Comment fonctionnent les attaques de 51 % dans les blockchains en Proof of Work
Imaginez que vous envoyez 1000 dollars en Bitcoin à un ami. La transaction est confirmée, l’argent est parti. Puis, quelques heures plus tard, vous découvrez que quelqu’un d’autre a dépensé les mêmes 1000 dollars - et que votre transaction a disparu du journal de la blockchain. Ce n’est pas un bug. C’est une attaque de 51 %.
Qu’est-ce qu’une attaque de 51 % ?
Une attaque de 51 %, c’est quand une seule personne ou un groupe contrôle plus de la moitié de la puissance de calcul d’un réseau blockchain en Proof of Work (PoW). Ce n’est pas une question de tricherie technique. C’est une question de pouvoir. Si vous avez plus de 51 % de la puissance de minage, vous pouvez réécrire l’historique de la blockchain. Vous pouvez annuler des transactions, empêcher de nouvelles transactions d’être confirmées, ou - ce qui est le plus dangereux - dépenser deux fois la même somme d’argent. C’est ce qu’on appelle une double dépense.
Ce n’est pas une théorie. C’est arrivé. En 2018, la blockchain de Verge (XVG) a été attaquée. Les pirates ont réorganisé 300 blocs, annulant 215 000 XVG, soit 1,7 million de dollars à l’époque. En 2020, Bitcoin Gold a subi une attaque où 70 000 dollars ont été volés en seulement 4 heures. Le coût ? 1 800 dollars pour louer la puissance de minage nécessaire.
Comment ça marche ?
Le cœur du Proof of Work, c’est la règle du plus long chaînon. Les nœuds du réseau acceptent toujours la chaîne la plus longue comme valide. C’est ce qui garantit la sécurité. Mais cette règle devient une faille si quelqu’un peut construire une chaîne plus longue que la vraie.
Voici comment ça se passe en pratique :
- L’attaquant commence à miner en secret, sans que personne ne le sache.
- Pendant ce temps, le réseau continue de miner normalement.
- L’attaquant attend que sa chaîne secrète devienne plus longue que la chaîne publique.
- Quand c’est fait, il diffuse sa chaîne. Tous les nœuds voient la chaîne la plus longue et la prennent pour la vraie.
- Les transactions de la chaîne originale - y compris celles qui ont été confirmées - sont effacées. L’attaquant peut maintenant dépenser les mêmes fonds ailleurs.
La probabilité de réussite dépend directement de la puissance de minage contrôlée. Avec 50 %, vous avez 100 % de chances de réécrire un bloc. Avec 40 %, vos chances tombent à 73,6 %. Avec 30 %, elles sont de 44,6 %. Et avec 20 %, vous avez seulement 20 % de chances de réécrire un seul bloc. C’est pour ça que les attaques réussissent rarement sur Bitcoin : personne n’a 51 % de sa puissance. Mais sur un petit réseau ? C’est différent.
Pourquoi les petits réseaux sont-ils vulnérables ?
Bitcoin a un taux de hachage d’environ 400 exahashes par seconde (EH/s). C’est énorme. Pour contrôler 51 % de cette puissance, il faudrait des milliards de dollars en matériel de minage. C’est impossible.
Mais prenez Bitcoin Gold. Son taux de hachage est d’environ 1,5 térahashes par seconde (TH/s). C’est 266 000 fois moins que Bitcoin. Avec seulement 750 000 dollars en matériel loué pendant quelques heures, un attaquant peut prendre le contrôle. Et c’est exactement ce que les plateformes comme NiceHash permettent aujourd’hui.
Les marchés de location de puissance de minage ont changé la donne. Avant, il fallait acheter des ASIC. Maintenant, vous pouvez louer de la puissance comme un service cloud. Vous payez pour 4 heures de minage, vous attaquez, vous doublez les dépenses, vous partez avec le profit. Le coût est souvent inférieur à la valeur des cryptos volées.
Quelle est la différence avec Proof of Stake ?
Proof of Work n’est pas le seul moyen de valider les transactions. Ethereum, Cardano, Solana - tous ont changé pour le Proof of Stake (PoS). Là, ce n’est pas la puissance de calcul qui compte, mais la quantité de cryptomonnaie que vous avez mise en jeu (staking).
En PoS, pour attaquer, il faudrait acheter plus de 51 % de toutes les pièces en circulation. C’est beaucoup plus cher. Et si vous réussissez, vous détruirez la valeur de votre propre investissement. En PoW, vous louez simplement de la puissance. Vous ne risquez rien d’autre que le coût de la location. C’est pourquoi les réseaux PoS sont beaucoup plus résistants à ce type d’attaque.
Comment les échanges réagissent-ils ?
Les échanges de cryptomonnaies ont appris à leurs dépens. Avant, ils acceptaient 6 à 12 confirmations pour valider une transaction. Maintenant, pour les petites cryptos, ils demandent 60, 80, voire 100 confirmations. Pourquoi ? Parce qu’une attaque de 51 % prend souvent plusieurs heures. Plus de confirmations, plus de chances de détecter une réorganisation avant de créditer l’argent.
