Plus de 100 millions de dollars en bitcoin (BTC) ont été volés via l'exploitation en cours du wallet Coldcard, selon Galaxy Research, mais le commentateur du marché Joe Consorti a soutenu que l'attaquant pourrait avoir du mal à dépenser une grande partie de ce butin, car chaque BTC est suivi sur la blockchain publique.
Au lieu de se concentrer uniquement sur la taille du vol, Consorti a déclaré que cet incident met également en lumière une caractéristique souvent négligée de la crypto OG : même si les clés privées peuvent être compromises, le mouvement des unités volées reste visible pour les forces de l'ordre, les plateformes d'échange et les analystes de blockchain.
Transparence : les bitcoins volés restent sous surveillance
Dans un message sur X, Consorti a écrit :
Le voleur qui a volé 100 millions de dollars en BTC aura du mal à dépenser la majeure partie de son butin. Chaque pièce est en pleine vue, suivie par Galaxy, le FBI et des milliers d’autres.
Il a ajouté que le bitcoin « pourrait être le pire moyen de paiement jamais inventé pour le crime ». Dans une vidéo accompagnant le message, l'analyste pointé du doigt le fait que l'exploitation n'était pas une défaillance du réseau bitcoin lui-même, mais du logiciel de wallet qui a généré des phrases secrètes faibles sur les firmwares Coldcard affectés publiés après mars 2021.
Il a également noté que les utilisateurs qui avaient suivi les pratiques recommandées de auto-gestion de leur wallet étaient devenus des victimes, car la randomité sous-jacente utilisée pour générer les seeds de wallet avait été affaiblie.
Galaxy Research a jusqu'à présent identifié 1 596 BTC volés à travers environ 7 300 adresses dans trois vagues d'attaques confirmées. Si l'activité suspectée mais non confirmée est incluse, les pertes pourraient atteindre 2 055 BTC, soit plus de 130 millions de dollars.
Selon l'entreprise, environ 90 % du bitcoin volé n'a pas été déplacé, tandis que toutes les pièces provenant des trois premières vagues confirmées sont toujours dans des wallets contrôlés par l'attaquant. Elle a également déclaré avoir partagé toutes les adresses de l'attaquant confirmées avec les agences d'application de la loi américaines, ainsi qu'avec les plateformes d'échange et les entreprises d'investigation blockchain.
Malgré l'ampleur du vol et les articles qu'il a suscités depuis, le bitcoin était négocié à près de 64 000 $ au moment de la rédaction, en hausse de 2 % au cours des dernières 24 heures, un point que Consorti a cité comme preuve que le marché a largement séparé l'échec de sécurité du protocole bitcoin lui-même.
Le premier vol confirmé a été révélé le 31 juillet, lorsque 594,5 BTC ont été vidés à partir d'environ 500 adresses réparties sur quatre blocs. Coinkite, l'entreprise derrière l'appareil Coldcard, a déclaré que les graines affectées contiennent environ 72 bits d'entropie au lieu des 128 bits auxquels elles devraient correspondre, les rendant devinables avec suffisamment de puissance de calcul.
L'entreprise a depuis corrigé les firmwares plus récents, mais ne peut pas corriger les seeds déjà générés sur les appareils vulnérables et a conseillé aux utilisateurs de ses appareils Mk3, Mk4, Mk5 et Q de déplacer leurs fonds vers du matériel non affecté.
Le débat se poursuit sur la possibilité de blanchir le butin
Le commentateur crypto Shagun a eu la même idée que Consorti, arguant que l'analyse de la blockchain, les vérifications de conformité et les erreurs opérationnelles rendraient le déplacement d'un tel montant de bitcoin volé bien plus difficile que son vol. Ils ont plutôt conseillé à l'attaquant de restituer les fonds en échange d'une récompense de sécurité négociée.
Cependant, tout le monde n'était pas d'accord pour dire que le voleur ne pourrait pas retirer les fonds, suggérant qu'il pourrait effacer ses traces en utilisant des outils de confidentialité tels que des mixeurs, des pièces axées sur la confidentialité, des transactions Taproot et le Lightning Network.
L'article Coldcard Exploit Dépasse 100 M$ tandis qu'un expert affirme que les BTC volés pourraient être difficiles à dépenser est apparu pour la première fois sur CryptoPotato.