Le développeur Bitcoin quitte le réseau Lightning en raison de problèmes de sécurité

Antoine Riard a déclaré que le réseau est vulnérable aux attaques de remplacement, qui pourraient permettre à des acteurs malveillants de siphonner les fonds des mempools.

Le développeur Bitcoin Antoine Riard, membre bien connu de la communauté Lightning Network, a annoncé son départ du projet après avoir révélé une vulnérabilité majeure. 

Dans une annonce le 20 octobre, le développeur a déclaré qu'il mettait fin à son implication dans Lightning et à ses implémentations avec effet immédiat.

"Je pense que cette nouvelle classe d'attaques cycliques de remplacement place Lightning dans une position très périlleuse, où seule une solution durable peut être apportée au niveau de la couche de base, par exemple en ajoutant un historique gourmand en mémoire de toutes les transactions vues ou une mise à niveau consensuelle", a déclaré Riard dans sa note.

Le Lightning Network est une solution de couche 2 pour la blockchain Bitcoin qui vise à résoudre certains des problèmes associés à l'évolutivité et aux frais de transaction élevés de Bitcoin. Il permet des transactions plus rapides, moins chères et plus privées, ce qui en fait un élément crucial de l'écosystème Bitcoin. 

La vulnérabilité Riard mis en évidence permettrait à des acteurs malveillants de voler des fonds sur le réseau Lightning en exécutant ce qu'il décrit comme « une attaque de brouillage de relais de transaction ». 

Les attaquants pourraient cibler les contrats Hash Time Locked (HTLC) de Lightning, perturbant ainsi le flux normal des transactions et empêchant leur traitement, entraînant potentiellement une perte de fonds sur ses canaux.

4/ En sécurisant le HTLC sur chaque saut avec le même hashlock, les paiements peuvent être acheminés de manière atomique.

Carol ne peut pas réclamer le HTLC sortant sans révéler la pré-image, que Bob peut ensuite utiliser pour récupérer le HTLC entrant d'Alice.

C'est du moins la théorie…

— mononaute (@mononautical) 21 octobre 2023

Après que de fausses déclarations sur le message de Riard aient commencé à apparaître sur Twitter, il a clarifié dans un autre poster que les failles de sécurité qu’il a soulevées n’étaient pas, en fait, des « portes dérobées intentionnelles » qui remettraient en question la compétence et le savoir-faire de la communauté de développement Bitcoin et Lightning. 

« Entre-temps, les experts en foudre ont déjà déployé des mesures d'atténuation qui renforcent considérablement l'écosystème de la foudre face aux attaques simples ou moyennes », a déclaré Riard.

Il a souligné que des attaques plus sophistiquées ne pourraient être exécutées que si les développeurs disposaient de suffisamment de connaissances peer-to-peer et mempool et de plusieurs mois de préparation.