My Say: Risques émergents liés aux systèmes d’IA et de blockchain
Les systèmes d’IA et de blockchain ajoutent un niveau de risque au cadre de gestion des risques financiers qui peut être classé comme de nouveaux risques technologiques dont les organisations doivent être conscientes et mises à jour dans le cadre des risques de cybersécurité.
En intégrant la sécurité à chaque étape de la transformation numérique, nous pouvons protéger les systèmes informatisés contre les cybermenaces. Il est impératif que la gestion des risques financiers couvre l’ensemble du cycle de vie, de la conception à l’élimination. La gestion de la sécurité est évaluée à certains points appelés portes de contrôle ou points de décision.
L’organisation doit s’assurer que les mesures de sécurité sont mises en œuvre, que les problèmes de sécurité sont traités et que les risques sont compris avant de passer à la phase suivante du cycle de vie. Les normes peuvent être continuellement mises à jour et améliorées à l’aide d’approches agiles. Dans le cadre de l’intégration de la sécurité, un exercice de planification de la sécurité doit être mené, qui doit inclure :
Déterminer les rôles de sécurité clés au cours du processus de développement du système ;
Identifier les étapes clés de la sécurité et documenter les activités impliquées au cours du processus ;
Intégrer une conception sécurisée, une architecture informatique et des normes de codage ; et
Éduquer toutes les parties prenantes sur les objectifs, les implications, les exigences et les considérations en matière de performances de sécurité.
Ils démontrent aux parties prenantes les aspects importants du développement du système et les implications des décisions critiques prises en matière de sécurité afin de se préparer aux menaces de sécurité potentielles.
Parmi les risques technologiques associés aux applications de finance décentralisée (DeFi) qui peuvent être considérées comme de nouvelles menaces de sécurité figurent :
1. Risques Oracle
Sans oracles, une blockchain est entièrement autonome et ignore tout événement se produisant en dehors de la blockchain locale. (Les oracles de la blockchain sont des mécanismes qui connectent les blockchains à des systèmes externes, permettant aux contrats intelligents de fonctionner en fonction des entrées et des sorties du monde réel.)
Les oracles agissent comme un pont qui peut digérer des informations externes et non déterministes dans un format avec lequel une blockchain peut comprendre et exécuter des conditions particulières. Il est essentiel que les protocoles DeFi permettent à certaines actions de routine, telles que les liquidations et les règlements du marché de prédiction, de fonctionner correctement en permettant des prix d’actifs sûrs et infalsifiables.
Le risque Oracle survient alors lorsque les protocoles s’appuient sur ces flux. Tels qu’ils existent aujourd’hui, les oracles présentent le risque le plus élevé pour les protocoles DeFi qui les utilisent. À la suite des exploits des arbitragistes, tous les oracles en chaîne ont été vulnérables, entraînant la perte de millions de dollars. Certains services oracle, notamment Chainlink et Maker, ont subi des pannes qui ont eu des effets dévastateurs en aval.
La plus grande menace pour DeFi est actuellement les oracles, car ils manquent de capacités natives de blockchain, de durcissement et de résilience. L’opérateur oracle centralisé peut avoir toutes les meilleures intentions, mais il est toujours soumis à tous les problèmes qui affligent les systèmes centralisés aujourd’hui, tels que les temps d’arrêt, les attaques DDOS, les piratages et l’incompétence, qui mettent les fonds des utilisateurs en danger.
2. Risques liés à la gouvernance du protocole
Un contrat intelligent contrôle une application et est autonome, donc le seul risque est lié à sa programmation. Une application DeFi est généralement plus complexe qu’un code autonome. Pour maintenir sa stabilité financière, la facilité de crédit décentralisée de MakerDAO s’appuie sur un processus de gouvernance actif qui ajuste de manière proactive les paramètres du protocole. (MakerDAO est une organisation peer-to-peer qui permet aux gens de prêter et d’emprunter en utilisant des crypto-monnaies.) De nombreux protocoles DeFi utilisent des systèmes similaires, qui dépendent des humains pour gérer les risques du protocole. Ce faisant, un nouveau risque est introduit, un risque de gouvernance unique au paysage DeFi.
La gouvernance du protocole consiste en des mécanismes démocratiques représentatifs ou liquides. En achetant des droits à la gouvernance des protocoles sur une bourse liquide, les utilisateurs et les investisseurs peuvent participer au processus de gouvernance. Suite à leur acquisition par les détenteurs, les tokens serviront à déterminer le sens du protocole. Malgré l’offre fixe de jetons gouvernementaux, le protocole reste vulnérable au contrôle par des acteurs malveillants en raison du risque d’attaques sur la majorité (51%). Les entreprises fintech traditionnelles ont généralement des fondateurs aux commandes, ce qui rend peu probable qu’une partie externe puisse changer la direction de l’entreprise.
DeFi, cependant, est vulnérable aux attaques dès le lancement du système de gouvernance. L’acquisition d’une majorité de jetons de gouvernance liquides peut facilement permettre à un adversaire de contrôler le protocole et de voler des fonds. Il n’y a jamais eu d’attaque de gouvernance réussie contre un projet DeFi basé sur Ethereum, mais un adversaire financièrement capable pourrait exploiter un protocole si les incitations étaient suffisamment importantes.
3. Risques liés aux contrats intelligents
Les propriétés inhérentes aux blockchains leur permettent de réduire les risques financiers traditionnels, comme le risque de contrepartie. DeFI, cependant, est basé sur du code. Cette base logicielle offre aux attaquants une plus grande surface d’attaque que les institutions financières traditionnelles. En raison de la nature ouverte des blockchains publiques, n’importe qui peut accéder et interagir avec le code après son déploiement. En stockant et en transférant des actifs financiers natifs de la blockchain, les contrats intelligents présentent des risques nouveaux et uniques.
