Le PDG de ZeroTier avertit que les attaquants récoltent le trafic crypté de crypto pour le déchiffrement quantique

L'anxiété de longue date de l'industrie cryptographique concernant les ordinateurs quantiques manque un danger bien plus immédiat, selon le PDG de ZeroTier, Andrew Gault. Plutôt que de s'inquiéter des clés de portefeuille qui pourraient être craquées par de futures machines, Gault avertit que des attaquants interceptent déjà et stockent le trafic réseau chiffré circulant entre les institutions cryptographiques et les échanges. L'avertissement initial dépeint une image de collecte silencieuse et continue de données d'authentification qui pourrait être déchiffrée une fois que l'informatique quantique deviendra pratique.

La technique — connue sous le nom de « récolter maintenant, déchiffrer plus tard » — exploite le fait que le trafic chiffré sécurisé contre les ordinateurs classiques peut être trivialement cassé par un système quantique suffisamment puissant dans des années ou des décennies. Les jetons d'authentification, les clés de session API, et les messages signés entre les principaux bureaux de trading et les déposants transitent tous sur Internet public. Si un attaquant peut capturer ces données aujourd'hui et les stocker de manière fiable, il détient une bombe à retardement qui peut être déclenchée après des avancées quantiques.

L'avertissement de Gault reformule le débat sur la sécurité quantique, en s'éloignant de l'exposition statique des clés privées et en se concentrant sur les communications dynamiques inter-institutionnelles qui alimentent le système financier crypto. Alors que les détenteurs de Bitcoin peuvent protéger leurs clés en déplaçant leurs fonds vers des adresses résistantes aux attaques quantiques, les flux d'authentification entre entreprises sont plus difficiles à remplacer rétroactivement. Une fois qu'un jeton de session est exfiltré, les dégâts peuvent s'étendre à travers des systèmes connectés qui font confiance à cette identité.

Un problème structurel pour le marché institutionnel croissant de la crypto

À mesure que la participation institutionnelle à la crypto s'élargit, les pipelines de données inter-institutionnels deviennent plus riches et plus critiques. Les récentes étapes de tokenisation montrent de grands acteurs financiers effectuant des règlements en chaîne avec des partenaires traditionnels. Chaque nouveau lien entre une banque, une bourse et un déposant crée des cibles supplémentaires pour les collecteurs malveillants. Le volume de trafic sensible qui traverse quotidiennement les frontières du réseau offre aux attaquants beaucoup de matière première.

La poussée réglementaire et sécuritaire mondiale en faveur de normes spécifiques à la crypto s'est principalement concentrée sur la garde et la finalité des règlements, et non sur l'authentification au niveau du réseau qui précède chaque transaction. Les batailles législatives en cours sur la structure du marché laissent sans réponse la question de savoir comment les entreprises doivent protéger la communication inter-parties contre les menaces quantiques à long terme. Les régulateurs n'ont pas encore considéré la récolte au niveau du réseau comme un danger immédiat.

L'asymétrie est frappante : récolter du trafic chiffré à grande échelle est peu coûteux, silencieux, et peut être effectué par des acteurs étatiques ou des groupes criminels avancés sans détection. La défense post-quantique est coûteuse et nécessite des mises à jour coordonnées dans toute une industrie. À moins que le secteur ne commence à traiter les messages d'authentification avec la même urgence que la cryptographie des portefeuilles, le scénario de Gault pourrait laisser la plomberie financière de la crypto définitivement compromise.

Ce qui vient ensuite et ce qui reste incertain

L'échelle temporelle quantique reste la question ouverte. Personne ne peut prédire quand un ordinateur quantique tolérant aux fautes capable de casser le chiffrement par courbe elliptique ou RSA émergera. Les estimations varient de cinq à vingt ans. Mais la partie « récolter maintenant » ne dépend d'aucune avancée ; elle dépend uniquement des attaquants croyant que le déchiffrement sera éventuellement possible. Et cette croyance est déjà intégrée dans le comportement des agences de renseignement et des opérations de cybercriminalité sophistiquées.

Pour les échanges crypto, les courtiers principaux, et les déposants, l'implication pratique est que chaque appel API, chaque règlement de transaction inter-plateforme, et chaque connexion institutionnelle pourrait déjà être stocké dans un tableau de stockage d'un adversaire étranger. La récupération post-compromission dans un tel scénario est extrêmement limitée. Changer les clés API après coup ne sert à rien si les anciennes données de session ont été capturées. L'industrie pourrait devoir migrer vers des protocoles d'échange de clés résistants aux quantiques pour les liens inter-institutionnels bien avant que les portefeuilles quantiques ne deviennent la norme.

L'avertissement de Gault mettra à l'épreuve la capacité du marché crypto à penser au-delà de l'horizon des contrats intelligents. La menace n'est pas un piratage d'un seul portefeuille ou une exploitation de pont qui fait la une. C'est une fuite lente et de fond de l'infrastructure de confiance même qui fait fonctionner les marchés crypto institutionnels. La question est maintenant de savoir si l'avertissement atteindra les équipes techniques assez rapidement pour commencer à repenser la couche d'authentification avant que la récolte ne devienne la récolte qui a brisé le système.