Le piratage visant les portefeuilles mat\u00e9riels Coldcard continue de prendre de l’ampleur. Les pertes estim\u00e9es atteignent d\u00e9sormais 1 367 bitcoins, soit pr\u00e8s de 89 millions de dollars, apr\u00e8s l’identification d’une troisi\u00e8me vague d’attaques ayant vid\u00e9 208 BTC suppl\u00e9mentaires. Cette nouvelle phase, r\u00e9v\u00e9l\u00e9e par Galaxy Research, porte le nombre total d’adresses compromises \u00e0 4 585 et relance le d\u00e9bat sur la fiabilit\u00e9 des solutions d’autoconservation des cryptomonnaies.<\/p>\n
L’incident, qui a d\u00e9but\u00e9 le 30 juillet, repr\u00e9sente l’une des failles de s\u00e9curit\u00e9 les plus importantes ayant touch\u00e9 un fabricant de portefeuilles mat\u00e9riels ces derni\u00e8res ann\u00e9es. Alors que ces dispositifs sont g\u00e9n\u00e9ralement consid\u00e9r\u00e9s comme la r\u00e9f\u00e9rence en mati\u00e8re de protection des actifs num\u00e9riques, cette affaire d\u00e9montre qu’une vuln\u00e9rabilit\u00e9 logicielle peut suffire \u00e0 compromettre des milliers d’utilisateurs.<\/p>\n
La premi\u00e8re attaque s’est produite le 30 juillet entre 1 h 10 et 1 h 51 UTC. En seulement 41 minutes, les pirates ont d\u00e9rob\u00e9 1 082,65 BTC r\u00e9partis sur 1 196 adresses Bitcoin. L’op\u00e9ration s’est poursuivie durant pr\u00e8s de trente heures avant que Coinkite, le fabricant canadien des portefeuilles Coldcard, ne publie une premi\u00e8re alerte officielle.<\/p>\n
Une deuxi\u00e8me vague est intervenue le 31 juillet. Les attaquants ont alors subtilis\u00e9 76,16 BTC suppl\u00e9mentaires provenant de 1 478 adresses.<\/p>\n
Entre vendredi et samedi, une troisi\u00e8me campagne a permis le vol de 208 BTC issus de 1 912 nouvelles adresses. Selon Galaxy Research, cette phase s’est distingu\u00e9e par une m\u00e9thode diff\u00e9rente. Les fonds de chaque victime ont \u00e9t\u00e9 envoy\u00e9s vers des destinations Pay-to-Witness-Script-Hash distinctes et plusieurs victimes \u00e9taient regroup\u00e9es dans une m\u00eame transaction afin de rendre le suivi plus complexe.<\/p>\n
Les chercheurs estiment que chaque vague a probablement \u00e9t\u00e9 orchestr\u00e9e par un seul op\u00e9rateur. En revanche, ils ne disposent pas encore de preuves suffisantes pour confirmer que le m\u00eame groupe est responsable de l’ensemble des attaques.<\/p>\n
L’origine de la faille remonte \u00e0 une modification du firmware introduite en mars 2021.<\/p>\n
Cette modification a remplac\u00e9, sans que cela soit d\u00e9tect\u00e9 \u00e0 l’\u00e9poque, le g\u00e9n\u00e9rateur mat\u00e9riel de nombres al\u00e9atoires utilis\u00e9 pour cr\u00e9er les phrases de r\u00e9cup\u00e9ration par un g\u00e9n\u00e9rateur logiciel beaucoup moins robuste.<\/p>\n
Les analyses techniques montrent que les mod\u00e8les Coldcard Mk2 et Mk3 concern\u00e9s ne disposaient plus que d’environ 40 bits d’entropie effective, contre les 128 bits normalement attendus pour une phrase de r\u00e9cup\u00e9ration de douze mots.<\/p>\n
Les mod\u00e8les plus r\u00e9cents, notamment Mk4, Mk5 et Coldcard Q, pr\u00e9sentent une entropie d’environ 72 bits. Bien que sup\u00e9rieure, cette valeur reste inf\u00e9rieure au niveau de s\u00e9curit\u00e9 th\u00e9orique.<\/p>\n
Cette faiblesse permet \u00e0 un attaquant de g\u00e9n\u00e9rer hors ligne un grand nombre de phrases de r\u00e9cup\u00e9ration potentielles puis de comparer leurs adresses publiques avec celles visibles sur la blockchain, sans avoir besoin d’acc\u00e9der physiquement au portefeuille.<\/p>\n
L’annonce de cette vuln\u00e9rabilit\u00e9 a provoqu\u00e9 une forte inqui\u00e9tude parmi les d\u00e9tenteurs de bitcoins.<\/p>\n
Selon les donn\u00e9es de CryptoQuant, les transactions Bitcoin inf\u00e9rieures \u00e0 un BTC ont atteint pr\u00e8s de 39 600 BTC en une seule journ\u00e9e. Il s’agit du volume quotidien le plus \u00e9lev\u00e9 observ\u00e9 depuis novembre 2022, lors de l’effondrement de FTX.<\/p>\n
Ce mouvement traduit une migration massive des fonds vers de nouvelles adresses jug\u00e9es plus s\u00fbres.<\/p>\n
Alex Thorn, responsable de la recherche chez Galaxy, a averti que les attaques restaient en cours et a appel\u00e9 les utilisateurs dont les portefeuilles avaient \u00e9t\u00e9 cr\u00e9\u00e9s avec les firmwares concern\u00e9s \u00e0 transf\u00e9rer leurs actifs sans attendre.<\/p>\n
