Semblable au hack Hugging Face, les chercheurs d’Ethereum ont mis en place un forum de messages AI Agent pour aider à sauver le fork de Glamsterdam. Le site « Steal My Bitcoin » a été piraté avec succès.
Un forum d'agents IA mis en place pour sauver Glamsterdam Fork
Le deuxième et dernier réseau de test pour le hard fork Glamsterdam d’Ethereum a été annulé cette semaine, après que ChainSecurity ait découvert des vulnérabilités dans deux propositions d’amélioration d’Ethereum à grande échelle qui auraient pu causer de gros problèmes pour au moins 13 contrats DeFi.
Les bogues étaient liés à EIP-8037/8038 et ont abouti à des contrats, qui dépendent du comportement actuel du gaz, se rompant lorsqu'un appel manque de gaz. Tout cela est assez technique et compliqué, mais le résultat est qu’un attaquant aurait pu exploiter les vulnérabilités qui en résultent.
La répétition générale du hard fork testnet sur Hoodi ne devrait pas être reprogrammée tant que tous les effets de second ordre du fork n'auront pas été correctement joués. Dans un article sur X aujourd'hui, Derek Chiang d'Ethlabs a noté que les problèmes ont été découverts très tard dans le processus, ce qui est loin d'être idéal, « obligeant tout le monde à se démener pour gérer les retombées ».
« À l’avenir, les concepteurs de protocoles feraient bien de procéder à une analyse beaucoup plus approfondie des pannes potentielles que leur mise à jour pourrait introduire, et de le faire beaucoup plus tôt dans le processus. »
Chiang affirme que deux chercheurs d'Ethlabs et de la Fondation Ethereum ont créé indépendamment un groupe d'agents d'IA pour analyser les contrats à la recherche de vulnérabilités. Lorsqu'ils ont réalisé qu'ils employaient tous les deux la même stratégie, ils ont « mis en place un forum de discussion pour leurs agents sous la forme d'un dépôt github » pour coordonner le travail.
Il a noté les similitudes avec OpenAI <> Hugging Face hack où des agents malhonnêtes avaient mis en place un forum de discussion pour coordonner les attaques. "Eh bien, il s'avère que le même modèle est également utile pour les bons agents", a-t-il déclaré. L’exercice a si bien réussi à détecter les problèmes potentiels qu’un deuxième comité a été créé pour examiner les effets de l’EIP-8198, alias « Quick Slots », qui a été proposé pour le hard fork Hegota ultérieur.
Le site Steal My Bitcoin est piraté avec succès
Mis à jour le 26 octobre à 00h10 UTC avec le résultat du défi.
Un site Web qui mettait les utilisateurs au défi de « voler mon Bitcoin » en exploitant des vulnérabilités PHP2Shell non corrigées a été piraté avec succès en l’espace d’une journée. Le propriétaire du site a caché la clé d'un portefeuille Bitcoin d'une valeur d'environ 2 000 $, accessible au compte utilisateur PHP via un binaire appelé print-flag.
Source : StealMyBitcoin
Le site a généré un énorme intérêt et s’est mis hors ligne périodiquement en raison d’un trafic important et de tentatives d’enquête. Le problème a été résolu par KillerBoi qui a réussi à extraire la clé privée. Cependant, dans un rebondissement, la clé n'a pas pu accéder à l'adresse du portefeuille indiquée sur le site. L'organisateur du défi, James Pavur, a reconnu qu'il s'agissait d'une erreur et a déclaré que les fonds seraient transférés.
Le fondateur de WordFence, Mark Maunder, a déclaré malgré l'extraction de la clé en une journée : "C'est la meilleure explication que vous verrez sur la difficulté d'exploiter #php2shell. L'auteur a dû déclencher une condition précise de corruption de la mémoire, fuir les adresses de la mémoire interne, contourner l'ASLR, procéder à l'ingénierie inverse des structures de mémoire interne de PHP, forger des structures pour détourner l'exécution et tenir compte des différences de construction de PHP, du comportement et du timing des travailleurs."
