Le premier audit public tiers de Bitcoin Core ne révèle aucune vulnérabilité majeure
Le résumé de Quarkslab sur quatre mois de Bitcoin Core n’a révélé aucune vulnérabilité critique, élevée ou de sévérité moyenne, marquant ainsi le tout premier audit public réalisé par un tiers sur ce logiciel. L’audit a abouti à la création de nouveaux outils de test et d’infrastructures de fuzzing visant à renforcer la sécurité à long terme de Bitcoin.
La société de cybersécurité Quarkslab a achevé le premier audit public et indépendant du code source de Bitcoin Core — l’implémentation de référence open source qui sous-tend le réseau Bitcoin, incluant un client full-node, une interface graphique (GUI) et un portefeuille intégré.
L’évaluation, qui a duré quatre mois, a été financée par Brink, une organisation à but non lucratif soutenant le développement open source du protocole Bitcoin, et coordonnée par l’Open Source Technology Improvement Fund (OSTIF). Selon une annonce faite mercredi, l’audit s’est concentré sur la couche de réseau peer-to-peer — la principale surface d’attaque du réseau — ainsi que sur des composants adjacents, notamment la gestion du mempool, l’état de la chaîne, la validation des transactions et la logique de consensus.
Terminé en septembre, l’audit a totalisé 100 journées-hommes de travail menées par trois ingénieurs de Quarkslab, avec le soutien technique de Brink et de la société de recherche et développement sur Bitcoin, Chaincode Labs. Avant le début de la revue de code, deux auditeurs ont travaillé en personne avec les ingénieurs de Brink pour se familiariser avec l’architecture et les pratiques de développement de Bitcoin Core.
Le processus a combiné une analyse manuelle du code, des tests dynamiques et des techniques avancées de fuzzing issues des workflows d’intégration continue déjà en place sur Bitcoin. Le fuzzing est une technique automatisée de test logiciel qui tente de casser le code en lui fournissant de grands volumes de données inattendues, aléatoires ou malformées.
L’objectif n’était pas de certifier Bitcoin Core, mais de « rechercher activement des vulnérabilités, améliorer les méthodologies de test et identifier des moyens concrets de renforcer le code source », a précisé Brink dans un post séparé.
Aucun problème à fort impact, mais des améliorations notables des tests
Quarkslab n’a signalé aucune découverte critique, élevée ou de gravité moyenne. Les auditeurs ont identifié deux problèmes de faible gravité et ont fourni 13 recommandations informatives, dont aucune n’a été qualifiée de vulnérabilité de sécurité selon les standards de classification de Bitcoin Core.
« Aucun problème à fort impact n’a été trouvé, mais un gain marginal a été apporté aux harnais de fuzzing existants ainsi qu’à de nouveaux, afin de couvrir des scénarios non testés comme la réorganisation de la chaîne », a déclaré Quarkslab.
« Bien qu’aucune découverte ayant un impact critique, élevé ou moyen sur la sécurité n’ait été identifiée lors de cette mission, cet audit a fourni des retours précieux, des informations, des perspectives et des améliorations de test pour Bitcoin », a ajouté l’OSTIF.
Les résultats renforcent la vision de longue date de Bitcoin Core comme un système mature et conçu de manière conservatrice, maintenu par des dizaines de contributeurs et revu par de multiples organisations. Bien que l’évaluation se soit concentrée sur un sous-ensemble défini du code source, des revues indépendantes pourraient à nouveau s’avérer précieuses à l’avenir, en particulier pour les nouveaux composants introduits dans les prochaines versions, ont noté les sociétés.
« Bitcoin Core est l’implémentation de référence qui alimente le réseau Bitcoin et contribue à sécuriser des trillions de dollars de valeur », a déclaré Brink. « Le projet dispose d’un solide historique en matière de sécurité, mais n’a jamais fait l’objet d’une évaluation de sécurité externe. Plus il y a de relecteurs indépendants et axés sur la sécurité qui apportent leur perspective unique, mieux c’est. »
Préoccupations quantiques et débats sur la diversité des clients
L’audit intervient alors que les discussions sur la menace quantique à long terme pesant sur les hypothèses cryptographiques de Bitcoin reprennent. Bitcoin, comme la plupart des principales blockchains, repose sur les signatures numériques à courbe elliptique, qui sont sûres contre les attaques classiques mais théoriquement vulnérables à l’algorithme de Shor sur un futur ordinateur quantique à grande échelle.
Si la cryptographie à courbe elliptique était cassée, les clés privées pourraient être dérivées directement à partir des clés publiques exposées — non pas par une attaque par force brute, qui resterait irréalisable, mais par un raccourci mathématique permis par les algorithmes quantiques. Les chercheurs continuent de débattre du calendrier auquel des mises à niveau post-quantiques pourraient devenir nécessaires, avec des estimations allant de quelques années à plusieurs décennies, ce qui pousse à explorer des voies de migration pour protéger les fonds une fois que les clés publiques sont révélées.
