Imaginez un instant que les pirates disposent désormais d’assistants artificiels capables d’analyser des milliers de lignes de code en quelques minutes, de repérer la moindre faille et de orchestrer des attaques sophistiquées pendant que vous dormez. Ce n’est plus de la science-fiction. C’est exactement le constat alarmant que dresse Keone Hon, cofondateur de Monad, en partageant récemment des ressources cruciales pour toute l’industrie crypto. Face à cette nouvelle ère d’attaquants dopés à l’intelligence artificielle, la seule réponse possible consiste à renforcer drastiquement les défenses. Et Monad n’y va pas par quatre chemins.
L’appel urgent de Keone Hon face aux menaces IA
Dans une série de messages publiés fin octobre, Keone Hon a martelé un message clair : la sécurité doit devenir la priorité absolue de chaque équipe crypto. « Dans cette ère d’attaquants renforcés par l’IA, la seule voie possible pour notre industrie est de continuer à durcir les défenses. La sécurité devrait être le focus principal de chaque équipe », a-t-il déclaré. Derrière ces mots se cache une réalité chiffrée glaçante et des outils concrets mis à disposition de la communauté.
Le fondateur de Monad ne se contente pas d’alerter. Il pointe du doigt deux ressources majeures développées ou soutenues par la Monad Foundation : un guide complet d’operational security baptisé Crypto OpSec Bible, et un outil open-source nommé Ultrafuzz conçu pour traquer les vulnérabilités dans les contrats intelligents à l’aide d’agents IA. Ces initiatives arrivent à un moment où les pertes liées aux détournements de contrôle explosent littéralement.
Des chiffres qui font froid dans le dos
Selon le tracker Lumos de ChainLight cité dans le guide, les incidents de contrôle détourné ont généré 3,31 milliards de dollars de pertes entre janvier 2023 et la date de rédaction du document. À titre de comparaison, les vulnérabilités purement techniques des smart contracts n’ont représenté « que » 983 millions de dollars sur la même période. Autrement dit, les failles humaines et organisationnelles coûtent désormais bien plus cher que les bugs de code.
Ces détournements de contrôle englobent le phishing, les fuites de clés privées, les accès non autorisés, les attaques de chaîne d’approvisionnement et d’autres erreurs classiques de sécurité opérationnelle. Le constat d’Omar, auteur du guide, est sans appel : trop d’équipes crypto négligent encore les bases de l’OpSec au profit de la seule audit de code.
À retenir : les attaques sociales et organisationnelles pèsent aujourd’hui trois fois plus lourd que les failles techniques purement contractuelles. Une inversion de priorité s’impose.
Le Crypto OpSec Bible : un manuel de survie
Rédigé par Omar, ce guide s’ouvre sur une certaine exaspération face aux compromissions répétitives. Code non audité, phishing classique, identifiants exposés, gestion hasardeuse des appareils… Les mêmes erreurs reviennent encore et encore. Le document propose une approche pragmatique et sans jargon excessif pour coller aux réalités du terrain crypto.
Parmi les recommandations centrales, on trouve la séparation stricte entre activité personnelle et professionnelle. Un ordinateur ou un navigateur dédié exclusivement aux opérations crypto est vivement conseillé. Avant chaque signature de transaction, une vérification minutieuse des détails s’impose. Ces gestes simples évitent pourtant encore trop souvent des drames financiers.
Pour les comptes critiques, le guide insiste sur l’utilisation de clés de sécurité matérielles accompagnées d’une sauvegarde stockée en lieu sûr. Les mots de passe doivent rester uniques et les codes d’authentification séparés des mots de passe eux-mêmes. Les organisations sont également invitées à déployer une protection des terminaux et à désigner clairement un contact interne pour signaler tout incident de sécurité.
Focus sur les comptes administrateurs
Keone Hon a particulièrement insisté sur un point sensible : les rôles d’administrateur des smart contracts. Il déconseille fortement de s’appuyer sur de simples comptes externes (EOA) pour ces fonctions critiques. L’utilisation d’un ordinateur portable dédié exclusivement aux signatures administratives apparaît comme une mesure de bon sens trop souvent négligée.
Cette vigilance s’inscrit dans une logique plus large de limitation de la surface d’attaque. Chaque permission accordée à un tiers, chaque accès ouvert, chaque appareil non maîtrisé représente une porte d’entrée potentielle pour des acteurs malveillants de plus en plus équipés.
Ultrafuzz : l’arme IA au service de la défense
Si le guide OpSec s’attaque aux failles humaines, Ultrafuzz s’attaque aux failles techniques avec une approche innovante. Cet outil open-source, disponible sur un dépôt public GitHub, coordonne plusieurs agents IA spécialisés. Leur mission ? Examiner les contrats, cartographier les comportements utilisateurs, investiguer les propriétés de sécurité, lancer des stratégies de tests et préparer des rapports de conclusions.
