par exemple de Bitcoin Suisse qui a subi une attaque les 12 et 13 décembre derniers. Selon son responsable, Niklas Nikolajsen, des pirates russes se sont tournés vers le fournisseur d’accès internet (FAI) de l’entreprise en se faisant passer pour Bitcoin Suisse. Sous un prétexte de sécurité informatique, ils ont demandé au FAI de modifier les mots de passe des comptes email et de récupérer ces données. Bitcoin Suisse a, depuis, changé de FAI…
Mais ce cas n’est pas représentatif. Toutes les grosses plates-formes ont mis en place une double authentification (clés USB ou Google Authenticator). Autre précaution : la majorité de leurs fonds est stockée offline et leur hot wallet (portefeuille en ligne) ne représente que 5 % afin de gérer les virements quotidiens.
«Le problème des plates-formes c’est, qu’au départ, il s’agit toujours de services web implantés sous forme logicielle. C’est une application web, et protéger une application web de tout type d’attaques requiert des compétences en programmation sécurisée qu’il est très difficile de trouver sur le marché », rappelle monsieur Erra. Et cet expert d’ajouter que « ces plates-formes n’ont en général pas les moyens d’une grande banque et donc résistent difficilement, voire pas du tout, à une attaque DDos même mal orchestrée. Enfin, il y a l’humain ! Toujours l’humain. L’attaque subie par la plate-forme Bitcoin Suisse est ni plus ni moins qu’une attaque dite d’ingénierie sociale (“social engineering”) hallucinante de simplicité. Pas besoin de hackers, de pirates ou de geek : un téléphone et une bonne dose de persuasion suffit ! »
6-Le protocole Bitcoin a-t’il des failles ?
Monsieur Erra précise qu’un « protocole “cryptographique” est en général construit avec des “briques”, des primitives cryptographiques, comme les fonctions de hachage et les algorithmes de chiffrement ou de signature. Le problème, c’est qu’on peut construire un mur fragile avec de bonnes “briques”. Ainsi, SSL 3.0 qui utilise intelligemment la cryptographie avait une faiblesse majeure. Par ailleurs, à ma connaissance, aucun algorithme cryptographique n’a été prouvé mathématiquement “sûr”, et c’est un problème ouvert de savoir si un jour on pourra mathématiquement prouver quoi que ce soit. En ce qui concerne les protocoles, au sens, large, qui utilisent la cryptographie, il est facile de comprendre que c’est encore plus difficile de prouver quoi que ce soit. Enfin, il reste de problème de l’implémentation logicielle d’un protocole, il est facile de mal programmer un protocole et ceci peut le rendre fragile en pratique. Récemment, deux chercheurs de Cornell, ont présenté une attaque dite des “mineurs égoïstes” (selfish miners) pour laquelle ils ont proposé une contre-mesure (lire [7]).
Pour le responsable du Laboratoire Sécurité de l’Information et des Systèmes, on trouvera bientôt d’autres failles, logicielles, voire structurelles sur ce système.
Et Robert Erra de rappeler ce qu’on lit sur la plupart des pages du site bitcoin.fr : “Bitcoin n’est qu’une expérience, n’y investissez que le temps et l’argent que vous pouvez vous permettre de perdre”. Selon lui, il “serait intéressant d’ailleurs de connaitre les vraies raisons de M. ‘Nakamoto’ (qui est probablement un pseudo), et de se poser la question suivante : comment un physicien à la retraite a pu développer et programmer un tel protocole qui, s’il n’est pas exempt de failles, est remarquable d’intelligence ?”
7-Le réseau P2P utilisé pour les échanges de Bitcoins peut-il être attaqué et garantit-il l’anonymat ?
Oui selon monsieur Erra : “Le ‘réseau des hôtes’ peut avoir des problèmes si un individu ou un groupe dispose de plus de 50 % de la capacité CPU du réseau, c’est expliqué dans le papier de ‘Nakamoto’ (dans [2]. Il dit ‘As long as a majority of CPU power is controlled by nodes that are not cooperating to attack the network…)’. Quant à l’anonymat, il suffit de lire ce qui est écrit en clair sur bitcoin.fr [3]: ‘Bitcoin est souvent perçu comme un réseau de paiement anonyme. Mais en réalité, Bitcoin est probablement le réseau de paiement le plus transparent au monde. En même temps, Bitcoin peut offrir un niveau de confidentialité acceptable à condition d’être utilisé correctement’.
