Cryptos : une faille de sécurité décelée lors de l’identification sur une plateforme de cryptomonnaies majeure (2 millions de clients)

La sécurité est un élément essentiel pour les cryptomonnaies. Les vols n’ont jamais cessé, en cause, la sécurité informatique des plateformes de transactions cryptos. Nouvelle faille rendue publique et corrigée sur une plateforme majeure.

Cryptos : une faille de sécurité décelée © Zurbains.com/stock.adobe.com

bitcoin Cryptoactifs cryptomonnaies DeFi (finance décentralisée)Ethereum

Publié le samedi 9 juillet 2022 par Zurbains

_Annonce

📢 Livret épargne à 5% + jusqu’à 280€ offerts pour votre compte Monabanq

La banque en ligne Monabanq (Élue service client de l’Année pour la 9e fois consécutive) propose le livret épargne Monabanq au taux boosté de 5% brut, applicable pendant 3 mois, jusqu’à 100.000 euros de versement. Bénéficiez par ailleurs de l’offre de bienvenue permettant de recevoir jusqu’à 280 euros de prime pour l’ouverture de votre compte courant assorti de vos moyens de paiement.

➡️ OFFRE MONABANQ

Faille d’authentification sur un plateforme de cryptomonnaies

Salt Security découvre une vulnérabilité API sur une plateforme de cryptomonnaies qui aurait pu permettre le vol de millions de dollars dans des portefeuilles de crypto-monnaies. La faille d’authentification détectée par Salt Labs aurait pu déclencher des attaques ATO d’une grande envergure.

Vulnérabilité API

Salt Security a publié une nouvelle étude réalisée par Salt Labs sur les menaces ciblant les API qui met en évidence une vulnérabilité API sur une importante plateforme de cryptomonnaies proposant des portefeuilles en ligne. Comptant deux millions d’utilisateurs à travers le monde, cette plateforme offre un large éventail de services permettant aux clients d’acheter et d’échanger des cryptomonnaies sur Internet. Découverte par Salt Labs, la faille de sécurité en question, en lien avec l’utilisation d’identifiants d’authentification externe, pouvait déclencher des attaques ATO d’une grande envergure, autrement dit des prises de contrôle des comptes clients. La vulnérabilité aurait pu permettre le vol de centaines de millions de dollars dans des portefeuilles de crypto-monnaies.

Les chercheurs de Salt Labs ont repéré cette vulnérabilité au niveau de la fonction « Connexion » de la plateforme, plus précisément avec l’authentification Google. Comme nombre de méthodes d’authentification externe, Google utilise un protocole OIDC (OpenID Connect) standard, qui lui-même s’appuie sur un autre standard d’autorisation répandu, OAuth 2.0. Étant donné que la plateforme de cryptomonnaies n’implémentait pas correctement le protocole OIDC, la demande d’authentification côté utilisateur pouvait être envoyée au serveur applicatif et non au service OIDC exclusivement.

Cette vulnérabilité aurait pu être exploitée par des pirates aux fins ci-après :

virer le solde d’un compte sur le portefeuille crypto d’un utilisateur ou un compte bancaire privé ;
prendre la main sur la majeure partie du compte d’un utilisateur au niveau du système ;
accéder intégralement au compte d’un utilisateur et virer les fonds sur le support de son choix, mais aussi réaliser toute autre opération financière en son nom.

« Les plateformes de cryptomonnaies s’appuient sur les API pour garantir la connectivité des données servant de dynamique à leurs services en ligne », précise Yaniv Balmas, vice-président du pôle Études/Recherches chez Salt Security. « L’étude de Salt Labs met en évidence les dangers que peut faire naître une erreur de configuration d’API et souligne la nécessité de renforcer la visibilité sur ces vastes écosystèmes API aux fins de protéger les services critiques et les précieuses données clients. Une faille de sécurité même mineure peut ruiner une activité. »

Les plateformes de cryptomonnaies représentent une cible de choix pour les pirates, comme le prouvent une nouvelle fois les 100 millions de dollars en crypto dérobés la semaine dernière à Horizon, un « pont » inter-blockchain développé par la start-up Harmony.

