Le dernier projet de loi CLARITY aux États-Unis comprend une disposition qui établirait un programme formel d’incitation pour les hackers éthiques et les chercheurs en sécurité, selon un rapport de Bitcoin News.

La mesure vise à encourager et récompenser les activités de piratage éthique qui améliorent la sécurité de l’infrastructure des actifs numériques. Elle reconnaîtrait les chercheurs en sécurité qui identifient des faiblesses dans les systèmes liés aux cryptoactifs, aident à suivre des acteurs malveillants ou contribuent aux efforts de récupération d’actifs volés.

Incitations proposées pour les chercheurs en sécurité

Dans le cadre de cette disposition, des personnes pourraient recevoir une rémunération pour l’identification de vulnérabilités dans les systèmes d’actifs numériques, la fourniture de renseignements exploitables aidant les autorités ou les entreprises à retracer des hackers malveillants, et le soutien à la récupération d’actifs numériques volés.

En reconnaissant officiellement ces activités, le projet de loi cherche à créer une voie structurée de coopération entre les chercheurs en sécurité, les forces de l’ordre et les entreprises privées du secteur des actifs numériques. Cette approche placerait le piratage éthique dans un cadre juridique et opérationnel plus clair, plutôt que de laisser les chercheurs dans l’incertitude quant à leur responsabilité potentielle lorsqu’ils testent ou signalent des vulnérabilités.

L’inclusion de cette disposition reflète une reconnaissance plus large, dans la politique américaine relative aux actifs numériques, du fait que la cybersécurité ne peut pas reposer uniquement sur des mesures d’application après la survenue d’attaques. Le projet ajoute une composante préventive en cherchant à inciter les chercheurs capables de détecter les failles avant qu’elles ne soient exploitées.

Le projet CLARITY et la réglementation des cryptoactifs

Le projet de loi CLARITY, officiellement connu sous le nom de Crypto-Asset Legal Clarity and Investor Protection Act, a été élaboré comme un cadre réglementaire américain proposé pour les actifs numériques. Il vise à définir des règles concernant la classification, la protection des investisseurs et les normes de sécurité du secteur.

L’ajout d’un programme d’incitation pour hackers éthiques renvoie à un modèle de sécurité collaboratif similaire à ceux déjà utilisés dans les grands secteurs technologiques. Pour l’industrie des cryptomonnaies, qui a connu ces dernières années des piratages et des exploits ayant entraîné des milliards de dollars de pertes, un programme d’incitation formalisé pourrait contribuer à limiter les dommages financiers et réputationnels causés par les failles de sécurité.

Cette disposition pourrait également apporter une clarté juridique aux chercheurs en sécurité qui ont historiquement opéré dans une zone grise. Les chercheurs qui examinent des systèmes afin d’en identifier les failles peuvent être incertains quant au risque que leurs actions les exposent à des poursuites, même lorsqu’ils agissent de bonne foi. Un programme formel pourrait définir une voie plus claire pour signaler les problèmes et aider les enquêtes.

Comparaison avec les programmes de bug bounty existants

De grandes entreprises technologiques, dont Google, Microsoft et Meta, exploitent déjà des programmes de bug bounty qui récompensent les chercheurs pour la découverte et le signalement responsable de failles de sécurité. La disposition CLARITY appliquerait un modèle similaire à l’écosystème des actifs numériques.

Dans les modèles établis de bug bounty, les détails pratiques comptent souvent autant que la récompense elle-même, notamment le périmètre des tests autorisés, les procédures de signalement, les délais de divulgation et les règles visant à éviter de nuire aux utilisateurs ou aux systèmes. Ces mêmes garde-fous seraient particulièrement pertinents dans les actifs numériques, où des smart contracts, portefeuilles, plateformes d’échange et systèmes de conservation vulnérables peuvent affecter directement les fonds des utilisateurs.

S’il était adopté, le programme pourrait potentiellement s’appliquer aux plateformes d’échange de cryptomonnaies, aux fournisseurs de portefeuilles, aux plateformes de finance décentralisée et à d’autres composantes de l’infrastructure blockchain. Un tel cadre pourrait aider à standardiser les pratiques de sécurité sur les plateformes d’actifs numériques en créant des incitations à la découverte précoce des vulnérabilités et à leur divulgation responsable.

Impact potentiel pour les utilisateurs et les chercheurs

Pour les investisseurs et utilisateurs d’actifs numériques, cette disposition représente une possible amélioration de la posture de sécurité des plateformes crypto. En encourageant le piratage éthique, le programme pourrait soutenir une identification plus rapide des vulnérabilités, réduire les risques de vol et renforcer la confiance dans la sécurité de l’infrastructure des actifs numériques.

Pour les chercheurs en sécurité, la mesure offrirait une voie juridique plus claire pour contribuer à la sécurité des actifs numériques sans crainte de poursuites lorsqu’ils agissent dans des conditions approuvées. Elle formaliserait également la rémunération d’activités telles que la recherche de vulnérabilités, le traçage de hackers et l’aide à la récupération de fonds volés.

Toutefois, le projet de loi CLARITY reste à l’état de projet et demeure soumis à de nouvelles révisions ainsi qu’à l’approbation législative. Le calendrier d’adoption est incertain. Les principaux détails du programme d’incitation proposé, notamment le financement, les critères d’éligibilité, les structures de récompense, les limites des tests autorisés et la coordination avec les régulateurs ou les forces de l’ordre, n’ont pas encore été définis.

La disposition relative aux hackers éthiques constitue un ajout notable au dernier projet CLARITY. En encourageant la recherche de sécurité éthique, le texte vise à répondre à l’un des défis les plus persistants auxquels l’industrie des cryptomonnaies est confrontée, tout en évoluant vers un modèle de cybersécurité plus collaboratif et proactif.