Les bots Bitcoin rivalisent pour des fonds dans un portefeuille compromis lié à l'identifiant de récompense de bloc

Source : CryptoNewsNet Titre original : Les bots Bitcoin rivalisent pour des fonds dans un portefeuille compromis lié à l’identifiant de récompense de bloc Lien original : https://cryptonews.net/news/bitcoin/32291000/

Vulnérabilité de sécurité via des clés privées non aléatoires

Un utilisateur de Bitcoin a perdu 0,84 BTC après avoir envoyé des cryptomonnaies à un portefeuille dont la clé privée était dérivée de l’identifiant de transaction coinbase du bloc 924 982. Cet incident met en évidence une faille de sécurité critique : l’utilisation de données prévisibles ou publiquement disponibles pour la génération de clés privées.

Activité automatisée de bots dans le mempool

Le dépôt a déclenché des programmes informatiques automatisés surveillant le mempool de Bitcoin pour rivaliser pour les fonds. Ces bots détectent automatiquement les dépôts dans des portefeuilles compromis et diffusent des transactions de remplacement par frais (RBF) pour surpasser les autres programmes lors des transactions de retrait. Dans ce cas, les systèmes concurrents ont payé près de 100 % de la valeur de la transaction en frais — avec certaines transactions enfants atteignant 99,9 % de la valeur totale — pour s’approprier les fonds.

Les dangers des schémas prévisibles

Les clés privées représentent l’élément de sécurité le plus critique pour la protection des avoirs en Bitcoin. Lorsqu’elles sont dérivées de schémas de données courants plutôt que d’une véritable entropie, le vol se produit généralement immédiatement. Des chercheurs en sécurité ont documenté des portefeuilles compromis utilisant des phrases de récupération avec des schémas prévisibles, notamment des mots répétés tels que « password », « bitcoin » ou « abandon ». Tout schéma dépourvu de véritable aléa peut exposer une clé privée et permettre à des systèmes automatisés de drainer les dépôts.

Au-delà des schémas simples : données du registre public

Cet incident démontre que le manque d’aléa peut aller au-delà de simples schémas de mots pour inclure des informations publiques enregistrées sur le registre Bitcoin lui-même, telles que les identifiants de transaction de récompenses de bloc. La pratique de hacher une clé privée via un identifiant de transaction ne fournit pas une entropie suffisante pour un stockage sécurisé des clés. Les mineurs et autres observateurs du mempool peuvent surveiller ces identifiants pour détecter un manque d’aléa et tenter de diffuser des transactions de vol en utilisant des clés privées exposées.

La leçon essentielle

L’absence d’introduction d’une entropie mécanique lors de la génération de clés privées permet des attaques par force brute et compromet la sécurité des fonds. Une véritable aléa dans la génération de clés privées reste indispensable pour protéger les détentions en cryptomonnaie.