Pour monsieur Erra, il faut toujours se rappeler qu’il est de votre responsabilité d’adopter les mesures nécessaires afin de protéger votre confidentialité. Pour obtenir le niveau d’anonymat le plus élevé possible, je suggère aux lecteurs et lectrices de bien lire [4]’.
Pour revenir sur le problème de la programmation, Robert Erra indique que « le système des Bitcoins peut être attaqué par la technique dite de ‘transactions malléables’. Sur le site [5] cette attaque, et son origine, sont très bien expliquées : pour des raisons de compatibilité, les développeurs ont utilisé une fonction de la (très belle) bibliothèque OpenSSL qui est permissive et qui permet à un attaquent de forger une vraie fausse signature (rappelons que rien n’est chiffré dans le protocole Bitcoin, il y a du hashage, de la signature numérique et un arbre de Merkle mais pas de chiffrement proprement dit)’.
8-Existe-il des plates-formes en France ?
Oui, une seule, Bitcoin-central. Unique en France, Paymium (qui gère Bitcoin-cebntral) a été la première au monde à créer une place de marché en partenariat avec une institution bancaire (Crédit Mutuel Arkéa). En avril 2013, cette société a été victime de deux cyberattaques, l’une visant son hébergeur (OVH) et l’autre son porte-monnaie Instawallet. ‘Nous avons tout repensé en terme d’architecture technique et de processus de façon à offrir une plate-forme très sécurisée’, déclare Gonzague Grandval, cofondateur et PDG de Paymium. Les données ne sont plus hébergées chez OVH et la plate-forme ne stocke plus aucun Bitcoin. Pour les récupérer, il faut attendre une journée. La nouvelle version de Bitcoin-central, ouverte fin septembre dernier, compte environ 36 000 clients.
9-Pourquoi des distributeurs physiques de Bitcoins ne peuvent pas être installés en France ?
Mi-février, un distributeur à Bitcoins a été installé à Genève (Crêperie des Pâquis). Outre-Atlantique, une borne a été placée dans une cave à cigares du Nouveau-Mexique. D’autres se trouvent en Australie, à Helsinki, à Berlin, Bratislava, ou encore à Vancouver. En France, c’est impossible, faute d’une règlementation. ‘De plus, il faudrait payer de la TVA et satisfaire à toutes les demandes concernant le blanchiment d’argent et donc tout savoir sur ses clients’, précise Karl Chappé. Au Nouveau-Mexique. Pour effectuer une transaction, les utilisateurs doivent s’identifier avec la paume de la main. La borne compare ensuite les traits de leur visage avec la photo qui apparait sur leur carte d’identité, et vérifie que l’utilisateur n’est pas recherché par la police.
10-Pourquoi Bitcoin a besoin de règles ?
‘Un cadre réglementaire est indispensable pour que les investisseurs et le grand public aient confiance. Cette régulation doit exister, mais être très faible pour rassurer tout le monde. Si les règles sont trop fortes, cela tuera l’intérêt du Bitcoin’, déclare
Pierre-Antoine Dusoulier, Président de Saxo Banque. En Allemagne, Bitcoin est considéré comme une monnaie privée. Avec ce statut, il est soumis aux règles fiscales. Les bénéfices issus de la vente de Bitcoins sont taxés à 25 % si l’achat et la vente ont été réalisés dans la même année à l’exemple de la taxation sur les plus-values immobilières. À l’inverse, début mars, l’administration fiscale britannique a annoncé qu’elle n’allait plus soumettre à la taxe sur la valeur ajoutée (TVA) – qui s’élève à 20 % – les échanges en Bitcoin. Une aubaine pour les nombreuses entreprises ‘dont des pubs, restaurants et commerces sur internet (qui) acceptent les paiements en Bitcoin’ a précisé le fisc. En France, le Bitcoin entre dans la catégorie «Bénéfices non commerciaux’ (paragraphe 1 de l’article 92 du code des impôts).
Références :
[1] http://pastebin.com/f7DPskc7 (publié le 9 mars 2014)
[2] http://www.e-ducat.fr/wp-content/uploads/2014/02/bitcoin-satoshi-nakamoto-paper.pdf
[3] https://bitcoin.org/fr/vous-devez-savoir
[4] https://bitcoin.org/fr/proteger-votre-vie-privee
[5] http://www.bitcoin.fr/post/La-mall%C3%A9abilit%C3%A9-des-transactions#main
[6] https://www.coinforum.ca/discussion/191/litecoin-malware
[7] http://arxiv.org/abs/1311.0243
La rédaction de SecuriteOff tient à remercier Karl Chappé et Robert Erra pour leur expertise.
Copyright photo
© mdorottya – Fotolia.com