Bitcoin : Un audit indépendant salue la solidité de Bitcoin Core

L’audit Bitcoin Core que tout le monde réclamait vient enfin d’avoir lieu et il n’a quasiment rien trouvé à redire. Pour un logiciel qui sécurise un réseau pesant des centaines de milliards, ce n’est pas un détail. C’est un signal fort, autant pour les cypherpunks que pour les desks institutionnels qui empilent du BTC en coulisses.

Un audit Bitcoin Core passé avec brio

Pendant 104 jours, Quarkslab a audité Bitcoin Core pour l’OSTIF, financé par Brink : une première publique historique. L’objectif était de vérifier si le logiciel qui fait tourner la majorité des nœuds de BTC mérite réellement la confiance qu’on lui accorde depuis des années.

Le périmètre n’avait rien de cosmétique. Les auditeurs se sont concentrés sur les parties les plus sensibles : couche pair-à-pair (P2P), logique de validation des blocs, gestion d’état de la chaîne, scénarios de réorganisation. Bref, tout ce qui, en cas de bug subtil, peut déstabiliser le réseau entier.

Résultat : aucune vulnérabilité critique, haute ou même moyenne. Seulement deux problèmes mineurs détectés, avec quelques recommandations ciblant les outils de fuzzing et l’amélioration de la couverture des tests. Ces points n’affectent ni le consensus, ni la résistance aux attaques DoS, ni la validation des transactions. Pour plus de 200 000 lignes de C++ et 1 200 tests, les auditeurs saluent un code parmi les plus matures.

P2P, mempool, réorganisations : le cœur du réseau passé au crible

L’audit de Bitcoin Core s’est concentré sur la couche P2P, là où transitent blocs, transactions et découverte de pairs. Chaque nœud peut gérer environ 125 connexions, ce qui transforme ce réseau en gigantesque toile de propagation. Les auditeurs ont exploré des chemins détournés, tentant de contourner validations et bannissements de pairs malveillants dans Bitcoin Core. Ils n’en ont trouvé aucun exploitable.

Ensuite, la loupe a été posée sur la mempool, les transitions d’état de la chaîne et la gestion des réorganisations. Ces zones critiques peuvent entraîner divergences de chaîne, désynchronisations temporaires ou ouvrir la voie à des attaques sophistiquées. Là encore, l’audit n’a mis en lumière aucune voie d’attaque pratique pouvant être exploitée sur le réseau réel.

Surtout, Quarkslab n’a pas seulement coché des cases. L’équipe a recommandé d’élargir le fuzzing avec de nouveaux scénarios, notamment sur la connexion des blocs et les réorganisations. Cela se traduit déjà par de nouveaux harnais de fuzzing, une meilleure gestion du système de fichiers pour accélérer les tests et des outils pour détecter les régressions de performance dans le temps. En clair, l’audit ne se contente pas de dire c’est solide aujourd’hui, il renforce la capacité de Bitcoin Core à rester robuste demain.

Alors que l’audit de Bitcoin Core s’achevait sans la moindre faille, une autre tempête se levait dans la communauté. En octobre, la mise à jour Bitcoin Core v30, qualifiée par certains de changement qui menace l’unité du réseau, a ravivé les tensions entre les partisans de Bitcoin Core et ceux de Bitcoin Knots.