Coinbase estime que le nombre de signalements de bogues pourrait tripler à mesure que l'IA génère davantage de « bruit » en matière de sécurité

Pourquoi le nombre de rapports de failles de Coinbase augmente-t-il autant ?

Les examinateurs humains sont confrontés à une charge de travail croissante en matière de tri, car des outils d’IA peu coûteux permettent aux chercheurs en sécurité d’analyser des logiciels et de produire rapidement des rapports de vulnérabilité. La crypto-bourse Coinbase (Nasdaq : COIN) a souligné cette tendance le 11 août dans sa déclaration de sécurité, indiquant que le nombre de signalements était en passe d’atteindre trois fois le volume de l’année dernière, après avoir doublé l’année précédente.

Cette augmentation du volume s’est accompagnée d’une baisse de la proportion de découvertes crédibles. Coinbase a indiqué que la part des rapports valides est passée de 14 % en 2024 à 4 % au cours du premier semestre 2026. La société a établi un lien entre l’utilisation croissante de l’IA par les chercheurs et la forte augmentation des rapports générés par l’IA, mais n’a pas précisé quel pourcentage du total des signalements provenait d’outils automatisés.

Le 29 juillet, Coinbase a restreint son programme de prime aux bogues Web2 aux vulnérabilités de niveau « élevé », « critique » et « extrême ». Parmi les rapports HackerOne clôturés au cours du premier semestre, 44 % étaient des doublons, 37 % contenaient des informations ne présentant pas de faille exploitable et 15 % étaient invalides. Les vulnérabilités « extrêmes » restent éligibles à des récompenses pouvant atteindre 1 million de dollars. HackerOne est une plateforme externe sur laquelle des chercheurs indépendants signalent des vulnérabilités logicielles aux entreprises en vue d’un examen et d’éventuelles récompenses. Coinbase utilise le label « Web2 » pour les sites Web, applications et services associés classiques. Son programme distinct, « Cantina », couvre les vulnérabilités liées à la blockchain et aux contrats intelligents.

Qu’ont découvert les chercheurs externes ?

Les chercheurs externes Joe Almeida et Anh Nguyen ont découvert une faille subtile liée au processus de rapprochement des retraits Stellar par Coinbase. Le mécanisme de « fee-bump » de Stellar permet à un tiers d’envelopper une transaction existante et de payer des frais de réseau plus élevés sans nécessiter de nouvelles signatures ni de gestion des numéros de séquence.

Dans certaines conditions, le système de Coinbase pouvait considérer la transaction d’origine comme ayant échoué, même après que le transfert prévu eut abouti sur la chaîne. Cette divergence créait un risque que les dépenses soient comptabilisées deux fois en interne. Coinbase a suspendu le processus concerné, confirmé la correction et rétabli le traitement normal.

Les fonds des clients n’ont pas été affectés, et Coinbase n’a trouvé aucune preuve d’exploitation au-delà de la démonstration de principe des chercheurs et des tests internes. L’IA a par ailleurs signalé un défaut connexe, moins grave, du côté des dépôts. Ces résultats illustrent la distinction que Coinbase entend établir entre le filtrage automatisé et les enquêtes menées par des spécialistes portant sur les règles de protocole et la comptabilité interne.

Un autre audit de sécurité Bitcoin assisté par IA a mis en évidence 4 962 résultats potentiels dans 390 référentiels au cours d’un examen de 27,5 heures. Environ un cinquième d’entre eux avait été reproduit de manière indépendante au moment de la publication, ce qui rendait nécessaire une confirmation humaine avant que les alertes restantes puissent être considérées comme des vulnérabilités avérées.

Comment les criminels utilisent-ils l’IA ?

Les attaquants peuvent déployer cette même technologie pour accélérer le phishing, l’usurpation d’identité et le vol d’identifiants. Le Federal Bureau of Investigation (FBI) a averti que l’IA générative aide les criminels à produire plus rapidement des messages convaincants, à automatiser leurs opérations et à élargir leur vivier de cibles potentielles.

Une analyse du 10 août portant sur les activités de Kimsuky, un groupe lié à la Corée du Nord, a identifié des plateformes d’IA et des documents générés au sein de l’infrastructure associée. Les enquêteurs ont observé du matériel de hameçonnage visant des actifs virtuels, des investissements financiers et des cibles liées au développement logiciel.

Un rapport du 6 mars sur le service de hameçonnage Tycoon 2FA décrivait une technologie permettant d’intercepter des sessions actives et de capturer des jetons utilisés pour contourner l’authentification multifactorielle. Une opération coordonnée a permis de supprimer 330 domaines liés à cette opération.

Que signifie cette évolution de la sécurité basée sur l’IA pour les consommateurs ?

Pour les consommateurs, l’IA peut accélérer les attaques et rendre les messages de hameçonnage plus convaincants, tandis que le volume des programmes de prime aux bogues affecte principalement les équipes de vérification des entreprises. Une évaluation de la sécurité on-chain réalisée le 30 juillet a recensé 212 exploits et 1,1 milliard de dollars de pertes au cours du premier semestre 2026.

Les précautions individuelles restent d’actualité tandis que les plateformes d’échange développent les contrôles automatisés et font appel à des chercheurs spécialisés. Les pratiques standard en matière de sécurité des actifs numériques comprennent la sauvegarde sécurisée des portefeuilles, la gestion de mots de passe forts et l’authentification à deux facteurs. Le programme révisé de Coinbase maintient inchangées les récompenses Web3 tout en concentrant ses primes publiques Web2 sur les failles à fort impact.