Les attaques par rejeu, expliquées : comment une seule signature peut dépenser vos coins sur deux chaînes

Nos lecteurs nous envoient des questions, et la semaine dernière l'un d'eux nous a interrogés sur les attaques par rejeu et sur ce qu'elles impliqueraient pour la chaîne BLAKE2b. Le sujet est technique mais il concerne quiconque détient des coins au moment d'un fork, alors il vaut la peine d'être décortiqué simplement. Partons de ce qu'une séparation laisse derrière elle. Supposons que Bitcoin se sépare réellement en deux chaînes. Avant la séparation vous possédez un bitcoin ; après elle, les deux chaînes portent le même historique jusqu'au point de fork, si bien que la sortie non dépensée qui était la vôtre est désormais la vôtre de chaque côté. Cela seul ne pose aucun problème. Le problème commence si les deux réseaux continuent d'accepter les mêmes transactions. Vous décidez de vendre votre coin sur la première chaîne, vous signez donc une transaction et vous la diffusez, et dès l'instant où elle est publique n'importe qui peut reprendre cette transaction exacte et la rediffuser sur l'autre réseau. Si elle y est valide, elle y est confirmée. Voilà une attaque par rejeu, et l'essentiel est de comprendre ce qu'elle n'est pas : personne n'a pris votre clé privée, et personne ne peut modifier la destination des fonds. Ce qui s'exécute sur la seconde chaîne est la transaction que vous avez signée vous-même, à l'octet près. Vous pensiez déplacer des coins sur une seule branche, vous les avez déplacés sur les deux.

C'est pour cette raison qu'un hard fork peut intégrer une protection contre le rejeu, et l'idée est simple : faire en sorte qu'une transaction signée pour une chaîne soit techniquement invalide sur l'autre. Bitcoin Cash a procédé ainsi en 2017 avec une empreinte de signature propre au fork, SIGHASH_FORKID, qui modifie le message auquel une signature s'engage et que la nouvelle chaîne a ensuite exigé de toutes les transactions une fois le fork activé. Les transactions construites pour un réseau échouaient donc sur l'autre, et la séparation fonctionnait dans les deux sens. La seconde méthode appartient au détenteur plutôt qu'au protocole, et elle consiste à « splitter » ses coins : vous créez d'abord une transaction qui ne peut être valide que sur l'une des deux chaînes. À partir de là les historiques divergent, les sorties non dépensées ne sont plus les mêmes de chaque côté, et les transactions suivantes ne peuvent plus être simplement copiées d'un réseau à l'autre.

Ce qui nous ramène à la chaîne BLAKE2b, activée au bloc 961 640 le 30 août. Elle dispose bien d'un mécanisme de ce type, un format de signature optionnel appelé SIGHASH_UNIFIED, spécifié dans la pull request 357 de Knots, dont le message signé diffère des trois empreintes de signature en usage aujourd'hui, si bien qu'une signature qui l'active ne sera pas vérifiée sur une chaîne qui ne l'implémente pas. La documentation du projet est d'une franchise rare sur les limites : elle décrit cette protection comme accessoire au nouveau message, à sens unique et propre à chaque signature, et indique clairement que les signatures classiques restent valides et continuent d'être rejouées. Cette phrase dit tout : la protection ne s'applique que si le signataire la demande, uniquement à la dépense concernée, et dans un seul sens. Quiconque signe comme les portefeuilles signent aujourd'hui n'en bénéficie pas du tout. Rappelons aussi que ce fork a changé l'algorithme de preuve de travail et non les formats d'adresse, de clé ou de signature, ce qui explique précisément qu'une même autorisation puisse encore avoir un sens sur les deux réseaux.

Le point n'est donc pas qu'une attaque par rejeu permettrait à quelqu'un de pirater vos bitcoins, car ce n'est pas le cas. Le vrai risque est qu'autour d'un fork, une seule autorisation cryptographique puisse involontairement dépenser vos coins sur deux réseaux différents. La version concrète est facile à imaginer. Un nouveau fork apparaît, et vous vous retrouvez avec un bitcoin sur Bitcoin et un solde équivalent du coin de ce fork. Quelqu'un propose alors publiquement de vous racheter ces coins pour quelques dollars, et comme ils vous paraissent presque sans valeur, pourquoi pas. Si vos coins n'ont jamais été séparés et que vous signez ce transfert de façon classique, la même transaction peut être copiée sur Bitcoin, où elle dépense exactement la même sortie antérieure au fork. Ce qui quitte alors votre portefeuille n'est pas le coin du fork. Ce sont vos bitcoins. La documentation du fork donne la parade, et c'est le split décrit plus haut : avant de dépenser sur l'autre chaîne, envoyez-vous vos coins à vous-même sur la chaîne BLAKE2b en utilisant le format optionnel, et attendez la confirmation de ce paiement.

Côté marché, Bitcoin a conservé le terrain gagné la semaine dernière. Après la montée du 3 septembre jusqu'à un plus haut de séance de 82 283 $, son premier contact avec la bande des 81 000 $ à 84 000 $, il a de nouveau clôturé au-dessus de 80 000 $ le 6 septembre, à 80 339 $, et s'échange près de 79 200 $ à l'heure où nous publions. La ligne des 75 600 $ n'a pas été testée depuis, et nos trois vues d'horizon sont inchangées.

Cette publication constitue une analyse de marché et non une recommandation d'achat ou de vente.