- La Fondation IOTA a présenté un plan de sauvetage permettant de sécuriser l’IOTA volée et dans quel délai le réseau IOTA sera remis en service.
- L’outil de migration devrait être mis en service la semaine prochaine, puis les utilisateurs du portefeuille Trinity de l’IOTA auront sept jours pour l’utiliser et passer leur portefeuille à une graine sécurisée.
Près de neuf jours après que la Fondation ait pris connaissance du piratage du portefeuille IOTA Trinity elle a publié un plan de remédiation. Le plan de restauration comprend un plan d’action concret sur la manière de remettre le réseau IOTA en ligne et d’empêcher le pirate d’utiliser les graines capturées pour voler l’IOTA capturée aux utilisateurs du portefeuille Trinity.
Comme le décrit la Fondation IOTA, le 12 février 2020, vers 15 heures CET, elle a eu connaissance de transactions sortantes non autorisées sur ses comptes précédemment en équilibre positif, ce qui l’a obligée à prendre une décision rapide. Dans les quatre premières heures qui ont suivi l’annonce de l’attaque, les dirigeants ont pris la décision d’arrêter le coordinateur et de mettre ainsi un terme de transactions de valeur à la Tangle de IOTA. Ce qui s’est passé par la suite a déjà été rapporté de manière très détaillée.
La Fondation IOTA a maintenant également commenté le déroulement réel des événements du piratage. Elle déclare que l’intégration de MoonPay a été relativement rapidement identifiée comme la cause. Celui-ci a été livré sous forme de code groupé, appelé CDN (Content Delivery Network). Consciente de la vulnérabilité de la technologie CDN, la Fondation IOTA a exigé de MoonPay un NPM (Node Package Manager). Cependant, ce dernier a été livré trop tard par MoonPay alors qu’une grande partie du travail de développement avait déjà été effectuée, ce qui explique pourquoi l’intégration n’a pas eu lieu avant le lancement du portefeuille Trinity (traduit librement) :
[…] mais la pression de la libération et l’erreur humaine ont fait que la Fondation n’est pas passée au paquet NPM plus sûr avant le lancement. C’est cette vulnérabilité que l’attaquant a exploitée et qui aurait probablement pu être corrigée si la Fondation avait eu un processus d’examen plus complet et inter-équipes pour les versions majeures.
En ce qui concerne le reste du piratage, le premier billet de blog indique en outre que l’attaquant a fusionné de nombreux paquets contenant 28 GIOTA, vraisemblablement pour éviter les procédures d’identification KYC des bourses. Suite à diverses enquêtes, la Fondation IOTA est arrivée à la conclusion que l’attaque était déjà préparée fin novembre 2019. En outre, une quantité indéterminée d’IOTA a déjà été transférée sur des bourses de crypto-monnaies:
Malheureusement, lorsque nous avons analysé ces journaux avec nos outils d’analyse des enchevêtrements, nous avons découvert que plusieurs adresses étaient en possession d’une bourse. Nous avons de nouveau demandé à la bourse de bloquer immédiatement les comptes et sommes actuellement en correspondance avec eux […].
La révélation suivante est venue avec la remise des fichiers journaux à la Fondation IOTA le 15 février par le fournisseur de DNS mandaté par MoonPay : Cloudflare. […] L’attaquant a commencé le 27 novembre 2019 avec une preuve de concept d’interception DNS qui utilisait une clé API Cloudflare pour réécrire les points terminaux api.moonpay.io et capturer toutes les données allant à api.moonpay.io pour une analyse potentielle ou une exfiltration.
Une autre preuve de concept de longue durée a été évaluée par l’attaquant un mois plus tard, le 22 décembre 2019. Le 25 janvier 2020, l’attaque active sur Trinity a commencé, dans laquelle l’attaquant a commencé à envoyer du code illégal via le fournisseur DNS de Moonpay pendant l’éruption des nuages.
Actuellement, la Fondation IOTA a connaissance de 50 graines dont les jetons ont été volés pendant l’attaque. Un total de 8,55 Ti (8 550 000 000 000 IOTA), soit environ 2,37 millions de dollars US, ont été volés. Cependant, en raison de la nature de l’attaque, il n’est pas possible actuellement d’identifier le nombre exact d’utilisateurs touchés, aussi tous les utilisateurs de portefeuille Trinity sont-ils encouragés à vérifier eux-mêmes s’ils sont touchés.
L’outil de migration de l’IOTA sera disponible la semaine prochaine
Afin de réaliser un retour en arrière et de restituer les IOTA volées à leurs véritables propriétaires, la Fondation IOTA va publier un outil de migration la semaine prochaine. Tous les utilisateurs de Trinity sont alors invités à utiliser l’outil s’ils ont utilisé le portefeuille desktop entre le 17 décembre et le 17 février. La Fondation IOTA écrit sur la procédure concrète:
Au lieu d’alerter immédiatement le coordinateur, nous allons prévoir une période de migration pour tous les utilisateurs vulnérables. La période de migration donnera aux utilisateurs le temps de lancer une migration de leurs jetons de leur graine actuelle, potentiellement compromise, vers une graine nouvellement créée.
Les utilisateurs qui pourraient être affectés auront 7 jours pour effectuer la migration de la graine. Après l’expiration de la période de 7 jours, la Fondation IOTA commencera à valider les contributions soumises. Toutes les soumissions contradictoires doivent être validées par un processus KYC.
En option, une « validation conjointe » aura lieu le 8ème et le 9ème jour après la sortie de l’outil. Au cours de ce processus, la communauté peut vérifier et valider l’état du registre en cas de conflits. Le 10ème jour après la sortie de l’outil, le réseau IOTA sera à nouveau opérationnel avec le nouvel instantané. Le coordinateur sera à nouveau activé.
Si les utilisateurs du portefeuille Trinity ne sont pas en mesure d’utiliser l’outil de migration à temps, il y a un risque que les jetons IOTA volés soient transférés par l’attaquant. Il est également important pour les utilisateurs du portefeuille Trinity que l’outil ne soit disponible que pour Windows 7, Windows 10, Linux et MacOS, et non pour iOS et Android. Les utilisateurs mobiles sont donc encouragés à utiliser l’exportation SeedVault ou à saisir la graine directement dans l’outil manuellement.
Tous les utilisateurs du portefeuille Trinity de l’IOTA et tous les autres partisans et investisseurs de l’IOTA sont encouragés à lire les articles du blog. Dans ces articles, la Fondation IOTA explique comment l’attaquant a procédé, quelles mesures ont été prises et comment éviter de telles attaques et failles de sécurité à l’avenir.
