X

Un bug des portefeuilles multi-signatures de Parity gèle des milliers d’Ether

C’est soi-disant « par hasard » qu’une personne est parvenue à geler l’intégralité des portefeuilles de cybermonnaies multi-signatures de l’éditeur Parity. Conséquence : tous les fonds sont gelés, représentant près de 300 millions de dollars. Plusieurs solutions sont envisagées, dont une radicale. 

Parity est un éditeur de portefeuilles dits multi-signatures de gestion de cybermonnaies, en l’occurrence d’Ether. C’est-à-dire que plusieurs personnes partagent un portefeuille commun, et qu’il nécessite donc l’approbation des propriétaires pour débloquer les fonds. C’est le principe développé par Parity, qui est très utilisé pour les levées de fonds en cybermonnaies par exemple. 

Pour comprendre ce qu’il s’est passé le 7 novembre, il faut remonter à juillet dernier. A l’époque, une première faille avait touché les portefeuilles multi-signatures de Parity : elle permettait de connaître les propriétaires, de s’approprier un smart contract et donc les fonds qui y étaient déposés. Parity avait assez rapidement corrigé la faille en diffusant un correctif le 20 juillet. C’est sur cette version qu’une seconde faille a été découverte le 7 novembre par un curieux hasard. 

Ce qu’il s’est vraiment passé

« Les portefeuilles de Parity se basent sur un smart contract générique qui est lui-même appelé par les autres portefeuilles des utilisateurs. A l’inverse de la faille de juillet, qui permettait de connaître les constructeurs d’un smart contract, cette nouvelle faille permet de révéler le destructeur. C’est-à-dire que chaque smart contract dispose d’une fonction « safe destruct » qui comme son nom l’indique permet de supprimer le smart contract de la blockchain et de récupérer les fonds qu’il héberge », nous explique Renaud Lifchitz, consultant chez Digital Security. 



Ce qui s’est passé hier n’est pas banal. En l’occurrence, c’est un utilisateur qui dit avoir fait la manipulation accidentellement. Ce faisant, il a bloqué l’intégralité des fonds déposés dans les portefeuilles Parity. Cela représente selon nos informations environ 930 000 Ether, soit un peu moins de 300 millions de dollars. En « tuant » le smart contract générique de Parity, les portefeuilles créés après le 20 juillet sont donc désormais muets puisqu’ils « appellent une fonction qui n’existe pas », ajoute Renaud Lifchitz. 

Plusieurs solutions envisagées

On ne peut évidemment pas laisser des centaines de millions de dollars dans la nature. En revanche, pour le moment, aucune solution n’a été trouvée. Dans un communiqué diffusé hier, Parity écrit : « nous continuons d’investiguer et de considérer tant les possibles implications que les différentes options » pour résoudre ce problème. En revanche, l’éditeur affirme que les fonds ne peuvent pas être bougés. 


Plusieurs solutions sont envisagées. La première, certainement la plus triviale, serait de trouver une faille et donc d’accéder aux portefeuilles de manière détournée afin de récupérer les fonds. « Pas si simple, puisque les smart contacts sont très sécurisés », rappelle Renaud Lifchitz. Deuxième solution : un hard fork, c’est-à-dire un changement radical du protocole et qui nécessite une mise à jour de tous les nœuds du système. C’est le choix qu’avait fait The DAO en juin 2016, créant une énorme défiance de la part de la communauté. Enfin, le troisième choix a été proposé par Vitalik Butterin, le créateur d’Ethereum : il s’agit d’une amélioration intrinsèque du protocole Ethereum qui consiste à créer une porte de sortie générique pour éviter le gel des fonds. Cette solution, considérée comme étant la plus consensuelle, entraînerait la création d’un hard fork générique. 

D’autres options seraient également à l’étude chez Parity, qui joue ici sa réputation voire sa survie. L’issue de cette histoire aura fatalement des répercussions, non seulement sur les cybermonnaies mais aussi sur les ICO, les levées de fonds en cybermonnaies.  


Inscription gratuite à la newsletter de L'Informaticien.


