Le testnet du hard fork Glamsterdam d'Ethereum a été annulé après que des chercheurs ont identifié des vulnérabilités dans deux Ethereum Improvement Proposals (EIP) de scaling du gaz, tandis que des agents IA ont contribué à coordonner les efforts pour détecter les problèmes potentiels dans les smart contracts.

Des agents IA coordonnent l'examen des risques de Glamsterdam

Le deuxième et dernier testnet du hard fork Glamsterdam d'Ethereum a été annulé cette semaine après que ChainSecurity a découvert des vulnérabilités dans les EIP-8037 et EIP-8038. Ces problèmes auraient pu affecter au moins 13 contrats de finance décentralisée (DeFi). Le gaz est l'unité qui mesure le calcul sur Ethereum, de sorte que les propositions modifiant sa facturation peuvent impacter une vaste surface de code déployé.

Les bugs étaient liés à des hypothèses sur le comportement actuel du gaz. Les contrats s'appuyant sur ces hypothèses pourraient se briser lorsqu'un appel manque de gaz, créant potentiellement des vulnérabilités qu'un attaquant pourrait exploiter. Les détails techniques sont complexes, mais la préoccupation centrale était que les modifications proposées pourraient produire des effets de second ordre inattendus sur les contrats existants.

La répétition générale sur le testnet Hoodi ne devrait pas être reprogrammée avant que les effets du fork n'aient été examinés plus en profondeur. Le retard d'Ethereum a également été rapporté par Cointelegraph : Ethereum retarde le fork du testnet Glamsterdam en raison de risques de sécurité liés au gaz.

Dans un article sur X, Derek Chiang d'Ethlabs a déclaré que les problèmes avaient été découverts très tard dans le processus, « obligeant tout le monde à s'activer pour gérer les conséquences ».

« À l'avenir, les concepteurs de protocoles feraient bien de mener une analyse beaucoup plus approfondie des ruptures potentielles que leur mise à jour pourrait introduire, et de le faire bien plus tôt dans le processus », a déclaré Chiang.

Selon Chiang, deux chercheurs d'Ethlabs et de l'Ethereum Foundation avaient indépendamment créé plusieurs agents IA pour analyser les contrats à la recherche de vulnérabilités. Après avoir découvert qu'ils utilisaient la même stratégie, les chercheurs ont « mis en place un tableau d'affichage pour leurs agents sous la forme d'un dépôt github » afin de coordonner leur travail.

Chiang a comparé ce dispositif au piratage OpenAI-Hugging Face, dans lequel des agents malveillants avaient établi un tableau d'affichage pour coordonner les attaques. « Eh bien, il s'avère que le même schéma est utile pour les bons agents aussi », a-t-il déclaré.

L'exercice a été suffisamment fructueux pour identifier des problèmes potentiels qu'un second tableau d'affichage a été créé afin d'examiner l'EIP-8198, connu sous le nom de « Quick Slots ». La proposition a été avancée pour le subsequent hard fork Hegota.

Le défi « Steal My Bitcoin » résolu en une journée

Un site web défiant les utilisateurs de « Steal My Bitcoin » en exploitant desnérabilités PHP2Shell non corrigées a été piraté avec succès en l'espace d'une journée. L'organisateur du défi avait caché la clé d'un portefeuille Bitcoin d'une valeur d'environ 2 000 $. La clé était accessible au compte utilisateur PHP via un binaire appelé print-flag.

Le site a suscité un intérêt considérable et est périodiquement tombé hors ligne en raison du trafic important et des tentatives de sondage. Le défi a été résolu par KillerBoi, qui a extrait la clé privée. Cependant, la clé ne donnait pas accès à l'adresse du portefeuille affichée sur le site. L'organisateur James Pavur a reconnu qu'il s'agissait d'une erreur et a indiqué que les fonds seraient transférés.

Le défi en direct et sa résolution ont été documentés dans le dépôt de preuve de concept StealMyBitcoin. Pavur a également commenté le résultat sur X.

Dans une publication sur X, le fondateur de WordFence, Mark Maunder, a déclaré que, malgré l'extraction de la clé en une journée, le défi a démontré la difficulté d'exploiter PHP2Shell :

« C'est la meilleure explication que vous verrez sur la difficulté d'exploiter #php2shell. L'auteur a dû déclencher une condition précise de corruption de mémoire, fuir des adresses mémoire internes, contourner l'aslr, faire de l'ingénierie inverse des structures mémoire internes de php, forger des structures pour détourner l'exécution, et tenir compte des différences de build php, du comportement des workers et du timing. »

PHP est un langage de programmation largement utilisé pour créer des sites web et des applications web, y compris des systèmes de gestion de contenu. Cette omniprésence explique pourquoi une faille dans le runtime du langage peut forcer de nombreuses organisations à corriger ou à mettre hors ligne des sites simultanément. Des agences gouvernementales et d'autres organisations aux Pays-Bas, en Australie, au Japon, en Finlande et ailleurs ont mis hors ligne des sites critiques mercredi par précaution, le temps que des correctifs d'urgence soient développés pour deux vulnérabilités critiques liées.