Annoncé en open-source dès le 10 septembre, Ultrafuzz a déjà bénéficié de plus de vingt exécutions sur des projets de l’écosystème Monad. Ces retours ont permis d’affiner l’outil, qui prend désormais en charge Solidity et Vyper. Antonio Viggiano, qui a largement contribué au développement, raconte avoir conçu l’outil alors qu’il aidait une équipe à se préparer pour un audit externe. L’absence de tests de fuzzing l’a poussé à imaginer un workflow assisté par l’intelligence artificielle.
Le principe est élégant : les agents identifient d’abord les conditions qu’un protocole doit préserver, puis explorent si certaines actions ou séquences d’actions peuvent les briser. Les résultats sont ensuite consolidés, vérifiés et organisés sous forme de rapport lisible.
« Smart contract developers, please run Ultrafuzz on your contracts!! It’s open source and available to anyone. »
— Keone Hon
Cette invitation directe de Keone Hon s’accompagne d’un avertissement important. Ultrafuzz doit absolument être exécuté sur des machines virtuelles isolées et jetables. Les agents opèrent avec des permissions non restreintes. Lancer l’outil sur un poste de développeur ou une machine contenant des identifiants de valeur est formellement déconseillé.
Des incidents récents qui illustrent parfaitement le problème
Les dernières semaines ont fourni de tristes illustrations des points de faiblesse ciblés par le guide. Fin octobre, le fabricant de wallets Foundation a subi une compromission de clé API Cloudflare. Des e-mails frauduleux ont pu être envoyés en se faisant passer pour les domaines officiels de l’entreprise. Heureusement, les fonds stockés et le hardware Passport n’ont pas été touchés, et les identifiants ont été révoqués rapidement.
En juillet, un package de développeur lié à Injective a été compromis. Selon la société de sécurité Socket, un code malveillant interceptait les fonctions de génération de wallets et exfiltrait clés privées et phrases de récupération via une fausse télémétrie. Le PDG d’Injective, Eric Chen, a confirmé que les versions concernées avaient été dépréciées et le problème corrigé.
Toujours en juillet, une campagne de malware baptisée OkoBot a circulé via des dépôts GitHub se faisant passer pour des logiciels légitimes. Les victimes étaient poussées à exécuter des commandes malveillantes grâce à de faux messages d’erreur et des instructions de réparation. Les modules incluaient des écrans de récupération de wallet frauduleux, de la surveillance clavier et du monitoring de presse-papiers.
Trois leçons tirées de ces incidents
- Les clés API et les dépendances logicielles restent des cibles privilégiées
- Les attaques de chaîne d’approvisionnement se multiplient dans l’écosystème open-source
- La vigilance humaine reste le dernier rempart, même face à des outils sophistiqués
Pourquoi l’OpSec est devenu plus critique que jamais
L’arrivée d’agents IA capables d’automatiser la reconnaissance, le fuzzing et même certaines phases d’exploitation change la donne. Ce qui demandait autrefois des semaines de travail à un attaquant expérimenté peut désormais être accéléré considérablement. Les équipes de défense n’ont d’autre choix que d’adopter les mêmes technologies pour rester dans la course.
Ultrafuzz incarne précisément cette approche : utiliser l’intelligence artificielle non pas pour attaquer, mais pour renforcer. En multipliant les angles d’analyse et en explorant des chemins que des auditeurs humains pourraient manquer par fatigue ou biais, l’outil élargit le filet de sécurité.
Pourtant, aucune technologie ne remplace une culture de sécurité solide. Le guide OpSec insiste longuement sur les gestes du quotidien. Séparer les environnements, vérifier avant de signer, limiter les permissions, former les équipes… Ces pratiques semblent élémentaires, mais elles sont encore trop souvent absentes.
Les recommandations concrètes à appliquer dès maintenant
Pour les développeurs de smart contracts, la première action consiste à tester Ultrafuzz sur leurs déploiements. L’outil étant open-source, aucun frein financier n’existe. L’exécution sur une machine isolée garantit que même en cas de comportement imprévu des agents, les actifs restent protégés.
Côté organisationnel, le Crypto OpSec Bible propose une checklist claire :
- Utiliser un appareil ou un navigateur dédié aux opérations crypto
- Employer des clés de sécurité matérielles pour les comptes sensibles
- Maintenir des mots de passe uniques et des codes 2FA séparés
- Limiter les permissions accordées aux outils et comptes tiers
- Mettre en place une procédure claire de signalement d’incidents
- Former régulièrement les équipes aux techniques de phishing modernes
Ces mesures ne garantissent pas une protection absolue, mais elles réduisent considérablement la surface d’attaque. Dans un contexte où 3,31 milliards de dollars ont déjà été perdus par détournement de contrôle, chaque couche de défense compte.
