Les correctifs de Big Tech contre eMudhra pourraient laisser les bots crypto exposés, avertit CertiK

Les bots de trading de cryptomonnaies et les applications d’échange pourraient rester exposés à la faille de sécurité des certificats eMudhra malgré les correctifs d’urgence déployés par les grandes entreprises technologiques, selon la société de sécurité blockchain CertiK.

Mardi, des géants de la technologie, dont Google, Apple et Microsoft, avaient bloqué huit certificats vulnérables émis par l’indienne eMudhra, mais ces correctifs pourraient ne pas protéger les applications crypto qui utilisent des systèmes de sécurité distincts, a déclaré à Cointelegraph Peiyu Wang, directeur principal de la sécurité des actifs numériques chez CertiK.

« Les blocages mis en place par les principaux navigateurs réduisent considérablement le risque pour les clients qui les reçoivent et les appliquent », a déclaré Wang. « Certaines applications extérieures à l’écosystème des navigateurs n’appliquent pas la transparence des certificats et ne bénéficient pas des mêmes protections liées à la révocation. »

Wang a souligné que les services crypto ne sont pas intrinsèquement plus vulnérables à cette faille que ceux d’autres secteurs, mais que des attaquants pourraient exploiter des certificats compromis pour usurper les connexions HTTPS utilisées par les plateformes d’échange, les interfaces de portefeuilles crypto et les API.

Les attaquants pourraient notamment usurper des services crypto, remplacer des adresses de dépôt ou inciter les utilisateurs à approuver des transactions malveillantes, a déclaré Wang. De telles attaques nécessiteraient également d’intercepter ou de rediriger le trafic internet des utilisateurs, tandis que les seules clés compromises de l’autorité de certification ne suffiraient pas à exposer les clés privées des portefeuilles crypto.

Wang a exhorté les opérateurs crypto à mettre à jour leurs logiciels et leurs magasins de certificats de confiance, et à vérifier que leurs applications rejettent les certificats concernés.

Felix Ng a contribué à cet article.

À lire aussi : Les avertissements précoces de Ledger concernant un implant méritaient davantage d’action, estime Karpelès