Un chercheur signale une faille dans Cake Wallet qui permettrait de détourner des paiements en bitcoin

• Selon son rapport, cela affecterait les wallets Bitcoin dans les versions 6.4.4 et 6.5.0.
• L'attaque supposée nécessite un serveur malveillant ou un intermédiaire sur le réseau.

Un chercheur en sécurité qui signe sous le nom de "floppy" a publié le 24 octobre un rapport sur une faille présumée dans Cake Wallet, un wallet mobile open source. Selon le rapport, la faille permettrait de détourner des paiements en bitcoin vers un attaquant lorsque l'utilisateur accélère une transaction en attente. L'entreprise ne s'est pas prononcée sur le rapport.

Le scénario décrit par le chercheur est concret : l'utilisateur envoie des bitcoins, la transaction reste sans confirmation et décide de payer plus pour qu'elle soit traitée plus rapidement. Cette fonction, appelée RBF (remplacer par frais), crée une copie de l'envoi avec un tarif plus élevé qui remplace l'original.

Selon le rapport, pour créer cette copie, Cake Wallet n'utilise pas ses propres enregistrements. Il demande les données à un serveur Electrum, l'équipement distant auquel l'application se connecte pour consulter le réseau sans le télécharger complètement. Le chercheur soutient que l'application ne vérifierait pas que ce qui est reçu correspond à ce qui a été demandé.

Dit simplement, ce serait comme demander à un tiers la copie d'un chèque pour le réimprimer et le signer sans vérifier le nom du bénéficiaire. Si le serveur changeait l'adresse du destinataire par la sienne, le wallet signerait de la même manière et le paiement finirait entre les mains de l'attaquant.

Qui pourrait en profiter, selon le rapport

Le chercheur identifie deux profils d'attaquants. Le premier serait celui qui opère le serveur utilisé par l'application. Cela peut être le nœud par défaut de Cake Wallet, un tiers ou un personnalisé choisi par l'utilisateur.

Le second serait un intermédiaire sur le réseau, par exemple sur un wifi public. L'auteur affirme que cela est possible car l'application accepterait n'importe quel certificat de sécurité, c'est-à-dire qu'elle ne vérifierait pas que le serveur est bien celui qu'il prétend être. Selon le même rapport, le mode Tor intégré de Cake effectue bien cette vérification, donc cette voie serait fermée.

Le chercheur ajoute que l'utilisateur n'aurait aucun moyen de le remarquer. Si le serveur répond honnêtement à la première requête et altère les suivantes, l'écran de confirmation afficherait la même chose qu'une accélération légitime.

Ce qui reste à confirmer

Le rapport inclut une preuve de concept qui, selon l'auteur, a été exécutée sur un réseau de test local de Bitcoin. Dans cet environnement, il assure que le remplacement falsifié a été accepté et confirmé, avec le paiement envoyé à l'adresse de l'attaquant.

Cependant, l'auteur lui-même précise qu'il ne l'a pas exécuté contre l'application installée sur un appareil. Il n'y a pas non plus d'enregistrements de vols, bien que sa publication sur X parle directement de "vol via RBF". Pour l'instant, la faille n'a pas été vérifiée par des tiers ni reconnue par Cake Wallet.

L'auteur a également déclaré avoir utilisé des outils d'intelligence artificielle pour enquêter sur la faille, créer la preuve et rédiger le rapport. Ce détail rend encore plus pertinent un examen indépendant du rapport avant de le valider.

Le cas présente un contraste. Face à un vol récent qui a affecté un autre wallet, Cake a assuré sur son forum officiel qu'elle auditait ce type de code depuis des années. Elle a également déclaré avoir intensifié ces révisions avec des modèles d'IA.

Un autre aspect est le délai. Le chercheur a publié le rapport cinq jours après l'avoir envoyé et a accusé l'équipe d'être plus occupée par le marketing. Ce délai est beaucoup plus court que les 90 jours habituels pour la divulgation responsable des vulnérabilités.

Précautions en attendant

Le rapport propose que l'application vérifie que la transaction reçue correspond à celle demandée et affiche à l'écran ce qu'elle va réellement signer. Tant que Cake Wallet ne se prononce pas, les utilisateurs qui souhaitent être prudents peuvent :

• Éviter l'option d'accélérer les frais (Bump fee) sur les envois en attente.
• Activer le mode Tor de l'application.
• Se connecter à un serveur Electrum personnel ou de confiance.

Au-delà de la façon dont le cas se terminera, le rapport rappelle qu'un wallet léger dépend de serveurs externes pour voir le réseau, et que chaque donnée qu'il ne vérifie pas est une donnée en laquelle il fait confiance. Si la faille est confirmée, la faiblesse ne serait pas dans la cryptographie, mais dans cette confiance.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.