Bitcoin : Un audit indépendant loue la solidité de Bitcoin Core

L’audit tant attendu de Bitcoin Core a enfin eu lieu et n’a quasiment rien trouvé à redire. Pour un logiciel qui sécurise un réseau valant des centaines de billions, ce n’est pas un détail. C’est un signal fort, aussi bien pour les cypherpunks que pour les institutions accumulant du BTC en coulisses.

Un audit de Bitcoin Core passé haut la main

Pendant 104 jours, Quarkslab a audité Bitcoin Core pour OSTIF, financé par Brink : il s’agit du tout premier audit public historique. L’objectif était de vérifier si le logiciel qui fait tourner la majorité des nœuds BTC mérite réellement la confiance qui lui est accordée depuis des années.

Le périmètre n’était pas un détail cosmétique. Les auditeurs se sont concentrés sur les parties les plus sensibles : la couche pair-à-pair (P2P), la logique de validation des blocs, la gestion de l’état de la chaîne, les scénarios de réorganisation. En résumé, tout ce qui, en cas de bug subtil, pourrait déstabiliser l’ensemble du réseau.

Résultat : aucune vulnérabilité critique, élevée ou même moyenne. Seuls deux problèmes mineurs ont été détectés, avec quelques recommandations visant les outils de fuzzing et l’amélioration de la couverture des tests. Ces points n’affectent ni le consensus, ni la résistance aux attaques DoS, ni la validation des transactions. Pour plus de 200 000 lignes de C++ et 1 200 tests, les auditeurs saluent une base de code parmi les plus matures.

P2P, mempool, réorganisations : le cœur du réseau passé au crible

L’audit de Bitcoin Core s’est concentré sur la couche P2P, où transitent blocs, transactions et découverte de pairs. Chaque nœud peut gérer environ 125 connexions, transformant ce réseau en une gigantesque toile de propagation. Les auditeurs ont exploré des chemins de contournement, tentant de passer outre la validation et les bannissements de pairs malveillants dans Bitcoin Core. Ils n’en ont trouvé aucun exploitable.

Ensuite, l’attention s’est portée sur le mempool, les transitions d’état de la chaîne et la gestion des réorganisations. Ces zones critiques peuvent provoquer des divergences de chaîne, des désynchronisations temporaires ou ouvrir la voie à des attaques sophistiquées. Là encore, l’audit n’a révélé aucun vecteur d’attaque exploitable sur le réseau réel.

Surtout, Quarkslab ne s’est pas contenté de cocher des cases. L’équipe a recommandé d’étendre le fuzzing avec de nouveaux scénarios, notamment sur la connexion des blocs et les réorganisations. Cela se traduit déjà par de nouveaux harnais de fuzzing, une meilleure gestion du système de fichiers pour accélérer les tests, et des outils pour détecter les régressions de performance dans le temps. En somme, l’audit ne se contente pas d’affirmer que Bitcoin Core est solide aujourd’hui, il renforce sa capacité à rester robuste demain.

Alors que l’audit de Bitcoin Core s’est terminé sans faille, une autre tempête couvait dans la communauté. En octobre, la mise à jour Bitcoin Core v30, décrite par certains comme un changement menaçant l’unité du réseau, a ravivé les tensions entre les partisans de Bitcoin Core et ceux de Bitcoin Knots.