Faille CryptoJS : 5,7 millions volés à cause d’un générateur aléatoire faible
Olivier Tech
En 2026, alors que l’intelligence artificielle s’immisce dans chaque recoin de notre quotidien, une faille vieille de douze ans vient de faire trembler l’écosystème crypto. Le coupable ? CryptoJS.lib.WordArray.random(), un générateur de nombres aléatoires si faible qu’il a permis le vol de 5,7 millions de dollars en cryptomonnaies. Coinspect, une société spécialisée en sécurité blockchain, a révélé que cette fonction, introduite en 2014 dans la bibliothèque JavaScript CryptoJS, fournissait une entropie si prévisible qu’elle a compromis cinq applications de portefeuilles numériques. Résultat : des phrases de récupération devenues aussi sécurisées qu’un mot de passe « 123456 ».
Le problème ne réside pas seulement dans la faille elle-même, mais dans son héritage. CryptoJS, bien que moins populaire aujourd’hui, reste une brique fondamentale pour de nombreux projets open source. Son code, copié et réutilisé des milliers de fois, a propagé cette vulnérabilité comme une traînée de poudre. Pire encore, certains développeurs, ignorant les risques, ont continué à l’intégrer dans des outils modernes, pensant que « ça marche, donc c’est bon ». Une mentalité qui rappelle les pires travers de la tech : si ça fonctionne, pourquoi changer ?
Les conséquences sont désastreuses. Les portefeuilles affectés, dont certains figuraient parmi les plus utilisés, ont vu leurs utilisateurs se faire vider leurs fonds en quelques clics. Les attaquants, exploitant la faiblesse du générateur, ont pu prédire les clés privées avec une précision effrayante. Et comme souvent dans ces cas-là, les victimes ne sont pas les géants de la tech, mais les petits investisseurs, ceux qui croyaient en la promesse d’un système décentralisé et sécurisé.
Cette affaire soulève une question cruciale : comment des failles aussi critiques peuvent-elles rester invisibles pendant plus d’une décennie ? La réponse tient en partie à la culture du « move fast and break things » qui domine le développement logiciel. Les bibliothèques open source, souvent maintenues par des bénévoles, manquent de ressources pour des audits de sécurité approfondis. Et quand une faille est enfin découverte, la mise à jour dépend d’une chaîne de dépendances si complexe qu’elle en devient ingérable.
Pourtant, des solutions existent. Les développeurs pourraient adopter des générateurs de nombres aléatoires plus robustes, comme ceux fournis par les navigateurs modernes ou des bibliothèques spécialisées comme libsodium. Mais encore faut-il en avoir conscience. La sécurité, en 2026, ne devrait plus être une option, mais une priorité absolue. Surtout quand des millions de dollars sont en jeu.
Sources
Partager cet article