Noter cet article (de 1 = Nul à 5 = Excellent) Valider

A VOTRE AVIS...
Offres d'emploi informatique avec  Emploi en France
jooble

Emploi IT

Emploi IT

Avec l’évolution des technologies, portées par le Cloud, les conteneurs, les data sciences et le développement cross-platform, les métiers sont eux aussi amenés à changer. Malt, plate-forme de mise...

Gestion de l'information

Gestion de l'information

La gestion de l’information s’est imposée depuis dix ans comme un pan important de la transformation numérique des entreprises. Comment satisfaire un client si vous ne le connaissez pas finement par des informations...

French Tech FT120

French Tech FT120

83 entreprises sont sélectionnées pour le French Tech 120, où elles siègent aux côtés du Next 40. L’e-santé et le retail y sont surreprésentés, quand la...

AMP

AMP

Lancé par Google, AMP vient récemment de changer de gouvernance. C’est désormais un projet en incubation sous la responsabilité de la fondation OpenJS, elle-même née de la fusion des fondations...

WebAssembly

WebAssembly

Va-t-il réussir là où le Java a échoué ? WebAssembly ne semblait être qu’une solution pour faire tourner du C/C++ dans le navigateur web, une technologie qui séduit et qui pourrait bien avoir...

RSS
Afficher tous les dossiers

COMMUNICATIONS UNIFIÉES : une convergence accrue entre communication et collaboration - Réussir StopCovid ! - Énergie : les datacenters sur le grill - Le lourd poids de la dette technique - GitLab comme solution DevSecOps - Les femmes, avenir de la filière IT ? - Apps de messagerie, attention danger ? - Pôle IA Toulouse...

 

BASES DE DONNÉES : le DBaaS va tout balayer - Gestion de l'information : structurer le non structuré ! - Municipales : la politique se numérise, le numérique se politise - Cybersécurité : les planètes Cyber alignées ! - DevOps : WebAssembly, langage assembleur du Web - AMP confié à OpenJS - Pénurie des formations IA - À la recherche de nouvelles compétences IT...

 

20 TECHNOS pour 2020 et au-delà... : multicloud, rpa, edge&fog, apis, quantique... - La transfo numérique exemplaire d'une PME industrielle - BYOK : chiffrer le Cloud - L'Open Source teinté d'Orange - Mettre de l'intelligence dans l'APM - Le disque dur fait de la résistance - CI/CD as a Service - Digital Campus, n°1 des écoles du numérique...

 

Afficher tous les derniers numéros

Malgré des investissements massifs dans le développement à hauteur de près de 4 milliards de dollars l'année dernière, près de la moitié du temps consacré au DevOps est perdu dans la répétition des tâches et dans la logistique. Ceci fait que 90% des entreprises qui ont adopté ces pratiques sont déçues par les résultats, selon une étude publiée par le Gartner.


Découvrez dans ce livre blanc, les avantages des toutes nouvelles solutions NETGEAR, pour simplifier et rentabiliser vos déploiements, et gérer votre réseau à distance, où que vous soyez, au bureau ou en télé-travail.


OneTrust est une plateforme logicielle innovante de gestion de la confidentialité, de la sécurité des données personnelles et des risques fournisseurs. Plus de 4 000 entreprises ont choisi de faire confiance à cette solution pour se conformer au RGPD, au CCPA, aux normes ISO 27001 et à différentes législations internationales de confidentialité et de sécurité des données personnelles.

OneTrust vous propose de télécharger le texte officiel du Règlement Général sur la Protection des Données (RGPD). Vous aurez également la possibilité de recevoir la version imprimée de ce texte, sous forme de guide pratique au format A5, spiralé, en complétant le formulaire.


Le présent guide d'achat vous aidera à améliorer l'efficacité de votre cloud hybride, en mettant l'accent sur les stratégies de gestion des données dédiées aux applications correspondantes.


Les entreprises et les organismes publics se focalisent aujourd’hui sur la transformation numérique. En conséquence, les DevOps et l’agilité sont au premier plan des discussions autour des stratégies informatiques. Pour offrir ces deux avantages, les entreprises travaillent de plus en plus avec les fournisseurs de services de cloud public et développent désormais des clouds sur site à partir d’une infrastructure qui répond à trois exigences de base:
1. Agilité sans friction des ressources physiques
2. Systèmes de contrôle optimisant l'utilisation des ressources physiques et offrant un retour sur investissement maximal
3. Intégration des divers composants de l'infrastructure pour un provisionnement et une gestion des ressources automatisés.


