À retenir
- Une attaque Sybil, c'est une seule personne qui se fait passer pour des centaines ou des milliers de personnes, avec de faux comptes.
- En crypto, elle vise surtout les votes des DAO, les airdrops et les réseaux où chaque compte compte pour une voix.
- Pour se défendre, les projets rendent les faux comptes chers ou faciles à repérer : cryptos bloquées, vérification d'identité, ancienneté.
Une attaque Sybil, c'est quand une seule personne crée plein de fausses identités pour peser comme une foule. Un vote, une distribution de jetons gratuits ou un système de réputation qui compte « un compte, une voix » se retrouve alors entre les mains d'un seul tricheur.
La première fois que j'ai entendu ce terme, j'ai fait : « Hein, quoi ? C'est qui, Sybil ? » En fait, c'est beaucoup plus simple que ça en a l'air.
C'est quoi une attaque Sybil, avec un exemple simple ?
Tu te rappelles les élections des délégués au collège ? Imagine une classe de 25 élèves. Thomas veut vraiment être délégué, pas pour aider les autres, mais pour choisir les dates des contrôles. Problème : dans un vote honnête, il aurait trois ou quatre voix.
Alors la veille du vote, qui se fait en ligne, il crée 15 adresses mail. Le jour J, il vote 15 fois pour lui et gagne haut la main. Sauf qu'il n'y avait qu'une seule personne derrière tous ces comptes.
C'est exactement ça, une attaque Sybil (parfois écrite « attaque Sybille »).
Pourquoi ça s'appelle « Sybil » ?
Le nom vient de « Sybil », un livre de Flora Rheta Schreiber paru en 1973. Il raconte l'histoire d'une femme diagnostiquée avec un trouble de la personnalité multiple : une seule personne, plusieurs identités.
En 2002, John Douceur, chercheur chez Microsoft, a publié un article sur ce problème dans les réseaux informatiques, et le nom est resté.
Où se cachent les attaques Sybil en crypto ?
En crypto, créer une adresse de wallet (un portefeuille crypto) ne coûte presque rien. Rien n'empêche donc une personne d'en créer 10 000.
| Où | Ce que fait le tricheur |
|---|---|
| Les votes de DAO | Il vote avec des milliers de comptes pour faire passer sa proposition |
| Les airdrops | Il réclame les jetons gratuits avec des centaines de wallets au lieu d'un |
| Les réseaux pair à pair | Il entoure un utilisateur de faux voisins pour fausser ce qu'il voit |
| La réputation | Il fait monter un compte avec des milliers de faux « amis » |
Prends une DAO (une organisation qui décide par vote de ses membres, je t'explique tout dans mon article sur les DAO) qui fonctionne avec « un compte, une voix ». Kévin crée 10 000 comptes, les 200 membres honnêtes votent contre lui, et il gagne 10 000 à 200. Il peut se voter une part de la trésorerie et partir avec.
Les airdrops sont le terrain de jeu préféré des tricheurs. En mai 2024, avant sa distribution, LayerZero a même proposé aux chasseurs d'airdrop qui avaient plusieurs comptes de se dénoncer eux-mêmes. Je t'explique le principe des airdrops dans cet article.
Il existe aussi une version plus vicieuse : l'attaquant achète ou pirate des comptes réels, plus durs à repérer parce qu'ils ont un vrai historique.
Comment les blockchains se protègent d'une attaque Sybil ?
L'idée est toujours la même : rendre chaque fausse identité chère ou facile à repérer.
Rendre ça cher. Imagine que pour voter, chaque élève doive poser 100 euros sur la table. Thomas devrait sortir 1 500 euros pour ses 15 comptes. C'est le principe du proof of stake (la méthode où, pour valider les transactions, il faut bloquer des cryptos) : ton poids dépend de ce que tu as bloqué, pas du nombre de comptes. Le proof of work fait pareil avec la puissance de calcul. Je compare les deux dans mon article sur proof of work et proof of stake.
Vérifier que tu es une vraie personne. C'est le KYC (la vérification d'identité des plateformes, avec carte d'identité et selfie), ou les « preuves d'humanité » comme le scan d'iris de Worldcoin. Efficace, mais ça va contre la vie privée que beaucoup viennent chercher en crypto.
Donner plus de poids aux comptes anciens. Un compte créé hier pèse moins qu'un compte actif depuis deux ans. Pour les airdrops, beaucoup de projets analysent aussi les comportements : des centaines de wallets qui font exactement les mêmes opérations le même jour, ça se voit.
Attaque Sybil ou attaque des 51 %, quelle différence ?
L'attaque des 51 %, c'est quand quelqu'un contrôle la majorité de la puissance de calcul ou des cryptos bloquées d'un réseau. Il lui faut des ressources réelles.
L'attaque Sybil joue sur le nombre d'identités. Les deux peuvent se combiner, mais c'est justement parce que le proof of work et le proof of stake comptent des ressources et pas des comptes que créer mille wallets ne suffit pas à prendre le contrôle de Bitcoin ou d'Ethereum.
Les questions qu'on me pose sur l'attaque Sybil
Est-ce qu'une attaque Sybil peut toucher Bitcoin ?
Créer des milliers d'adresses ne donne aucun pouvoir sur Bitcoin, parce que le réseau compte la puissance de calcul, pas le nombre de comptes.
Est-ce que c'est illégal d'utiliser plusieurs wallets ?
Avoir plusieurs wallets est normal. Ce qui pose problème, c'est de s'en servir pour tricher sur un vote ou un airdrop, et les projets excluent souvent ces adresses.
Pourquoi ne pas tout simplement demander une pièce d'identité ?
Certains le font. Mais beaucoup de projets crypto veulent rester ouverts à tous, sans donner leurs papiers, donc ils cherchent d'autres protections.
Chaque lundi, dans ma newsletter, je t'explique ce qui se passe en crypto et ce que je fais de mon portefeuille, sans jargon. C'est gratuit : je m'abonne à la newsletter.
⚠️ Les informations fournies ici sont à but éducatif et ne constituent en aucun cas un conseil en investissement. Chaque investisseur est responsable de ses propres décisions.
