Défaut du micrologiciel Coldcard entraîne un vol de 88,6 millions de dollars en bitcoin depuis 4 585 adresses

Une exploitation de sécurité à grande échelle ciblant les portefeuilles matériels Coldcard a entraîné le vol de près de 1 367 bitcoin, d'une valeur d'environ 88,6 millions de dollars, selon des chercheurs de Galaxy Research, qui affirment que l'attaque reste active et pourrait affecter d'autres utilisateurs.

Les dernières découvertes indiquent que les attaquants ont déjà vidé les fonds de 4 585 adresses bitcoin, une troisième vague de vols poussant les pertes totales observées à près de 90 millions de dollars.

Les chercheurs encouragent toute personne utilisant des wallets générés par Coldcard potentiellement affectés à transférer immédiatement ses actifs.

Galaxy Research a indiqué qu'un supplément de 207,73 BTC a été volé lors de la dernière vague d'attaques, portant les pertes totales estimées à environ 1 367 BTC.

Selon Alex Thorn, responsable de la recherche globale chez Galaxy Digital, les enquêteurs continuent d'identifier les adresses des victimes et des attaquants à mesure que l'exploitation se déroule.

« L’attaque est en cours », a déclaré Thorn dans un message sur X, conseillant aux utilisateurs de déplacer immédiatement leurs fonds depuis les adresses générées par Coldcard vulnérables.

Galaxy a partagé des centaines d'adresses de wallet suspectées appartenir à des attaquants avec les agences d'application de la loi, les fournisseurs de conformité et les investigateurs en cybersécurité afin de soutenir les efforts en cours pour retracer les actifs volés.

L'exploit a été lié à une faille introduite dans une mise à jour du micrologiciel Coldcard de mars 2021, qui aurait affaibli la randomisation utilisée lors de la génération de la phrase secrète.

Selon les chercheurs, le problème a affecté la création des clés privées pour certains wallets à signature unique, les rendant significativement plus faciles à prédire pour les attaquants que prévu.

Galaxy estime que les vols ont été hautement automatisés et coordonnés, Thorn suggérant que les attaquants auraient pu utiliser des outils d'automatisation avancés pour identifier et vider systématiquement les wallets vulnérables.

Il a également averti que chaque wallet à signature unique affecté généré à l’aide du micrologiciel défectueux pourrait éventuellement être compromis si des fonds restent sur ces adresses.

Les chercheurs ont noté que beaucoup des bitcoin volés étaient restés inutilisés pendant des années avant d'être vidés.

Galaxy estime que les fonds compromis étaient inactifs depuis en moyenne 3,18 ans, ce qui indique que de nombreuses victimes étaient des détenteurs de long terme de bitcoin qui croyaient que leurs actifs étaient stockés en toute sécurité hors ligne.

Au moment de la publication, les enquêteurs ont déclaré que les fonds volés restaient dans des wallets contrôlés par l'attaquant et n'avaient pas encore été déplacés davantage.

L'exploitation a suscité une réponse inhabituelle au sein de la communauté Bitcoin, certains utilisateurs affectés ayant temporairement abandonné la auto-gestion au profit des plateformes d'échange centralisées ou de nouveaux wallets.

Les données sur la chaîne partagées par Julio Moreno, chef de la recherche chez CryptoQuant, ont montré que les transferts de bitcoin inférieurs à 1 BTC ont fortement augmenté vendredi, avec environ 39 600 BTC transférés en une seule journée.

Le chiffre représente le plus haut volume quotidien de transactions inférieur à un bitcoin depuis novembre 2022, peu après l'effondrement de la plateforme d'échange FTX, suggérant une vague de petits détenteurs déplaçant leurs actifs suite à la nouvelle de l'exploit.

La migration marque une rare inversion de la philosophie de longue date du bitcoin « pas vos clés, pas vos pièces », les préoccupations liées à la sécurité ayant temporairement pris le pas sur la préférence pour l'auto-gestion.

Parmi les personnes touchées se trouvait l’entrepreneur et coach canadien Jonathan Goodman, qui a déclaré que 18,25 BTC ont été volés de ses wallets en quelques minutes, malgré le fait qu’il ait conservé sa phrase de récupération hors ligne dans une boîte de sécurité.

Goodman a déclaré qu'il avait suivi les pratiques de sécurité recommandées et qu'il signale désormais l'incident aux autorités policières et aux régulateurs canadiens.

L'incident a relancé le débat sur la sécurité des wallets matériels et l'importance de vérifier l'intégrité du firmware, tout en soulignant que même les solutions de stockage hors ligne restent vulnérables si la génération des clés cryptographiques est compromise.

Dans le cadre de l'enquête en cours, les chercheurs en sécurité conseillent à tous les utilisateurs ayant pu créer des wallets à signature unique Coldcard avec le micrologiciel affecté de transférer immédiatement leurs bitcoin vers de nouveaux wallets générés avec un logiciel vérifié.