Monad et la culture de la sécurité partagée
En rendant publiques ces ressources, la Monad Foundation envoie un signal fort. La sécurité n’est plus un avantage concurrentiel à garder secret, mais un bien commun de l’écosystème. Plus les projets adoptent de bonnes pratiques, plus l’ensemble de l’industrie devient résilient.
Keone Hon a également pointé vers des travaux sur la vérification formelle et la chasse aux menaces à l’aide de grands modèles de langage. L’ambition est claire : combiner expertise humaine, formalisme mathématique et puissance de l’IA pour élever le niveau global de sécurité.
Cette approche ouverte contraste avec certaines cultures plus fermées encore présentes dans le secteur. En partageant outils et méthodologies, Monad mise sur un effet réseau positif. Chaque projet qui renforce ses défenses contribue indirectement à la crédibilité de tout l’écosystème crypto.
Les limites et précautions d’Ultrafuzz
Aussi prometteur soit-il, Ultrafuzz n’est pas une solution magique. Les agents IA peuvent générer des faux positifs ou manquer des scénarios très spécifiques. Les résultats doivent toujours être revus par des experts humains. L’outil se positionne comme un amplificateur d’analyse, pas comme un remplacement des audits traditionnels.
La contrainte d’exécution en environnement isolé n’est pas anodine. Elle rappelle que même les outils de défense peuvent présenter des risques s’ils sont mal utilisés. Cette transparence de la part de Monad est appréciable : mieux vaut prévenir que guérir.
Les équipes qui adoptent Ultrafuzz sont invitées à faire remonter leurs retours. Cette boucle de feedback permettra d’améliorer continuellement les performances et la pertinence des analyses générées.
Vers une nouvelle norme de sécurité dans la crypto
L’appel de Keone Hon s’inscrit dans une prise de conscience plus large. Après des années où l’innovation produit a souvent primé sur la robustesse, l’industrie semble enfin comprendre que la confiance des utilisateurs repose d’abord sur la sécurité. Les milliards perdus chaque année ne sont pas seulement des chiffres : ils représentent des projets abandonnés, des communautés déçues et une image globale ternie.
En combinant un guide opérationnel concret et un outil d’analyse avancé, Monad propose un package complet. D’un côté, on s’attaque aux erreurs humaines et organisationnelles qui représentent la majorité des pertes. De l’autre, on dote les développeurs d’une capacité d’exploration accrue pour les failles techniques.
Cette double approche paraît particulièrement pertinente dans le contexte actuel. Les attaquants ne se contentent plus d’exploiter des bugs isolés. Ils multiplient les angles : ingénierie sociale, compromission de dépendances, vol de credentials, puis exploitation technique. Une défense en profondeur s’impose.
| Type de risque | Pertes estimées | Réponse Monad |
|---|---|---|
| Détournement de contrôle | 3,31 milliards $ | Crypto OpSec Bible |
| Vulnérabilités smart contracts | 983 millions $ | Ultrafuzz + audits |
Ce que les équipes doivent retenir aujourd’hui
La sécurité n’est plus un sujet secondaire à traiter en fin de roadmap. Elle doit occuper le centre des préoccupations dès la conception d’un protocole. Les ressources partagées par Keone Hon offrent un point de départ concret et immédiatement actionnable.
Tester Ultrafuzz, relire le guide OpSec, revoir les permissions des comptes administrateurs, former les collaborateurs… Autant d’actions qui, prises collectivement, peuvent faire baisser le volume de pertes que subit l’écosystème chaque année.
Dans un monde où l’intelligence artificielle amplifie à la fois les capacités offensives et défensives, la différence se jouera sur la vitesse d’adoption des bonnes pratiques. Les équipes qui attendront d’être touchées pour réagir paieront un prix bien plus élevé que celles qui anticipent.
Keone Hon et la Monad Foundation ont jeté un pavé dans la mare. Reste maintenant à voir combien de projets saisiront réellement l’opportunité de se durcir avant la prochaine vague d’attaques. Car une chose est certaine : les attaquants, eux, n’attendent pas.
La crypto a survécu à de nombreuses crises. Elle survivra aussi à celle des attaques dopées à l’IA, à condition de prendre enfin la sécurité au sérieux. Les outils existent. Les guides sont disponibles. La balle est désormais dans le camp des équipes de développement et des organisations. À elles de jouer.