En 2021, l’échange BitForex a perdu 1,75 million de dollars parce qu’il a accepté seulement 10 confirmations pour Verge. Depuis, presque tous les grands échanges ont changé leurs règles. Ils surveillent aussi les taux de hachage en temps réel. Si un réseau perd brusquement 30 % de sa puissance, ils bloquent les retraits automatiquement.
Est-ce que Bitcoin est en danger ?
Non. Bitcoin n’a jamais subi une attaque réussie de 51 %. Son réseau est trop grand, trop réparti, trop cher à attaquer. Même si quelqu’un essayait, le coût dépasserait les gains possibles. De plus, si une telle attaque arrivait, la communauté réagirait rapidement : changement d’algorithme, bifurcation, perte de confiance. Le prix de Bitcoin s’effondrerait. Pourquoi quelqu’un ferait ça ?
Le vrai danger, c’est les petites cryptos. Ceux qui pensent que « tout ce qui est blockchain est aussi sûr que Bitcoin » se trompent. Une blockchain n’est pas intrinsèquement sécurisée. Sa sécurité dépend de sa puissance de minage. Et quand cette puissance est faible, la confiance s’effondre.
Que faire pour se protéger ?
- Ne jamais accepter moins de 60 confirmations pour une crypto avec un marché inférieur à 500 millions de dollars.
- Éviter de déposer de l’argent sur des réseaux PoW qui ont déjà été attaqués.
- Utiliser des échanges qui publient leurs politiques de confirmation et surveillent les taux de hachage.
- Ne pas traiter les petites cryptos comme des alternatives « égales » à Bitcoin ou Ethereum.
- Ne pas oublier : plus la blockchain est petite, plus elle est fragile.
Les attaques de 51 % ne sont pas une faille de la technologie. Ce sont une faille économique. Elles existent parce que le coût d’attaque est parfois plus bas que la valeur de ce qu’on vole. Et tant que les marchés de location de puissance existent, tant que les petites blockchains restent vulnérables, elles continueront.
Le futur de la sécurité blockchain
Les experts du MIT et du Cloud Security Alliance s’accordent sur un point : le Proof of Work ne survivra que pour les 3 à 5 plus grandes cryptos. Pour le reste, la transition vers le Proof of Stake, les mécanismes de checkpointing (où des nœuds fiables verrouillent des états de la blockchain), ou les modèles hybrides est inévitable.
Déjà, en 2023, seulement 31,7 % de la valeur totale des cryptomonnaies reposait sur le Proof of Work. En 2017, c’était 89,2 %. Le changement est en cours. Et c’est une bonne chose. Parce que la sécurité ne devrait pas dépendre de la chance de ne pas être attaqué. Elle devrait être conçue pour résister.
Qu’est-ce qui rend une blockchain vulnérable à une attaque de 51 % ?
Une blockchain est vulnérable si son taux de hachage est trop faible, ce qui signifie qu’un attaquant peut louer suffisamment de puissance de minage pour dépasser 51 % du réseau. Les petites cryptos avec un capitalisation boursière inférieure à 500 millions de dollars sont les plus à risque, surtout si leur minage est centralisé dans quelques pools ou si elles utilisent des algorithmes faciles à miner avec des GPU.
Pourquoi les attaques de 51 % sont-elles plus fréquentes depuis 2020 ?
Depuis 2020, les marchés de location de puissance de minage comme NiceHash et MiningRigRentals se sont développés. Ils permettent à n’importe qui de louer des heures de minage pour quelques centaines de dollars. Avant, il fallait acheter des ASIC coûteux. Maintenant, il suffit de payer pour quelques heures. Le coût d’attaque est tombé sous le seuil de rentabilité pour plusieurs cryptos.
Est-ce qu’une attaque de 51 % peut voler des bitcoins ?
Non, pas directement. Une attaque de 51 % ne peut pas voler des bitcoins d’un portefeuille. Elle peut seulement annuler des transactions déjà confirmées. Donc, elle peut permettre à quelqu’un de dépenser deux fois la même somme - mais seulement si cette somme a été envoyée à un échange ou à un service qui l’a acceptée trop vite. Les portefeuilles personnels ne sont pas directement touchés.
Combien de confirmations sont suffisantes pour éviter une attaque de 51 % ?
Pour Bitcoin, 6 confirmations sont largement suffisantes. Pour les petites cryptos PoW, il faut 60 à 100 confirmations ou plus. Les échanges comme Binance et Coinbase ont augmenté leurs seuils après plusieurs attaques. Plus le nombre de confirmations est élevé, plus il est difficile pour un attaquant de rattraper la chaîne publique avant que la transaction ne soit considérée comme définitive.
Les blockchains en Proof of Stake sont-elles immunisées contre les attaques de 51 % ?
Pas exactement. En Proof of Stake, un attaquant devrait contrôler 51 % des pièces stakées. C’est beaucoup plus cher, car il faudrait acheter la majorité des actifs du réseau. En plus, si l’attaquant réussit, il détruit la valeur de ses propres pièces. Ce qui rend l’attaque économiquement irrationnelle. C’est pourquoi les réseaux PoS sont considérés comme beaucoup plus résistants, même si aucune méthode n’est à 100 % invulnérable.