Les trous troublants du compte de MtGox sur la perte de 600 millions de dollars en Bitcoins

Le 10 février, un échange Bitcoin appelé MtGox a annoncé avoir perdu quelque 850 000 bitcoins, dont 750 000 appartenaient à ses clients. À l'époque, les bitcoins se négociaient à 827 $ pièce, ce qui rend la valeur de la perte équivalente à 620 millions de dollars.

C'est un manque à gagner important selon les normes de n'importe qui. Mais MtGox avait une explication. Dans un communiqué de presse ce jour-là, elle a annoncé avoir été victime d'une fraude dans laquelle les bitcoins avaient été volés par des pirates.

La fraude, a déclaré la société, résultait d'un problème connu sous le nom de bogue de malléabilité des transactions. Cela permet aux utilisateurs malveillants de transférer des bitcoins sur leurs comptes tout en faisant croire à MtGox que le transfert a échoué. Par conséquent, MtGox a répété ces transactions de sorte que le montant total a été transféré deux fois.

Aujourd'hui, Christian Decker et Roger Wattenhofer de l'Ecole polytechnique fédérale de Zurich jettent le doute sur cette version des faits. Ces types surveillent les transactions bitcoin depuis janvier 2013 d'une manière qui leur permet de détecter les transactions de bogue de malléabilité. Et ils disent que le nombre total de transferts frauduleux au cours de cette période est inférieur de plusieurs ordres de grandeur aux réclamations de MtGox.

Decker et Wattenhofer ont commencé à surveiller le réseau Bitcoin en janvier 2013. Ils ont enregistré toutes les transactions, ainsi que celles qui ont été bloquées, en se connectant à environ 1000 nœuds du réseau Bitcoin. Cela représente environ 20 pour cent du total.

Lorsqu'une transaction est effectuée, les détails se propagent sur le réseau, indiquant aux autres nœuds qui possède désormais les bitcoins. Lorsque la transaction échoue, la nouvelle se répand également afin que les enregistrements de chacun puissent être mis à jour.

Le bogue de malléabilité permet à un utilisateur malveillant de modifier secrètement ces détails afin que l'expéditeur d'origine pense que la transaction a été bloquée tandis que tout le monde pense qu'elle a réussi. Mais Decker et Wattenhofer ont pu enregistrer quand cela s'est produit en recherchant des cas où les mêmes transactions différaient dans les détails pertinents.

Au cours de l'année où ils ont collecté leurs données, Decker et Wattenhofer ont observé un total de 302 000 bitcoins impliqués dans des attaques de malléabilité. Cependant, la grande majorité d'entre elles se sont produites après le communiqué de presse de MtGox le 10 février et semblent être des attaques de copie déclenchées par l'annonce qu'elles pourraient réussir. Ceux-ci, vraisemblablement, ne peuvent pas avoir impliqué MtGox car il avait alors empêché ses clients d'accéder à leurs comptes.

Les nombres impliquant MtGox avant cette date étaient beaucoup moins nombreux. Seuls 1 811 bitcoins ont fait l'objet d'attaques avant que MtGox n'empêche les utilisateurs de retirer des bitcoins, selon Decker et Wattenhofer.

Qui plus est, environ 75 % de ces attaques ont été inefficaces. En tant que tels, à peine 386 bitcoins auraient pu être volés à l'aide d'attaques de malléabilité de MtGox ou d'autres entreprises, concluent-ils. C'est trois ordres de grandeur de moins que le nombre réclamé par MtGox.

C'est une étude intéressante qui laisse un trou béant dans le récit de MtGox sur ce qui s'est passé. Même si toutes ces attaques visaient MtGox, MtGox doit expliquer où se trouvent 849 600 bitcoins, selon Decker et Wattenhofer.

Un corollaire curieux de cette histoire est qu'il y a quelques semaines, MtGox a annoncé avoir trouvé 200 000 Bitcoins sur un vieux disque dur. Ceux-là, au moins, n'avaient pas été volés. Le sort des autres est encore inconnu

C'est un effondrement spectaculaire. En 2013, MtGox traitait 70% de toutes les transactions bitcoin. Aujourd'hui, il a suspendu ses échanges, fermé sa bourse et déposé une demande de mise en faillite.

Nous avons envoyé un e-mail à MtGox pour commentaires, mais nous n'avons pas eu de réponse. De toute évidence, il y a plus à venir dans cette histoire.

Réf : http://arxiv.org/abs/1403.6676 : Malléabilité des transactions Bitcoin et MtGox

cacher