Catastrophe sur Tron : 14 500 wallets compromis par une attaque invisible
January 22, 2025L’une des révolutions introduites par Bitcoin réside dans son caractère autohébergé. Ainsi, les utilisateurs de crypto ne sont pas obligés de recourir à un tiers de confiance pour conserver leurs actifs. Toutefois, l’autohébergement implique également que les utilisateurs doivent gérer eux-mêmes la sécurité de leurs fonds. Une situation qui peut s’avérer hasardeuse, notamment face à la recrudescence de hacks. Le réseau Tron vient de l’apprendre à ses dépens suite à une affaire de « silent hijacking ».
- Le réseau Tron a été frappé par une attaque silencieuse, mettant en danger 14 545 portefeuilles et compromettant 31,5 millions de dollars en crypto.
- L’attaque exploitait la fonctionnalité UpdateAccountPermission, permettant aux hackers de s’approprier des portefeuilles sans que les propriétaires s’en rendent compte.
Silent hijacking : des milliers de wallets Tron à risque
La blockchain Tron est sous pression. En effet, l’entreprise AMLBot a récemment partagé un rapport alarmant concernant le réseau Tron. Ainsi, selon le rapport, 14 545 portefeuilles sur la blockchain Tron ont été exposés à un risque majeur.
En pratique, un total de 31,5 millions de dollars en crypto a été compromis. En pratique, ces hacks ont été menés par le biais de la fonctionnalité UpdateAccountPermission.
Malheureusement pour les utilisateurs, cette attaque est des plus sournoises. Notamment du fait de sa discrétion.
Contrairement aux hacks classiques qui vident des wallets en quelques clics, cette attaque permet aux hackers de prendre le contrôle des wallet à l’insu de leurs propriétaires. Le tout en bloquant les transactions légitimes réalisées par le détenteur du wallet.
Résultat : les victimes continuent souvent à alimenter des portefeuilles déjà compromis. Au plus grand plaisir des hackers, et ce, sans même s’en rendre compte.
UpdateAccountPermission : la cause du problème
En pratique, cette attaque détourne une fonctionnalité de Tron intitulée UpdateAccountPermission.
Initialement introduite pour renforcer la sécurité, cette fonctionnalité permet aux propriétaires de portefeuilles Tron d’activer une fonctionnalité de type multisignature.
En théorie, cette fonctionnalité protège le wallet en répartissant le contrôle entre plusieurs clés. Mais si un attaquant obtient la clé privée d’un utilisateur, il peut ajouter sa propre clé au portefeuille et verrouiller la victime.
Sous le capot, UpdateAccountPermission permet aux utilisateurs d’assigner des rôles spécifiques aux clés, de leur attribuer un poids précis et de fixer des seuils nécessaires pour valider les transactions.
Par exemple, si le seuil d’autorisation est fixé à 10 et que deux clés possèdent chacune un poids de 5, les deux doivent obligatoirement signer la transaction pour qu’elle soit validée.
Par conséquent, l’utilisateur se retrouve à partager son wallet au format multi-sig avec son attaquant, et ce, sans jamais le savoir.
En effet, aucune alerte n’indique à l’utilisateur qu’une clé privée malveillante a été ajoutée. Ainsi, les utilisateurs se rendent compte de la fraude lorsqu’ils tentent de réaliser une transaction qui sera automatiquement bloquée, car signée par seulement une adresse sur les deux adresses qui composent désormais le multi-sig.
D’autant plus que pour les victimes, la situation est des plus frustrantes. Effectivement, aucune solution de récupération n’existe. Une fois qu’un attaquant a modifié les permissions, le contrôle du portefeuille lui appartient.
Protéger ses actifs : quelques précautions
Une fois n’est pas coutume, ces attaques sont propices pour rappeler l’importance de la sécurité de vos clés et de vos cryptos. Voici quelques conseils pour se prémunir contre de telles menaces :
Limiter les fonds disponibles : Minimiser les montants stockés sur votre wallet réduit les pertes potentielles en cas de compromission. Ainsi, il est judicieux d’opter pour un hardware wallet, par exemple, pour stocker la majorité de vos fonds.
Protéger ses clés privées : Les clés privées doivent toujours être stockées hors ligne et jamais partagées. Ainsi, ne stockez jamais vos clés privées et autres seed phrase sur votre ordinateur ou votre téléphone ;
De son côté, Justin Sun, le fondateur de Tron est comme toujours en roue libre. Interrogé sur l’origine des rendements du stablecoin USDD 2.0, celui-ci répond contre toute attente « c’est simplement parce que nous avons plein d’argent ».
L’article Catastrophe sur Tron : 14 500 wallets compromis par une attaque invisible est apparu en premier sur Journal du Coin.