Ces failles pouvaient permettre à des attaquants non authentifiés d'exécuter du code sur des serveurs affectés sans se connecter. Les commentaires de Maunder ont été publiés sur X, et le hashtag PHP2Shell associé a également attiré l'attention sur le défi.

La mise à niveau Alpenglow de Solana est en ligne

La première grande mise à niveau de consensus de Solana, Alpenglow, est entrée en service sur le mainnet vers 13 h 54 UTC mercredi, selon le tableau de bord Alpenglow de la Solana Foundation.

Le développeur d'Agave, Anza, a indiqué que le temps nécessaire pour qu'une transaction devienne définitive — c'est-à-dire considérée comme réglée et irréversible — est passé d'environ 12,8 secondes à environ 150 millisecondes. L'activité DeFi est restée stable ou a légèrement diminué après la mise à niveau, bien que la période post-mise à niveau fût encore courte.

La première phase de la mise à niveau, Votor, remplace le mécanisme existant de vote et de finalisation de Solana par un vote direct des validateurs et un système basé sur des certificats. Ce changement devrait réduire le nombre de transactions affiché d'environ 60 %.

Une phase ultérieure introduira Rotor, un nouveau protocole de distribution des données de blocs destiné à remplacer Turbine. Cointelegraph a également couvert le lancement d'Alpenglow sur le mainnet.

La communauté Starknet soutient la recherche sur une L1 post-quantique

La communauté Starknet a voté pour soutenir la recherche visant à devenir une blockchain layer-1 indépendante et post-quantique. La cryptographie post-quantique désigne des méthodes conçues pour résister aux attaques des ordinateurs quantiques. Le vote de gouvernance de sept jours a recueilli environ 3 200 votes, avec 93,52 % du pouvoir de vote en faveur de la transition.

La transition elle-même nécessiterait un vote de gouvernance séparé et contraignant. D'ici là, Starknet continuera d'opérer comme un réseau layer-2 d'Ethere. Les prochaines étapes sont le projet de whitepaper de novembre et le vote contraignant éventuel.

« Nous commençons à travailler sur un whitepaper avant même le début du week-end, et nous espérons publier un projet soumis à l'examen public en novembre », a déclaré le PDG de StarkWare, Eli Ben-Sasson, à Cointelegraph.

Starknet a enregistré la plus forte baisse parmi les 100 premières crypto-monnaies au cours de la semaine, perdant un quart de sa valeur. Le vote a également été couvert dans le rapport de Cointelegraph sur la recherche post-quantique de layer-1 de Starknet.

Un sénateur américain demande des informations à Tether

Le sénateur Richard Blumenthal, démocrate principal de la sous-commission d'enquête du Sénat, a demandé des informations au PDG de Tether, Paolo Ardoino, après que le Wall Street Journal a rapporté que la société de stablecoins avait signé un accord de 6,3 millions de dollars avec une société de marketing cofondée par Bo Hines, ancien conseiller crypto de la Maison Blanche. Tether est l'émetteur de l'USDT, le plus grand stablecoin par capitalisation.

Dans une lettre adressée jeudi à Ardoino, le sénateur du Connecticut a indiqué que la Sous-commission permanente d'enquête du Sénat demandait « des documents et informations relatifs aux contrats, paiements, communications et lobbying » liés à l'accord.

Blumenthal a estimé que cet arrangement pourrait entrer en conflit avec les règles relatives à l'éthique, à la corruption et au lobbying. Tether a déclaré qu'une enquête externe « n'a trouvé aucune preuve de méfait ». La lettre de la sous-commission est disponible en PDF, et Cointelegraph a couvert l'enquête du Sénat sur l'accord rapporté avec Tether.

Gagnants et perdants

À la fin de la semaine, le Bitcoin (BTC) était en baisse de 1,2 % à 80 549 $, tandis que l'Ethereum (ETH) avait reculé de 1,9 % à 2 343 $. Le XRP (XRP) progressait de 0,9 % à 1,20 $. La capitalisation totale du marché des crypto-monnaies s'élevait à 2 680 milliards de dollars, selon CoinMarketCap.

Parmi les 100 plus grandes crypto-monnaies, les trois plus fortes hausses hebdomadaires d'altcoins étaient MemeCore (M), en hausse de 24,4 % ; Venice Token (VVV), en hausse de 14,8 % ; et Ethena (ENA), en hausse de 14,1 %.

Les trois plus fortes baisses hebdomadaires d'altcoins étaient Starknet (STRK), en baisse de 24,9 % ; Aerodrome Finance (AERO), en baisse de 12,5 % ; et Sei (SEI), en baisse de 12,5 %.