PHP est un langage de programmation largement utilisé pour alimenter les sites Web et les applications Web, y compris les systèmes de gestion de contenu. Les agences gouvernementales et d'autres organisations aux Pays-Bas, en Australie, au Japon, en Finlande et ailleurs ont mis hors ligne mercredi des sites Web critiques par mesure de précaution pendant que des correctifs d'urgence étaient développés pour deux vulnérabilités critiques liées. Les failles pourraient permettre à des attaquants non authentifiés d’exécuter du code sur les serveurs concernés sans se connecter.
Alpenglow de Solana est lancé sur le réseau principal
La première mise à jour consensuelle majeure de Solana, Alpenglow, a été mise en ligne sur le réseau principal mercredi vers 13 h 54 UTC, selon le tableau de bord Alpenglow de la Fondation Solana.
Le développeur d'Agave, Anza, a déclaré que le temps nécessaire à une transaction pour devenir définitive est désormais passé d'environ 12,8 secondes à environ 150 millisecondes. À la suite de la mise à niveau, l’activité DeFi est restée stable ou a légèrement diminué – mais il n’en est encore qu’à ses débuts.
La première phase de la mise à niveau, Votor, remplace le mécanisme de vote et de finalisation existant par un vote direct du validateur et un système basé sur des certificats, ce qui devrait entraîner une baisse du nombre de transactions principales d'environ 60 %. Une phase ultérieure introduira Rotor, un nouveau protocole de distribution de données par blocs destiné à remplacer Turbine.
Starknet vote pour commencer à travailler pour devenir une L1 post-quantique
La communauté de Starknet a voté pour soutenir la recherche visant à devenir une blockchain indépendante de couche 1 post-quantique.
Un vote sur la gouvernance qui s'est déroulé pendant sept jours a rassemblé environ 3 200 voix, avec 93,52 % des voix en faveur de la transition.
Le changement lui-même nécessiterait un vote distinct et contraignant sur la gouvernance. Pour l’instant, Starknet continuera à fonctionner comme un réseau Ethereum de couche 2.
"Nous commençons à travailler sur un livre blanc avant même de commencer le week-end et espérons publier un projet pour examen public en novembre", a déclaré Eli Ben-Sasson, PDG de StarkWare, à Cointelegraph. Starknet a connu cette semaine la plus forte baisse des 100 principales pièces, effaçant un quart de sa valeur.
Source : Cointelegraph
Un sénateur américain enquête sur Tether après un accord avec l'ancien conseiller en cryptographie de Trump
Le sénateur Richard Blumenthal – le principal démocrate de la sous-commission d'enquête du Sénat – a demandé des informations au PDG de Tether, Paolo Ardoino, après que le Wall Street Journal a rapporté que la société stablecoin avait signé un accord de 6,3 millions de dollars avec une société de marketing cofondée par l'ancien conseiller en cryptographie de la Maison Blanche, Bo Hines.
Dans une lettre adressée jeudi à Ardoino, le législateur du Connecticut a déclaré que la sous-commission permanente du Sénat sur les enquêtes exigeait « des dossiers et des informations relatives aux contrats, aux paiements, aux communications et au lobbying » concernant l'accord. L’homme politique estime que cela pourrait enfreindre les règles en matière d’éthique, de corruption et de lobbying. Tether affirme qu'une enquête externe "n'a trouvé aucune preuve d'actes répréhensibles".
Gagnants et perdants
À la fin de la semaine, Bitcoin (BTC) est en baisse de 1,2 % pour s'échanger à 80 549 $, Ethereum (ETH) est en baisse de 1,9 % pour s'échanger à 2 343 $ et XRP (XRP) est en hausse de 0,9 % à 1,20 $. La capitalisation boursière totale s'élève à 2,68 billions de dollars selon CoinMarketCap.
Parmi les 100 plus grandes crypto-monnaies, les trois premiers gagnants altcoin de la semaine sont MemeCore (M) avec un gain de 24,4 %, Venice Token (VVV) avec 14,8 % et Ethena (ENA) avec 14,1 %.
Les trois principaux perdants de l'altcoin de la semaine sont Starknet (STRK) en baisse de 24,9 %, Aerodrome Finance (AERO) en baisse de 12,5 % et Sei (SEI) en baisse de 12,5 %.