95 % des entreprises ont recensé un incident de sécurité concernant une API

D’après le rapport Salt Security « State of API Security Report », 1er trimestre 2022, 95 % des entreprises ont recensé un incident de sécurité concernant une API au cours des 12 derniers mois. Les écosystèmes API des plateformes de cryptomonnaies sont gigantesques, offrant aux clients un accès à leurs portefeuilles crypto et leur permettant d’acheter, d’échanger, d’emprunter et de gagner facilement des cryptomonnaies. La plateforme de cryptomonnaies évaluée par Salt Labs était exposée à deux problèmes API fréquents :

erreur de configuration en matière de sécurité (API-7) ;
manque de ressources et limitation de débit (API-4).

Dès la découverte de la vulnérabilité, les chercheurs de Salt Labs ont observé des pratiques de divulgation parfaitement coordonnées, et tous les problèmes ont été corrigés.

La plateforme Salt Security de protection des API s’attèle aux types de vulnérabilités repérées sur cette plateforme de cryptomonnaies et aux autres attaques répertoriées dans le « Top 10 » des vulnérabilités API de l’OWASP. Seule solution de sécurisation des API à exploiter l’intelligence artificielle (IA) et le machine learning (ML), la plateforme Salt Security compare les activités de millions d’utilisateurs et d’appels API avec plusieurs centaines d’attributs en quasi-temps réel. Ce faisant, elle est capable de détecter les opérations de reconnaissance des acteurs malveillants et d’y mettre obstacle avant que ceux-ci n’atteignent leur objectif. Via son architecture ACE (API Context Engine) unique, cette plateforme protège les API aux stades du développement, du déploiement et de l’exécution ; elle met au jour la totalité des API et les données confidentielles exposées, repère et bloque leurs assaillants, et fait le point sur les mesures correctrices mise en œuvre en cours d’exécution dont peuvent se servir les développeurs pour renforcer les API.

Sélection des 3 meilleures offres auprès des courtiers en ligne

TOP	DÉTAILS	EN SAVOIR +
🥇 1	Bourse Direct Jusqu'à Bourse direct : 200€ de frais de courtage offerts pendant 4 mois pour un transfert et 200€ pendant 3 mois pour une ouverture de compte.	👉 EN SAVOIR PLUS
🥈 2	Bourse Direct Jusqu'à ETF iShares éligibles PEA : frais de transaction à seulement 0.99€ quel que soit le montant investi !	👉 EN SAVOIR PLUS
🥉 3	Bourse Direct Jusqu'à Offre bourse spéciale débutants CTO ou PEA ou PEA-PME : 50€ offerts !	👉 EN SAVOIR PLUS
Les offres promotionnelles sont soumises à conditions.

📧 Newsletter FranceTransactions.com

👉 Abonnez vous à notre lettre quotidienne. Plus de 90.000 lecteurs font confiance à la newsletter de FranceTransactions.com pour mieux être informés sur l’épargne et les placements. Lettre gratuite, sans engagement, sans spam, dont le lien de désabonnement est présent sur chaque envoi en bas du courriel. Recevez tous les jours, dès 9 heures du matin, les infos qui comptent pour votre épargne.

Une question, un commentaire?

💬 Réagir à cet article Cryptos : une faille de (...) Publiez votre commentaire ou posez votre question...

Cryptos : faille de sécurité : à lire également

Indices

CAC40 +1.13 % sur la semaine, 8195.21 points !

NOUVEAUTÉ ! CAC40 : Sur la semaine, l'indice CAC40 termine en hausse de +1.13 %, en clôturant à 8195.21 points.

CAC40

Indices

ETF à effet de levier éligibles au PEA

NOUVEAUTÉ ! Avec des montages financiers adéquats, permettant de passer au travers des restrictions réglementaires, les émetteurs d’ETF peuvent même proposer des produits dérivés éligibles au PEA : les ETF à effet (...)