Prévision de la semaine : JPMorgan anticipe une surperformance du Bitcoin

JPMorgan Asset Management projette que le Bitcoin (BTC) surpassera les actions américaines et l'or au cours de la prochaine décennie, tout en avertissant que la volatilité de la crypto-monnaie la rend pour l'instant inadaptée comme diversificateur de portefeuille.

Lundi, JPMorgan a publié son rapport 2027 Long-Term Capital Market Assumptions. Le rapport projette un rendement annualisé de 10 % pour le Bitcoin, contre 7,5 % pour les grandes capitalisations américaines et 5,5 % pour l'or.

« Pour le moment, nous ne plaidons pas pour le Bitcoin comme diversificateur de portefeuille en raison de ses corrélations de marché instables », indique le rapport. « Nous considérons le Bitcoin comme un actif spéculatif et une couverture contre l'assouplissement monétaire. » Cointelegraph a également couvert lesvisions de JPMorgan sur le Bitcoin.

Le FUD de la semaine

La procureure générale de New York réclame 1,37 milliard de dollars aux fondateurs de NovaTech

La procureure générale de New York, Letitia James, a demandé à un tribunal d'ordonner aux fondateurs de la plateforme de trading crypto et de devises disparue NovaTech, Cynthia et Eddy Petion, ainsi qu'aux sociétés associées, de payer 1,37 milliard de dollars au titre d'un présumé schéma de Ponzi.

Le bureau de la procureure générale a indiqué que plus de 11 000 New-Yorkais ont perdu des dizaines de millions de dollars via NovaTech et un précédent projet de minage crypto appelé AWS Mining. La plainte allègue que les promoteurs ciblaient les communautés haïtiennes et d'autres communautés d'immigrés par des groupes de prière, les réseaux sociaux et WhatsApp, promettant des rendements élevés et des primes de recrutement.

L'affaire est détaillée dans le rapport de Cointelegraph sur l'action de la procureure générale de New York contre NovaTech.

Bitcoin Core révise sa politique de sécurité alors que l'IA accélère la découverte de bugs

Bitcoin Core modifie son approche des vulnérabilités de sécurité car les grands modèles de langage peuvent découvrir plus rapidement les failles logicielles. La même dynamique s'est manifestée sur Ethereum cette semaine, où des chercheurs d'Ethlabs et de l'Ethereum Foundation ont déployé des agents IA coordonnés pour analyser les contrats.

Le développeur de Bitcoin Core, Antoine Poinsot, a déclaré que les vulnérabilités étaient généralement soumises à de longues embargos de divulgation par le passé, laissant aux utilisateurs le temps de mettre à niveau avant que les détails techniques ne deviennent publics. Cependant, il a indiqué que les LLM avaient rendu certaines failles faciles à redécouvrir, réduisant la protection offerte par le report de la divulgation. Les embargos de divulgation ont longtemps été une pratique standard dans l'industrie logicielle.

« La période d'embargo apporte peu mais retarde la disponibilité d'une version corrigée », a déclaré Poinsot. « Nous mettons donc à jour notre politique de divulgation pour en tenir compte. » La discussion est disponible dans le fil de la liste de diffusion de développement Bitcoin, et Cointelegraph a couvert le changement de politique de Bitcoin Core.

Le Pentagone interdit au personnel de parier avec des informations militaires

Le secrétaire américain à la Défense, Pete Hegseth, a interdit au personnel du Pentagone d'utiliser des informations non divulguées pour placer des paris sur des actions militaires à venir, y compris via des plateformes de marchés de prédiction telles que Kalshi et Polymarket, qui permettent aux utilisateurs de prendre des positions financières sur l'issue d'événements réels.

Dans un mémo envoyé mardi aux hauts responsables du Pentagone et aux agences de défense, Hegseth a indiqué que tout le personnel du département de la Guerre est interdit d'effectuer des transactions financières en utilisant des informations non publiques. Cette restriction s'applique aux informations classifiées comme non classifiées.

Le mémo est disponible ici, tandis que Cointelegraph a couvert la restriction du Pentagone sur les marchés de prédiction.

Les grands dossiers du magazine de la semaine

Cinq alternatives à Ledger pour stocker votre Bitcoin

Les portefeuilles matériels ne sont pas la seule façon de protéger vos crypto-monnaies. Les ETF, les clés d'accès et les comptes multisignatures figurent parmi les alternatives, chacune avec ses propres risques et compromis. Le dossier complet est disponible sur 5 alternatives to Ledger to store your Bitcoin.

Les agents IA peuvent trader 24h/24 et 7j/7, mais l'accès peut être perdu

Le président d'Animoca Brands, Yat Siu, a déclaré que les agents IA peuvent exécuter des transactions pendant que les utilisateurs dorment, mais que ces derniers doivent anticiper la possibilité de perdre l'accès aux robots. Le dossier est disponible sur Agents can trade 24/7 — but Yat Siu warns you could lose access at any time.