Attaque Erebus - Glossaire Bitcoin

Présentation

Erebus est une famille d'attaques par éclipse découverte et publiée en 2020 par Muoi Tran, Inho Choi, Min Suk Kang (KAIST) et Akshaya Mani. La particularité d'Erebus, par rapport à une éclipse classique, est qu'elle exploite la topologie réelle d'Internet (BGP, autonomous systems) plutôt que la pollution de la table d'adresses du nœud. Elle est donc beaucoup plus furtive et puissante : l'attaquant n'a pas besoin d'envoyer un seul message au nœud cible.

Comment l'attaque fonctionne

Internet est un maillage d'AS (Autonomous Systems), gérés par les FAI, hébergeurs et grands acteurs. Quand un nœud Bitcoin se connecte à un pair, son trafic passe forcément par un chemin BGP qui traverse plusieurs AS. Si un attaquant contrôle (légitimement ou par compromission) un AS « upstream » à la victime, il peut filtrer ou rediriger sélectivement le trafic Bitcoin :

Identifier les pairs réels : observer les flux passant à travers l'AS contrôlé.
Bloquer les pairs honnêtes : laisser passer uniquement les connexions vers des nœuds attaquants.
Présenter de nouveaux pairs : injecter dans la table addrman des nœuds malveillants accessibles uniquement via l'AS attaquant.
Patienter : avec le temps, la victime renouvelle ses connexions sortantes ; toutes finissent par converger vers les nœuds attaquants.

Le tout sans alerte particulière pour le nœud cible.

La menace BGP en chiffres

Les chercheurs ont estimé que des AS de taille moyenne (tier-2) peuvent éclipser environ 30 à 50 % des nœuds Bitcoin publics du monde, selon leur position dans la topologie. Les très gros AS (Cogent, Level3, Hurricane Electric, AS de grands FAI) peuvent en éclipser bien plus. Et un État qui contrôle son backbone national peut éclipser pratiquement tous les nœuds nationaux.

Mitigations principales

| Mitigation | Efficacité | |---|---| | ASMAP | Bonne mais imparfaite | | Tor / I2P / CJDNS | Très bonne (déplace le problème) | | Diversification IPv4/IPv6 | Modérée | | Anchor connections | Modérée | | Block-relay-only peers diversifiés | Bonne |

ASMAP est la principale réponse intégrée à Bitcoin Core depuis la version 0.20 (2020). Elle force le nœud à diversifier ses connexions sortantes parmi des AS différents, ce qui rend l'attaque significativement plus coûteuse (l'attaquant doit contrôler plusieurs AS, pas un seul).

Tor : déplacer le problème

Faire tourner son nœud derrière Tor ou I2P déplace la surface d'attaque : l'adversaire ne voit plus le trafic Bitcoin spécifiquement, mais doit attaquer Tor lui-même, ce qui est très difficile. Limite : si une majorité de nœuds Tor sortants tombe sous le contrôle d'un même acteur, le risque revient. C'est néanmoins la meilleure défense pratique en 2026.

Que faire si l'on opère un nœud critique

Activer asmap= avec un fichier ASMAP à jour (téléchargeable sur le GitHub Bitcoin Core).
Combiner clearnet + Tor + I2P.
Surveiller la diversité géographique des pairs (getpeerinfo puis analyse).
Comparer manuellement les blocs avec une source de référence (mempool.space, autre nœud distant).

À retenir

Erebus est l'évolution structurelle de l'attaque par éclipse : elle ne casse pas un logiciel, elle exploite la nature même d'Internet. La défense passe par la diversification topologique (ASMAP) et par l'anonymisation des couches sous-jacentes (Tor). Voir éclipse et ASMAP.