L’attaque contre les portefeuilles matériels Coldcard, censés protéger les bitcoins hors ligne, ne s’est pas arrêtée à la première alerte du lundi 3 août. Une faille logée dans le firmware de certains appareils a permis à un ou plusieurs pirates informatiques de reconstituer des clés privées et de vider des milliers d’adresses, en trois vagues successives entre le 30 juillet et début août.
Selon le Galaxy Research, le préjudice total atteint désormais 1 367 bitcoins, soit près de 89 millions de dollars, répartis sur 4 585 adresses compromises.
Trois vagues, une seule et même vulnérabilité
Tout est parti d’un bug introduit dans une mise à jour du firmware de mars 2021 : au lieu de s’appuyer sur le générateur de nombres aléatoires matériel de l’appareil, certaines versions basculaient vers un générateur logiciel déterministe, donc prévisible pour ceux qui savent s’y prendre.
Une première vague, le 30 juillet, a vidé 1 196 adresses en seulement 41 minutes, pour environ 1 082 bitcoins dérobés (70 millions de dollars). Une deuxième vague, aux caractéristiques transactionnelles proches, a suivi la même signature ; puis une troisième, début août, a raflé environ 208 bitcoins sur 1 912 adresses supplémentaires, avec des méthodes plus complexes et plus difficiles à tracer. Galaxy Research n’exclut pas que cette dernière vague soit l’œuvre d’un autre groupe de pirates informatiques.
Coinkite réagit, l’enquête se poursuit
Coinkite, le fabricant canadien de Coldcard, a publié une mise à jour corrective dès le 31 juillet et invite tous les détenteurs d’adresses créées après la mise à jour de mars 2021 à migrer leurs fonds sans attendre.
Galaxy Research affirme avoir transmis environ 600 adresses suspectées d’appartenir aux attaquants aux autorités fédérales, à des organismes de conformité et à des enquêteurs spécialisés en cybersécurité. La majorité des bitcoins dérobés resterait pour l’instant immobilisée sur ces adresses, sans avoir été mise en mouvement.
Un signal d’alarme pour les investisseurs institutionnels
À mesure que les investisseurs institutionnels renforcent leur exposition au Bitcoin, la robustesse des dispositifs de stockage devient un critère d’investissement à part entière, au même titre que la liquidité ou la volatilité de l’actif.
Cet incident remet sur la table l’exigence de la mise en place d’audits de code indépendants pour les fabricants de wallets matériels ; un secteur où la confiance technique conditionne directement l’appétit des gros investisseurs pour la crypto comme classe d’actifs.