Samson Mow, directeur g\u00e9n\u00e9ral de Jan3, a \u00e9galement recommand\u00e9 \u00e0 tous les d\u00e9tenteurs d’un portefeuille Coldcard de d\u00e9placer imm\u00e9diatement leurs bitcoins, quel que soit le mod\u00e8le ou la version du firmware utilis\u00e9e.<\/p>\n
Face \u00e0 l’ampleur de la crise, le directeur g\u00e9n\u00e9ral de Coinkite, Rodolfo Novak, a pr\u00e9sent\u00e9 ses excuses publiques et reconnu que l’entreprise assumait l’enti\u00e8re responsabilit\u00e9 du bug logiciel.<\/p>\n
Un firmware d’urgence a \u00e9t\u00e9 publi\u00e9 pour tous les mod\u00e8les concern\u00e9s.<\/p>\n
Toutefois, cette mise \u00e0 jour ne prot\u00e8ge que les nouvelles phrases de r\u00e9cup\u00e9ration g\u00e9n\u00e9r\u00e9es apr\u00e8s son installation. Les seeds cr\u00e9\u00e9es auparavant restent vuln\u00e9rables et doivent \u00eatre remplac\u00e9es.<\/p>\n
L’entreprise recommande donc aux utilisateurs concern\u00e9s de cr\u00e9er une nouvelle seed avec le firmware corrig\u00e9 puis de transf\u00e9rer leurs fonds vers cette nouvelle adresse.<\/p>\n
Coinkite souligne n\u00e9anmoins que cette op\u00e9ration doit \u00eatre r\u00e9alis\u00e9e avec m\u00e9thode afin d’\u00e9viter toute erreur susceptible d’entra\u00eener une perte d\u00e9finitive des actifs num\u00e9riques.<\/p>\n
Les utilisateurs ayant g\u00e9n\u00e9r\u00e9 leur seed \u00e0 l’aide d’au moins cinquante lancers de d\u00e9s physiques ne seraient pas concern\u00e9s par cette vuln\u00e9rabilit\u00e9, cette m\u00e9thode apportant une source d’entropie ind\u00e9pendante du firmware.<\/p>\n
L’impact d\u00e9passe d\u00e9sormais le seul fabricant canadien.<\/p>\n
Les ETF Bitcoin au comptant ont enregistr\u00e9 une sortie nette de 265 millions de dollars apr\u00e8s la r\u00e9v\u00e9lation de l’affaire, tandis que le sentiment des investisseurs est tomb\u00e9 \u00e0 son niveau le plus faible depuis le mois d’avril selon les indicateurs de Santiment.<\/p>\n
Cette crise remet en question l’id\u00e9e largement r\u00e9pandue selon laquelle la d\u00e9tention personnelle de cryptomonnaies garantit automatiquement une s\u00e9curit\u00e9 maximale.<\/p>\n
Elle rappelle qu’un portefeuille mat\u00e9riel reste d\u00e9pendant de la qualit\u00e9 de son logiciel interne et que des erreurs de d\u00e9veloppement peuvent produire des cons\u00e9quences majeures plusieurs ann\u00e9es apr\u00e8s leur introduction.<\/p>\n
Galaxy Research pr\u00e9cise enfin que son estimation actuelle de pr\u00e8s de 89 millions de dollars pourrait encore \u00e9voluer si de nouvelles adresses compromises \u00e9taient d\u00e9couvertes au fil des analyses.<\/p>\n","protected":false},"excerpt":{"rendered":"
Le piratage visant les portefeuilles mat\u00e9riels Coldcard continue de prendre de l’ampleur. Les pertes estim\u00e9es…<\/p>\n","protected":false},"author":1,"featured_media":5254,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[16],"tags":[4828,1682,4829],"class_list":["post-5258","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technology","tag-coinkite","tag-cybersecurite","tag-galaxy-research"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/zawaya24.com\/fr\/wp-json\/wp\/v2\/posts\/5258","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/zawaya24.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/zawaya24.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/zawaya24.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/zawaya24.com\/fr\/wp-json\/wp\/v2\/comments?post=5258"}],"version-history":[{"count":1,"href":"https:\/\/zawaya24.com\/fr\/wp-json\/wp\/v2\/posts\/5258\/revisions"}],"predecessor-version":[{"id":5259,"href":"https:\/\/zawaya24.com\/fr\/wp-json\/wp\/v2\/posts\/5258\/revisions\/5259"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/zawaya24.com\/fr\/wp-json\/wp\/v2\/media\/5254"}],"wp:attachment":[{"href":"https:\/\/zawaya24.com\/fr\/wp-json\/wp\/v2\/media?parent=5258"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/zawaya24.com\/fr\/wp-json\/wp\/v2\/categories?post=5258"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/zawaya24.com\/fr\/wp-json\/wp\/v2\/tags?post=5258"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}