Plus de trente entreprises du secteur Bitcoin, dont Coinbase, Block et BitGo, ont signé une lettre ouverte demandant aux grands laboratoires d’IA un accès anticipé à leurs modèles les plus avancés pour les chercheurs en sécurité open source. Cette mobilisation souligne que les attaquants exploitent déjà l’IA pour identifier des failles, laissant les défenseurs en retard.
🔑 En bref
- 30+ firmes Bitcoin et crypto ont signé une lettre ouverte coordonnée par le Bitcoin Policy Institute
- Elles demandent un accès anticipé aux modèles IA les plus puissants pour les mainteneurs open source
- Le calendrier coïncide avec la faille critique de BTCPay exploitée par des attaquants
- L’enjeu : plus de 1 000 milliards de dollars de valeur soutenus par Bitcoin
- Une faille libp2p chez Ethereum (CVE-2026-34219) a aussi été découverte par un agent IA en juillet
Une lettre ouverte pour rééquilibrer la balance attaque-défense
La lettre, organisée par le Bitcoin Policy Institute (BPI) et publiée cette semaine, réunit des signatures de Coinbase, Block, BitGo, Blockstream, Anchorage Digital, ARK Invest, Bitwise, Foundry, Casa, Exodus ainsi que des fonds de développement sans but lucratif Brink, Chaincode et Btrust.
La plainte centrale est claire : les développeurs de Bitcoin Core — le petit groupe qui maintient le logiciel exécutant le réseau — ne peuvent pas accéder aux programmes que les laboratoires exécutent pour leurs partenaires de sécurité de confiance. Lorsqu’ils se tournent vers les modèles publics, les filtres de sécurité conçus pour empêcher la rédaction de logiciels malveillants bloquent aussi les efforts pour trouver des failles avant les criminels. Ils doivent alors se rabattre sur des modèles open-weight, librement téléchargeables mais généralement moins capables.
« Plus de 1 000 milliards de dollars de valeur sont soutenus par Bitcoin seul, ce qui signifie qu’une vulnérabilité sérieuse dans l’infrastructure financière peut mettre les économies des utilisateurs en danger. »
Bitcoin Policy Institute, lettre ouverte
Cinq revendications concrètes adressées aux laboratoires
Les signataires formulent cinq demandes précises aux laboratoires d’IA, selon CoinDesk et Crypto.news :
- Accès anticipé aux modèles cyber les plus puissants, y compris avant leur sortie publique
- Budget informatique suffisant pour mener des examens significatifs
- Environnements sécurisés pour examiner du code privé
- Éligibilité pour les petits mainteneurs indépendants, pas seulement pour les grandes entreprises
- Ligne directe avec les équipes de sécurité des laboratoires pour rapporter leurs découvertes
Des attaques récentes qui confirment l’urgence
Le calendrier de la lettre n’est pas accidentel. BTCPay Server, signataire de la lettre, a divulgué une faille critique la semaine dernière que des attaquants avaient déjà exploitée pour drainer des nœuds Lightning (canaux de paiement de seconde couche) appartenant à des marchands. Foundation, le fabricant de portefeuille matériel également signataire, a perdu son propre nœud dans cette attaque.
BTCPay a écrit ensuite que l’IA change l’équilibre entre attaquants et défenseurs, et que les modèles rendent plus rapide et moins coûteux la recherche de faiblesses dans de grandes bases de code. Un groupe de volontaires appelé Bitcoin Red Team a commencé à pointer des modèles d’IA sur les bases de code Bitcoin ce mois-ci et a déposé des milliers de découvertes à travers des centaines de projets, y compris le rapport qui a produit le correctif de BTCPay.
Les développeurs de Bitcoin Core ont par ailleurs corrigé plusieurs vulnérabilités ces derniers mois. En juin, Bitcoin Core 31.1rc1 a corrigé un problème de confidentialité impliquant PrivateBroadcast qui pouvait exposer l’adresse IP d’un utilisateur sous certaines conditions réseau. Le candidat à la publication contenait également des changements couvrant la précision du portefeuille, la mise en réseau, la validation de la blockchain et la sécurité MuSig2 (protocole de signatures multi-parties).
| Vulnérabilité | Composant | Impact | Période concernée |
|---|---|---|---|
| CVE-2024-52911 | Bitcoin Core | Plantage distant de nœuds | Versions 0.14.0 à 29.0 |
| Faille BTCPay Server | Lightning Network | Drain de nœuds marchands | Exploit actif en 2026 |
| CVE-2026-34219 | Ethereum libp2p | Vulnérabilité réseau pair-à-pair | Divulguée en juillet 2026 |
Une tendance de fond : l’IA au cœur des cyberattaques crypto
Le Bitcoin Policy Institute a déclaré avoir reçu de multiples rapports indépendants de mainteneurs open source sur des acteurs sophistiqués utilisant des capacités d’IA avancées pour mener des attaques. Une partie de l’activité impliquait potentiellement des adversaires étrangers, selon l’institut.
L’étude de la Ethereum Foundation publiée en juillet a montré que des agents d’IA coordonnés pouvaient découvrir de véritables vulnérabilités dans les logiciels utilisés par Ethereum, y compris la faille libp2p (bibliothèque de mise en réseau pair-à-pair) plus tard divulguée comme CVE-2026-34219. L’équipe de sécurité du protocole a déclaré que la partie la plus difficile consistait à distinguer les vrais rapports de vulnérabilité des faux positifs convaincants générés par l’IA.
Les chiffres des pertes liées aux piratages donnent une idée de l’ampleur du problème. Selon DefiLlama, plus de 634 millions de dollars ont été volés aux plateformes crypto en avril, les pertes mensuelles les plus élevées depuis le piratage de Bybit. Deux attaques ont représenté l’essentiel : Drift Protocol a perdu environ 285 millions de dollars, tandis qu’une exploitation impliquant KelpDAO a entraîné des pertes d’environ 292 millions de dollars. Sur la décennie écoulée, plus de 17 milliards de dollars ont été volés à travers 518 incidents de piratage crypto.
« Les trois à quatre prochaines années pourraient être critiques pour la cybersécurité crypto pendant que les équipes défensives travaillent pour utiliser les mêmes capacités d’IA afin de produire des bases de code plus sécurisées. »
Mitchell Amador, PDG d’Immunefi
Conclusion : une course contre la montre pour les mainteneurs
Cette lettre ouverte marque un tournant dans la perception du risque cyber pour les infrastructures décentralisées. Pendant des années, les développeurs open source se sont appuyés sur des audits manuels et des programmes de bug bounty (récompenses en cas de découverte de faille). L’arrivée de modèles d’IA génératifs utilisés par les attaquants change la donne : la vitesse de découverte des vulnérabilités n’est plus limitée par les ressources humaines, mais par l’accès aux outils.
La réponse des laboratoires d’IA sera déterminante. Si les modèles les plus performants restent inaccessibles aux mainteneurs Bitcoin Core et aux projets open source, l’écart se creusera avec des attaquants déjà bien outillés. À l’inverse, une collaboration structurée — telle que proposée par la lettre — pourrait permettre de transformer l’IA en allié de la défense. Les prochains mois, avec l’arrivée probable de nouvelles générations de modèles, seront décisifs pour évaluer si l’écosystème crypto prend la mesure de cette nouvelle menace.
Sources
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