En exploitant une erreur logique dans le code, un attaquant peut retirer des fonds au-delà de la fonctionnalité d’un contrat intelligent. Un tel exploit peut prendre la forme de tout type de bogue logiciel. Considérez un contrat intelligent conçu pour bloquer les dépôts de tout utilisateur ERC-20 et transférer l’intégralité du solde au gagnant d’une loterie. Pour déterminer le montant lors du transfert de jetons, le contrat utilise son numéro interne. Dans notre cas hypothétique, le bogue existe là. Les erreurs d’arrondi peuvent entraîner une légère différence entre le nombre interne et le solde réel des jetons détenus par le contrat. Lors du transfert, il transférera trop et échouera. En conséquence, les jetons seront fonctionnellement verrouillés dans le protocole en l’absence d’une sécurité intégrée. Ils sont connus sous le nom de fonds maçonnés et ne peuvent jamais être récupérés.
Les contrats intelligents en sont encore à leurs balbutiements et les contrats complexes n’ont pas encore la résilience nécessaire pour gérer des transactions de grande valeur. Le risque de contrat intelligent sera un facteur limitant dans l’adoption des applications DeFi, car les utilisateurs hésitants ne feront pas confiance aux contrats avec lesquels ils interagissent dans les endroits où leurs fonds sont détenus.
4. Risques liés à la mise à l’échelle
Ethereum a un débit inférieur à 0,1 % de Visa, qui est capable de traiter plus de 25 000 transactions par seconde. En raison du manque d’évolutivité d’Ethereum, DeFi peut ne pas être en mesure de répondre à la demande. Les efforts visent à augmenter l’évolutivité d’Ethereum ou à remplacer Ethereum par une blockchain alternative capable de gérer plus facilement des volumes de transactions plus élevés. Cependant, toutes les tentatives à ce jour ont échoué.
En plus de la mise à l’échelle verticale et horizontale, il existe deux autres moyens généraux d’augmenter le débit de la blockchain. La première consiste à centraliser tout le traitement des transactions dans une seule grande machine. Avec une blockchain centralisée, telle qu’Ethereum, les frais généraux de communication (transactions et blocs) sont réduits, mais le système est toujours centralisé, avec une machine largement responsable du traitement des systèmes. En utilisant la mise à l’échelle horizontale, cependant, le système est divisé en plusieurs parties, conservant la décentralisation et augmentant le débit grâce à la parallélisation. Ethereum 2.0 applique cette approche en conjonction avec un algorithme de consensus Proof of Stake.
Le domaine de DeFi regorge d’approches multiples pour réduire les risques d’évolutivité, mais il n’y a pas de gagnant clair. L’impact potentiel des applications sera limité tant que la croissance de DeFis sera limitée par la mise à l’échelle de la blockchain.
L’avenir des industries financières utilisera fortement l’automatisation et la technologie basée sur l’IA intégrée aux systèmes basés sur la blockchain pour aider les fournisseurs de services financiers à améliorer les processus existants et à réaliser de nouvelles sources de revenus et de nouveaux modèles commerciaux pour mieux servir leurs clients. Malgré les avantages considérables de la transformation numérique, certaines forces, telles que les cybercriminels et les pirates informatiques, annuleront ces avantages en forçant les pannes du système, les fuites de données dans le cloud, etc.
La cybersécurité est l’une des principales priorités de toutes les institutions en raison de l’évolution rapide des technologies complexes, des échanges de données transfrontaliers, de l’utilisation émergente des systèmes basés sur le cloud et des dApps (applications décentralisées). Lorsque les objectifs de l’inclusion financière sont fixés et que des règles sont définies pour les atteindre, un mécanisme efficace doit être mis en place pour s’assurer que les règles sont appliquées et respectées. Une application efficace nécessite un mécanisme pour détecter la violation et des sanctions appropriées pour dissuader quiconque de violer les règles, par exemple, le vol d’actifs numériques. Celles-ci incluent la mise en œuvre d’une défense contre des agresseurs invisibles grâce au mécanisme de surveillance, de prévention et de protection.
Stratégies de cybersécurité
Il est obligatoire pour les institutions financières d’être capables de développer un cadre de cybersécurité résilient pour être durable à long terme. La principale fonction d’un cadre de cybersécurité vigilant est de détecter les cybermenaces et de répondre efficacement aux événements de violation. Avec cette adoption du cadre de cybersécurité, cela aidera les institutions financières islamiques à minimiser les pertes financières dues à la perturbation des activités. À cet égard, il est fortement recommandé à la direction de se concentrer sur six domaines principaux, à savoir :
je. Gérer de manière proactive le cyber-risque, la réglementation et la conformité ;
ii. Construire et exécuter une feuille de route stratégique en matière de cybersécurité ;
iii. Établir une capacité de cybersécurité commercialement raisonnable ;
iv. Développer une cyberréponse et une réponse aux incidents de classe mondiale ;
v. Acquérir, développer et retenir les talents clés en matière de sécurité ; et
vi. Alignez les équipes de cybersécurité sur les nouvelles technologies et les risques commerciaux.
De nouveaux outils de lutte contre la cybercriminalité peuvent être développés sur la base du bon cadre de cybersécurité. Avec les outils appropriés en place, les cybermenaces résultant de la transformation numérique du secteur financier peuvent être atténuées, permettant ainsi aux institutions financières de maximiser les avantages potentiels de la numérisation dans le secteur financier.
Le Dr Hazik Mohamed est le directeur général de Stellar Consulting Group, responsable mondial de FinTech chez iFINTEL Business Intelligence Sdn Bhd et instructeur FinTech chez Sapience Consulting Pte Ltd.