L’IA aide les hackers à exploiter d’anciens smart contracts, alertent les experts

Les projets blockchain ne devraient pas faire auditer leurs smart contracts uniquement avant leur lancement, mais les soumettre ensuite à des contrôles réguliers. Des experts en cybersécurité alertent sur le fait que l’intelligence artificielle (IA) facilite considérablement le travail des pirates, qui peuvent repérer des failles parfois restées invisibles pendant des années.

Selon eux, un audit de sécurité ponctuel ne suffit donc plus. L’IA peut analyser d’anciens logiciels à très grande vitesse et détecter des vulnérabilités passées entre les mailles du filet. Le risque est d’autant plus élevé pour les projets blockchain, qui abritent souvent plusieurs milliards de dollars d’actifs numériques.

L’IA transforme les méthodes des pirates

Pour Ari Redbord, responsable des affaires publiques chez TRM Labs, spécialiste de l’analyse blockchain, les projets du secteur doivent revoir leur organisation en matière de sécurité.

« Nos données montrent que des contrôles continus sont désormais indispensables, plutôt qu’un audit unique », explique Ari Redbord.

« Un audit fondé sur les techniques d’attaque de l’an dernier ne protège pas automatiquement un protocole contre les attaques d’aujourd’hui. Les cybercriminels améliorent sans cesse leurs méthodes. »

CertiK, société spécialisée dans la sécurité blockchain, observe la même tendance. L’entreprise indique que les pirates ont déjà dérobé 1,32 milliard de dollars d’actifs numériques au premier semestre 2026.

Selon CertiK, les attaquants ciblent de plus en plus les anciens logiciels. L’IA les aide à y trouver des failles restées cachées pendant des années.

Un exemple récent vient de Zcash, une blockchain axée sur la confidentialité. Taylor Hornby, ingénieur sécurité chez Shielded Labs, a découvert à l’aide d’un outil d’audit par IA personnalisé, fondé sur Claude Opus 4.8 d’Anthropic, une faille critique présente dans le logiciel depuis quatre ans.

Cette vulnérabilité aurait pu permettre de falsifier discrètement des transactions au sein du pool Orchard, un élément clé du réseau qui protège la confidentialité des utilisateurs. La faille a depuis été corrigée.

Les anciens projets restent exposés

Selon CertiK, le travail de sécurité ne s’arrête pas au moment où un projet blockchain est mis en ligne. Les projets qui reposent encore sur d’anciens logiciels ou infrastructures devraient notamment faire réauditer régulièrement leurs smart contracts.

Cette mise en garde intervient alors que plus de 72,3 milliards de dollars sont immobilisés dans des protocoles DeFi, des applications financières fonctionnant sans l’intermédiation d’une banque. En raison des montants en jeu, ces protocoles restent des cibles de choix pour les cybercriminels.

Anthropic, société spécialisée dans l’IA, a également montré à quel point ces outils sont devenus puissants. Ses chercheurs ont utilisé des agents d’IA pour identifier plusieurs failles dans des smart contracts, susceptibles d’entraîner au total 4,6 millions de dollars de pertes potentielles.

Des attaques récentes rappellent que la menace persiste

Plusieurs incidents récents montrent que les projets anciens, voire abandonnés, restent eux aussi exposés.

Le 14 juin, des pirates ont exploité une vulnérabilité dans un smart contract d’Aztec Connect. Bien que le projet ait été fermé depuis mars 2023, ils sont parvenus à dérober 2,1 millions de dollars.

Cinq jours plus tard, la plateforme d’échange décentralisée mySwap a également été touchée. Une faille dans un smart contract a permis de subtiliser environ 300 000 dollars, alors même que la plateforme n’acceptait plus de nouveaux dépôts depuis plus de six mois.

L’IA n’est toutefois pas utilisée uniquement par les pirates. En mai, le hacker éthique 0xflorent est parvenu à récupérer plus de 1 003 ETH, soit plus de 1,72 million de dollars à l’époque, pour 48 investisseurs de la vente avortée du token Hong Coin (HONG) en 2016.

Les fonds étaient restés bloqués pendant des années en raison d’une erreur dans la fonction de remboursement automatique du smart contract. L’enquête de sécurité a finalement permis de les débloquer.

De meilleurs logiciels ne suffisent pas

Pour Ari Redbord, le contrôle régulier des smart contracts n’est qu’un volet d’une stratégie de sécurité efficace. Les États, les régulateurs et les services d’enquête doivent également continuer à agir contre les organisations à l’origine des cyberattaques de grande ampleur.

Il cite notamment les groupes de hackers nord-coréens et les réseaux chinois de blanchiment, qui joueraient selon lui un rôle important dans le transfert et le blanchiment des actifs numériques volés.

« Les protocoles peuvent verrouiller leurs portes, mais il faut encore quelqu’un pour poursuivre les cambrioleurs. »