Crypto Dossier examine la sécurité des portefeuilles ADA après le piratage de Binance

Crypto Dossier a examiné la sécurité des portefeuilles Cardano de Binance à la suite du piratage de 6,3 milliards de dollars de la plateforme. Dans une nouvelle vidéo, il relie son analyse aux contrôles multisignatures et aux différences entre Cardano et les réseaux compatibles avec Ethereum.

Le créateur affirme que ADA et NIGHT ne figuraient pas parmi les actifs volés lors de l’incident. Il présente son explication comme une évaluation fondée sur les informations disponibles au moment de l’enregistrement, tandis que Binance poursuit son enquête.

Le récit de Crypto Dossier sur l’attaque de Binance

Binance a indiqué que ses portefeuilles chauds connectés à internet avaient été compromis le 29 octobre, entraînant la perte d’environ 6,3 milliards de dollars d’actifs numériques. Les portefeuilles chauds soutiennent les opérations de la plateforme, y compris le traitement des retraits.

Dans sa vidéo, Crypto Dossier cite Ethereum, Bitcoin, Tron, Solana et plusieurs autres réseaux parmi ceux dont les portefeuilles Binance ont été affectés. Il estime que l’absence d’ADA et de NIGHT de son inventaire des actifs volés justifie un examen plus attentif de la manière dont les transactions Cardano sont autorisées.

L’enquête initiale de Binance a laissé entendre que l’ordinateur portable d’un ingénieur DevOps compromis aurait pu permettre à un attaquant d’accéder à un conteneur de service et de soumettre des transactions de retrait non autorisées. La plateforme a ensuite identifié d’autres points de compromission et a indiqué n’avoir trouvé aucune preuve de fuite de clés privées de portefeuilles.

Portefeuilles multisignatures et modèle de transaction de Cardano

Crypto Dossier se concentre sur le modèle étendu d’outputs de transactions non dépensées de Cardano, connu sous le nom de eUTXO, et sur les scripts qui peuvent exiger plusieurs signatures avant que des fonds ne soient dépensés.

Un dispositif multisignature définit des conditions qu’une transaction doit satisfaire, comme l’approbation par un nombre déterminé de clés. Les scripts Cardano peuvent aussi inclure des conditions temporelles. Les contrôles multisignatures existent au delà de Cardano, et leur efficacité dépend de la configuration et de la gestion des clés impliquées.

Le créateur décrit les portefeuilles Cardano de Binance comme nécessitant deux clés, dont l’une conservée séparément et hors ligne. Dans la configuration qu’il expose, l’accès à une seule clé ne suffirait pas à autoriser un transfert. Il rattache cette explication à son affirmation selon laquelle aucun ADA n’a été volé lors de l’incident.

Binance n’a pas confirmé la configuration précise qu’il décrit ni indiqué qu’elle expliquait l’absence d’ADA parmi les actifs affectés dans son récit.

Crypto Dossier compare aussi Cardano avec des réseaux compatibles avec la machine virtuelle Ethereum, ou EVM. Il soutient que leur technologie commune pourrait rendre des méthodes d’attaque similaires applicables sur plusieurs réseaux, tandis que Cardano utilise un modèle de transaction différent. Il reconnaît aussi que cette compatibilité peut faciliter le passage des développeurs et de la liquidité entre les écosystèmes EVM.

[NEWSBREAK]

Sécurité, décentralisation et ADA

La vidéo prolonge la discussion antérieure de Crypto Dossier sur la décentralisation de Cardano et son réseau d’opérateurs de pools de staking indépendants. Il soutient que la sécurité pourrait recevoir davantage d’attention à mesure que les cyberattaques se multiplient et que l’intelligence artificielle se développe.

Il examine aussi la réaction du marché à l’incident de Binance. Sur la base de son affirmation qu’aucun ADA n’a été volé, il soutient que l’attaquant n’ajouterait pas de pression vendeuse en cédant des ADA issus de ce piratage en particulier.

Crypto Dossier note que son récit de l’attaque repose sur les informations disponibles pendant l’enquête. Binance s’est engagée à couvrir l’impact financier via son Secure Asset Fund for Users et des fonds de l’entreprise, et prévoit de publier une analyse technique post mortem une fois ses conclusions vérifiées.