Graphique hebdomadaire Bitcoin. Source : CoinMarketCap
Prédiction de la semaine
JPMorgan prévoit que Bitcoin surperformera les actions américaines et l'or au cours de la prochaine décennie
JPMorgan Asset Management prévoit que le Bitcoin (BTC) surperformera les actions et l'or au cours de la prochaine décennie, mais prévient que sa volatilité le rend impropre à la diversification des portefeuilles pour le moment.
Lundi, JPMorgan a publié son rapport sur les hypothèses du marché des capitaux à long terme pour 2027, prévoyant un rendement annualisé de 10 % pour le Bitcoin, contre 7,5 % pour les actions américaines à grande capitalisation et 5,5 % pour l'or.
"Pour le moment, nous ne plaidons pas en faveur du Bitcoin en tant que moyen de diversification des portefeuilles en raison de ses corrélations de marché instables", indique le rapport. "Nous considérons le Bitcoin comme un actif spéculatif et une protection contre l'assouplissement monétaire."
Meilleur FUD de la semaine
New York AG demande 1,37 milliard de dollars aux fondateurs de NovaTech pour une opération à la Ponzi
Le procureur général de New York, Letitia James, a demandé à un tribunal d'ordonner aux fondateurs de la plateforme de trading de crypto et de forex NovaTech, Cynthia et Eddy Petion, et aux sociétés liées, de payer 1,37 milliard de dollars pour son stratagème de Ponzi.
Plus de 11 000 New-Yorkais ont perdu des dizaines de millions de dollars grâce à NovaTech et à un précédent programme de minage de crypto-monnaie, AWS Mining, a indiqué le bureau de l'AG. La plainte alléguait que les promoteurs ciblaient les communautés haïtiennes et d’autres immigrants par le biais de groupes de prière, des médias sociaux et de WhatsApp, promettant des rendements élevés et des primes de recrutement.
Bitcoin Core modifie sa politique de sécurité car l'IA facilite la recherche des bogues
Bitcoin Core change la façon dont il gère les vulnérabilités de sécurité, en raison de la rapidité avec laquelle de grands modèles de langage peuvent découvrir des failles logicielles.
Antoine Poinsot, développeur de Bitcoin Core, a déclaré que dans le passé, les vulnérabilités étaient généralement soumises à de longs embargos de divulgation pour donner aux utilisateurs le temps de mettre à niveau avant que les détails ne soient rendus publics.
Cependant, Poinsot a déclaré que les LLM ont rendu certaines failles si faciles à redécouvrir que retarder les corrections offre peu de protection.
"La période d'embargo n'apporte pas grand-chose mais elle retarde la disponibilité d'une version corrigée", a déclaré Poinsot. "Nous mettons donc à jour notre politique de divulgation pour tenir compte de ces éléments."
Le Pentagone interdit aux forces américaines d'utiliser des informations militaires pour parier sur les marchés de prédiction
Le secrétaire américain à la Défense, Pete Hegseth, a interdit à tout le personnel du Pentagone d'utiliser des informations non divulguées pour parier sur une action militaire à venir, y compris sur des plateformes de marché de prédiction comme Kalshi et Polymarket.
Dans une note envoyée mardi aux hauts responsables du Pentagone et des agences de défense, Hegseth a déclaré qu'il était interdit à tout le personnel du ministère de la Guerre de s'engager dans des transactions financières en utilisant des informations non publiques. Cela implique à la fois des informations classifiées et non classifiées.
Meilleures fonctionnalités du magazine de la semaine
5 alternatives à Ledger pour stocker votre Bitcoin
Les portefeuilles matériels ne sont pas le seul moyen de protéger votre crypto, mais des ETF et mots de passe aux comptes multisig, chaque alternative comporte ses propres risques et compromis.
Les agents peuvent échanger 24h/24 et 7j/7, mais Yat Siu prévient que vous pourriez perdre l'accès à tout moment
Le président d'Animoca Brands explique que les agents IA peuvent effectuer des transactions pendant que vous dormez, mais que les utilisateurs doivent planifier le jour où ils perdront l'accès aux robots.