Les formats d’adresse Bitcoin natifs SegWit commençant par « bc1q » sont considérés comme plus résistants aux attaques quantiques car ils ne révèlent pas la clé publique tant que les fonds n’ont pas été dépensés. Seule la clé publique hachée est visible onchain, ce qui serait bien plus difficile à attaquer pour un ordinateur quantique.
Cela signifie que les fonds stockés à ces adresses restent protégés contre les attaques de récupération de clé quantique tant qu’ils n’ont jamais été dépensés et que la clé publique n’a pas été exposée autrement. Cependant, une fois que cette dépense a lieu, la clé publique devient visible, et tout fonds restant lié à cette adresse hériterait de la même vulnérabilité — ce qui renforce la recommandation de longue date d’éviter la réutilisation des adresses et de déplacer l’intégralité du solde lors d’une dépense.
La revue de Bitcoin Core intervient également après un récent débat au sein de l’écosystème Bitcoin sur la diversité des clients et la relation entre Bitcoin Core et Knots — une implémentation dérivée qui maintient certaines options de politique et de configuration modifiées dans la dernière version v30 de Core sortie le mois dernier. Ce débat souvent animé a mis en lumière des points de vue divergents sur la manière dont Bitcoin devrait équilibrer conservatisme, options et décentralisation dans sa pile logicielle.
Avertissement : le contenu de cet article reflète uniquement le point de vue de l'auteur et ne représente en aucun cas la plateforme. Cet article n'est pas destiné à servir de référence pour prendre des décisions d'investissement.
Vous pourriez également aimer
Nomura avertit : les indices boursiers américains sont "gravement déformés", dix actions représentent 70% de la hausse du S&P ; attention à l'impact potentiel du diesel
McElligott estime que le S&P 500 connaît une « prospérité illusoire » : 85 % des actions qui le composent ont déjà corrigé (un sixième ayant perdu la moitié de leur valeur). Plus préoccupant encore, la faible corrélation actuelle des marchés n’a été observée que juste avant la crise financière de 2007 et lors de l’« apocalypse de la volatilité » en 2018. Le marché fait face à deux risques majeurs : premièrement, la déception des revenus d’OpenAI (seulement 30 % des attentes) remet en question la tendance de l’IA ; deuxièmement, le déficit structurel dans le raffinage fait que « l’écart du diesel devient la volatilité des taux d’intérêt », constituant ainsi une bombe à retardement.
Le rendement des bons du Trésor américain à 10 ans approche 5,4 %, l'aura de l'IA ne peut masquer les inquiétudes sur la "surévaluation" du S&P 500
Derrière le nouveau sommet historique du S&P 500, seulement 30 % des composants de l'indice se situent au-dessus de leur moyenne mobile sur 50 jours, marquant le record le plus bas de largeur du marché lors d'un sommet depuis 1990. Le Russell 2000 a chuté cinq semaines consécutives et le rendement des obligations à haut risque a grimpé jusqu'à 15 %. Société Générale avertit : si le rendement des obligations américaines atteint 6 % et que le prix du pétrole monte à 150 dollars, le S&P 500 pourrait chuter de plus de 20 % l'année prochaine. Par ailleurs, certains gestionnaires de fonds performants ont entièrement liquidé leurs positions en IA pour se tourner vers l'énergie, affirmant que l'épuisement des financements signifierait "la fin du jeu".
Les frais de transport des pétroliers atteignent leur plus haut niveau en soixante ans : acheminer un bateau de pétrole des États-Unis vers la Chine coûte plus cher que lancer une fusée !
Le coût de transport d'un baril de pétrole brut a grimpé jusqu'à 41 dollars, atteignant près de la moitié du prix du pétrole, et le tarif d'un seul voyage a parfois suffi à acheter un nouveau pétrolier. La crise au Moyen-Orient a entraîné une pénurie structurelle de capacité de transport dans le détroit d'Ormuz, aggravée par des opérations de transfert de navire à navire qui allongent les cycles de rotation. Ainsi, le fret des VLCC est passé d'une moyenne annuelle de 9,2 millions de dollars à 77 millions de dollars, soit une hausse de plus de 8 fois. Les marges bénéficiaires des raffineurs sont rapidement érodées et le prix moyen des pétroliers d'occasion a atteint un niveau historique, dépassant exceptionnellement celui des navires neufs.
Suivre la baisse mais pas la hausse ! L’argent fait face à des difficultés
La logique de la demande pour l'IA et l'énergie solaire continue de se confirmer, mais les prix chutent à contre-courant — la vigueur du dollar américain et la hausse des taux d'intérêt réels ont complètement écrasé les fondamentaux. Les capitaux spéculatifs ont vendu pour 1,6 milliard de dollars en une semaine, atteignant un pic annuel, tandis que les positions nettes vendeuses des CTA ont augmenté de 2,6 milliards de dollars pour atteindre leur plus haut niveau de l'année. Cependant, les analystes de Goldman Sachs estiment que ces positions vendeuses extrêmes accumulent en elles-mêmes un potentiel de retournement ; l'asymétrie devient évidente et, dès que le vent macroéconomique contraire faiblira, un rebond brutal pourrait facilement être déclenché : après une correction similaire la dernière fois, l'argent avait augmenté de 15 % en six semaines.
Prix des cryptos
Plus
