Bitcoin (BTC) – Vulnérabilité critique sur le réseau Lightning Network

Des chercheurs ont récemment identifié une faille de vulnérabilité au sein du Bitcoin Lightning Network. Elle pourrait se révéler problématique pour la sécurité des fonds de ses utilisateurs. Une mauvaise nouvelle pour cette solution de paiement qui rencontre un fort succès depuis sa mise en place. 

Le Bitcoin Lightning Network est un protocole qui permet d’effectuer des paiements en BTC directement de l’acheteur au vendeur (peer-to-peer) sans passer par la blockchain du Bitcoin. Une solution off-chain qui permet d’éviter l’augmentation des frais en période de congestion du réseau et de réaliser des paiements de petites qualités de satoshis à moindres frais. 

Problème de sécurité détecté

Mais il semble que cette formule rencontre des problèmes liés à la sécurité des fonds des portefeuilles connectés à ses services. C’est en tout cas ce que prétendent deux chercheurs dans une publication récente sur Twitter à ce sujet. 

Le nom de l’attaque se nomme Flood and Loot. Ce qui se traduit littéralement par inondation et butin. Une technique qui consiste à noyer un réseau pour profiter des défaillances que cela engendre dans le but d’en tirer profit. 

Jona Harris et Aviv Zohar ont identifié ce problème sur le réseau Ligthning Network et estiment qu’il pourrait être utilisé à des fins malveillantes. Cela en déclenchant et en exploitant un goulot d’étranglement dans le but de vider les portefeuilles qui se trouvent en cours de transaction au moment de l’attaque. 

La procédure est longuement détaillée dans un article publié sur le site Medium. Dans le cas présent il s’agit de laisser le réseau se faire inonder de réclamations en relation aux fonds en circulation suite au lancement de l’attaque. Cela déclenche une congestion que l’attaquant peut mettre à profit pour voler tous les fonds qui n’ont pas été réclamés à temps. Il faut pour cela attaquer 85 canaux simultanément pour que cette affaire soit rentable. 

« Nous avons découvert qu’une grande majorité de nœuds actifs (~ 95%) sont prêts à ouvrir un canal sur demande, et sont donc susceptibles de devenir des victimes de notre attaque. »

Les chercheurs ont partagé les résultats de leurs recherches avec trois des plus grands acteurs de l’offre Ligthning Network avant de les rendre publics. Cela en précisant que « l’attaque ne peut être complètement évitée sans modifications majeures. »