Tous les Livres Blancs
Derniers commentaires
Après la rupture du statu quo péniblement établi avec Donald Trump, les réseaux sociaux se retrouvent coincés entre le marteau et l'enclume: un président qui menace de les fermer et l'obligation de gérer la désinformation politique pendant la campagneAprès la rupture du statu quo péniblement établi avec Donald Trump, les réseaux sociaux se retrouvent coincés entre le marteau et l'enclume: un président qui menace de les fermer et l'obligation de gérer la désinformation politique pendant la campagne. [Lire la dépêche...]

Des influenceurs vont se retrouver un week-end à Paris pour propulser leurs profils sur TikTok et Instagram, sur le modèle de la Neuf jeunes influenceurs vont se retrouver dans une villa parisienne pour propulser leurs profils sur TikTok et Instagram, sur le modèle de la "Hype house" qui rassemble les stars américaines des réseaux sociaux. [Lire la dépêche...]

Les tweets signalés de Donald Trump, vus sur un écran photographié à Los Angeles, le 26 mai 2020Donald Trump a menacé mercredi de "fermer" des plateformes de réseaux sociaux après le signalement la veille par Twitter de certains de ses messages comme "trompeurs", une initiative inédite qui n'a pas empêché une nouvelle avalanche de tweets furieux du président américain, reprenant parfois des informations non vérifiées. [Lire la dépêche...]

L'application StopCovid affichée sur un téléphone portable, à Paris, le 27 mai 2020Est-il possible de lancer une application de traçage de contacts sur smartphone comme StopCovid, sans adopter les outils contrôlés par Google et Apple ? Au nom de la souveraineté, le gouvernement français a fait un pari risqué, selon beaucoup d'acteurs du secteur technologique. [Lire la dépêche...]

Un téléphone équipé de l'application StopCovid, à Paris, le 27 mai 2020Après le feu vert de l'Assemblée, le Sénat a entamé mercredi soir le débat sur l'application pour smartphone StopCovid, censée aider à lutter contre l'épidémie, mais jugée "liberticide" par ses détracteurs, dont quelques voix dissonantes chez LREM.   [Lire la dépêche...]

Snapchat est un nouveau grand terrain de bataille de la présidentielle américaineLes meetings bouillonnants, la distribution de tracts sur des campus bondés... Aux Etats-Unis, la pandémie a mis un coup d’arrêt brutal aux efforts pour courtiser les jeunes électeurs, forçant les candidats à la présidentielle à se ruer sur Snapchat. [Lire la dépêche...]

Un hélicoptère de la Nasa vole devant le Centre spatial Kennedy, le 27 mai 2020 en FlorideAprès une journée de suspense, le premier vol habité de la société américaine SpaceX a été reporté de mercredi à samedi en raison des intempéries, alors que deux astronautes de la Nasa étaient installés dans la capsule au sommet de la fusée qui devait les emmener vers la Station spatiale internationale. [Lire la dépêche...]

Des messages du président américain Donald Trump ont été signalés comme problématiques par Twitter, une premièreTwitter a signalé pour la première fois mardi des messages de Donald Trump comme "trompeurs" mais était dans le même temps violemment attaqué pour avoir laissé le président américain accuser, sans l'ombre d'une preuve, un ancien élu d'avoir assassiné une assistante parlementaire. [Lire la dépêche...]

Toutes les dépêches AFP
AgendaIT

DEVOXX (ANNULÉ)

Devoxx France qui se présente comme la première conférence indépendante pour les développeurs en France tient sa 9ème édition du 1er au 3 juillet 2020 à Paris au Palais de Congrès de la Porte Maillot. Organisée par Quantixx.

BIG DATA

Conférences et exposition sur le Big Data les 14 et 15 septembre 2020 à Paris, Porte de Versailles. Organisé par Corp Agency.

AI PARIS

Conférence, exposition et rendez-vous d'affaires sur l'intelligence artificielle à Paris, Porte de Versailles les 14 et 15 septembre 2020. Organisé par Corp Agency.

RSS
Voir tout l'AgendaIT
0123movie