Le piratage des portefeuilles Coldcard atteint 89 millions de dollars après une troisième vague
Le piratage visant les portefeuilles matériels Coldcard continue de prendre de l’ampleur. Les pertes estimées atteignent désormais 1 367 bitcoins, soit près de 89 millions de dollars, après l’identification d’une troisième vague d’attaques ayant vidé 208 BTC supplémentaires. Cette nouvelle phase, révélée par Galaxy Research, porte le nombre total d’adresses compromises à 4 585 et relance le débat sur la fiabilité des solutions d’autoconservation des cryptomonnaies.
L’incident, qui a débuté le 30 juillet, représente l’une des failles de sécurité les plus importantes ayant touché un fabricant de portefeuilles matériels ces dernières années. Alors que ces dispositifs sont généralement considérés comme la référence en matière de protection des actifs numériques, cette affaire démontre qu’une vulnérabilité logicielle peut suffire à compromettre des milliers d’utilisateurs.
Trois vagues d’attaques coordonnées
La première attaque s’est produite le 30 juillet entre 1 h 10 et 1 h 51 UTC. En seulement 41 minutes, les pirates ont dérobé 1 082,65 BTC répartis sur 1 196 adresses Bitcoin. L’opération s’est poursuivie durant près de trente heures avant que Coinkite, le fabricant canadien des portefeuilles Coldcard, ne publie une première alerte officielle.
Une deuxième vague est intervenue le 31 juillet. Les attaquants ont alors subtilisé 76,16 BTC supplémentaires provenant de 1 478 adresses.
Entre vendredi et samedi, une troisième campagne a permis le vol de 208 BTC issus de 1 912 nouvelles adresses. Selon Galaxy Research, cette phase s’est distinguée par une méthode différente. Les fonds de chaque victime ont été envoyés vers des destinations Pay-to-Witness-Script-Hash distinctes et plusieurs victimes étaient regroupées dans une même transaction afin de rendre le suivi plus complexe.
Les chercheurs estiment que chaque vague a probablement été orchestrée par un seul opérateur. En revanche, ils ne disposent pas encore de preuves suffisantes pour confirmer que le même groupe est responsable de l’ensemble des attaques.
Une erreur de firmware vieille de plusieurs années
L’origine de la faille remonte à une modification du firmware introduite en mars 2021.
Cette modification a remplacé, sans que cela soit détecté à l’époque, le générateur matériel de nombres aléatoires utilisé pour créer les phrases de récupération par un générateur logiciel beaucoup moins robuste.
Les analyses techniques montrent que les modèles Coldcard Mk2 et Mk3 concernés ne disposaient plus que d’environ 40 bits d’entropie effective, contre les 128 bits normalement attendus pour une phrase de récupération de douze mots.
Les modèles plus récents, notamment Mk4, Mk5 et Coldcard Q, présentent une entropie d’environ 72 bits. Bien que supérieure, cette valeur reste inférieure au niveau de sécurité théorique.
Cette faiblesse permet à un attaquant de générer hors ligne un grand nombre de phrases de récupération potentielles puis de comparer leurs adresses publiques avec celles visibles sur la blockchain, sans avoir besoin d’accéder physiquement au portefeuille.
La communauté Bitcoin réagit dans l’urgence
L’annonce de cette vulnérabilité a provoqué une forte inquiétude parmi les détenteurs de bitcoins.
Selon les données de CryptoQuant, les transactions Bitcoin inférieures à un BTC ont atteint près de 39 600 BTC en une seule journée. Il s’agit du volume quotidien le plus élevé observé depuis novembre 2022, lors de l’effondrement de FTX.
Ce mouvement traduit une migration massive des fonds vers de nouvelles adresses jugées plus sûres.
Alex Thorn, responsable de la recherche chez Galaxy, a averti que les attaques restaient en cours et a appelé les utilisateurs dont les portefeuilles avaient été créés avec les firmwares concernés à transférer leurs actifs sans attendre.
Samson Mow, directeur général de Jan3, a également recommandé à tous les détenteurs d’un portefeuille Coldcard de déplacer immédiatement leurs bitcoins, quel que soit le modèle ou la version du firmware utilisée.
Coinkite reconnaît sa responsabilité
Face à l’ampleur de la crise, le directeur général de Coinkite, Rodolfo Novak, a présenté ses excuses publiques et reconnu que l’entreprise assumait l’entière responsabilité du bug logiciel.
Un firmware d’urgence a été publié pour tous les modèles concernés.
Toutefois, cette mise à jour ne protège que les nouvelles phrases de récupération générées après son installation. Les seeds créées auparavant restent vulnérables et doivent être remplacées.
L’entreprise recommande donc aux utilisateurs concernés de créer une nouvelle seed avec le firmware corrigé puis de transférer leurs fonds vers cette nouvelle adresse.
Coinkite souligne néanmoins que cette opération doit être réalisée avec méthode afin d’éviter toute erreur susceptible d’entraîner une perte définitive des actifs numériques.
Les utilisateurs ayant généré leur seed à l’aide d’au moins cinquante lancers de dés physiques ne seraient pas concernés par cette vulnérabilité, cette méthode apportant une source d’entropie indépendante du firmware.
Des conséquences au-delà de Coldcard
L’impact dépasse désormais le seul fabricant canadien.
Les ETF Bitcoin au comptant ont enregistré une sortie nette de 265 millions de dollars après la révélation de l’affaire, tandis que le sentiment des investisseurs est tombé à son niveau le plus faible depuis le mois d’avril selon les indicateurs de Santiment.
Cette crise remet en question l’idée largement répandue selon laquelle la détention personnelle de cryptomonnaies garantit automatiquement une sécurité maximale.
Elle rappelle qu’un portefeuille matériel reste dépendant de la qualité de son logiciel interne et que des erreurs de développement peuvent produire des conséquences majeures plusieurs années après leur introduction.
Galaxy Research précise enfin que son estimation actuelle de près de 89 millions de dollars pourrait encore évoluer si de nouvelles adresses compromises étaient découvertes au fil des analyses.
