Plus de 1 000 bitcoin, d'une valeur d'environ 70 millions de dollars, ont été volés depuis 1 196 wallets dans une fenêtre de 41 minutes le 30 juillet, soit presque le double du montant signalé lors de la première découverte du vol.
Galaxy Research a cartographié l'ensemble de l'événement sur vendredi, en constatant que 1 082,65 BTC ont été transférés entre 01:10 et 01:51 UTC sur six blocs, avec trois blocs intermédiaires vides, ce qui suggère que les transactions ont été diffusées par lots plutôt que de manière continue.
Les produits sont détenus dans quatre adresses et n'ont pas bougé. Les premiers rapports n'ont capté qu'une seule de ces adresses, ce qui explique pourquoi le montant a augmenté.
La taille de l'attaque est bien plus petite que certaines des plus grandes attaques cette année, mais c'est le mécanisme qui rend cela inhabituel — et pourquoi cette attaque est si importante.
La plupart des vols de crypto-monnaies impliquent d'accéder à quelque chose. Une plateforme d'échange est compromise, un contrat est trompé, une clé est volée par phishing sur un ordinateur portable. La défense a toujours été la distance, ce que précisément un wallet matériel vend. Gardez la clé sur un appareil qui ne se connecte jamais à Internet et, théoriquement, il n'y a rien pour un attaquant à toucher.
Lorsqu'un wallet est créé, l'appareil doit choisir un nombre tellement grand et tellement imprévisible que le deviner est impossible.
Ce nombre est la graine, et chaque adresse et clé privée en dérive selon des règles publiques fixes. Le firmware de Coldcard était conçu pour tirer ce nombre d’un générateur de hasard matériel dédié. Un paramètre de compilation interne lui indiquait de sauter ce générateur, et une vérification dans une bibliothèque de support ne testait que l’existence de ce paramètre, et non son activation.
La génération de la clé a été déléguée à un substitut logiciel de base alimenté par le numéro de série du puce et ses registres d'horloge. Ce numéro de série est des métadonnées d'usine fixes, et les valeurs d'horloge sont un état temporel qu'un attaquant peut réduire ou mesurer sur un appareil de son choix.
La conséquence a été que la gamme de clés que l'appareil pouvait jamais produire est passée d'une taille inimaginable à une quantité dénombrable. Les équipes de sécurité ont constaté que la génération de clés pouvait être déterminée sur les anciens Mk2 et Mk3 — des numéros pour différents modèles de Coldcard — mais sur le Mk4, le Q et le Mk5, elles ont estimé la gamme à environ quatre milliards de possibilités.
Quatre milliards est un grand nombre pour une personne, mais un petit nombre pour un ordinateur. Un attaquant génère des graines candidates sur son propre matériel, dérive les adresses qu'elles produiraient, et vérifie ces adresses contre la blockchain publique, que n'importe qui peut télécharger.
Chaque étape de cela s'exécute sur la machine de l'attaquant. L'appareil de la victime n'est impliqué à aucun moment et pourrait être éteint dans un coffre-fort sur un autre continent.
L'analyse de Galaxy montre que le processus est en cours. Parmi les portefeuilles vidés, 1 183 utilisaient le format d'adresse segwit natif moderne, sept utilisaient une ancienne norme et six une encore plus ancienne. Personne ne cible une victime spécifique sur trois formats d'adresses en même temps.
Il s'agit d'une énumération systématique, consistant à vérifier chaque graine candidate contre chaque chemin qu'elle pourrait avoir produit. L'opérateur peut élargir la recherche, la raffiner et revenir à tout moment de son choix.
Galaxy a averti que de nouvelles vagues sont probables si les propriétaires ne déplacent pas leurs fonds.
Un propriétaire ne peut pas non plus déterminer s'il est exposé. Il n'existe aucun test à effectuer sur votre propre wallet pour révéler si votre seed se trouve dans la plage reproductible.
Coinkite, le fabricant de Coldcard, a averti les propriétaires du Mk3 et affirme que ses appareils plus récents ne sont pas concernés, tandis que le rapport de Block inclut également le Mk2, le Mk4, le Q et le Mk5. Jusqu'à ce que la question soit résolue, toute personne ayant généré une seed sur le micrologiciel affecté doit supposer le pire au lieu de la vérifier.
L'attaquant a toutefois commis une erreur.
Clay Garrett de Block a déclaré sur X que l'opérateur avait utilisé un compte payant chez un « fournisseur de données blockchain bien connu » pour interroger les adresses sources pendant les opérations de regroupement, et que les journaux internes du fournisseur correspondaient avec une spécificité extraordinaire au flux de travail suspecté, jusqu'au nombre, au moment et à la séquence des requêtes.
1/ Lors de notre enquête sur le retrait du Coldcard hier, nous avons identifié un motif inhabituel dans les virements. Ce motif nous a conduits à une hypothèse depuis confirmée : l'opérateur a utilisé un compte payant chez un fournisseur de services blockchain bien connu pour interroger la source… https://t.co/l5McyhhcNn
— Clay Garrett (@clay_garrett)Le fournisseur semblait fournir des services ordinaires à des demandes qui ne laissaient aucun indice sur leur objectif. Block a transmis les informations aux autorités.
Le stockage à froid promet qu'une clé est impossible à deviner. Tout le monde le lit comme une promesse qu'une clé est inaccessibile, et le coût pour découvrir et exploiter les failles du premier type ne cesse de diminuer.
Anthropic a publié une recherche mardi montrant qu'un de ses modèles a réduit de moitié la sécurité d'un algorithme post-quantique candidat en 60 heures, contre une conception qui avait résisté à deux ans d'examens d'experts.
Stocker une clé en toute sécurité est désormais la moitié la plus facile du problème.