Cory Klippsten était à un mariage à Paris lorsque les messages ont commencé à arriver.
« Ce fut un week-end brutal pour beaucoup qui ont perdu du bitcoin », a déclaré le PDG de Swan dans une interview. « J'envoyais des messages à 4 h du matin pour aider quelqu'un en heure du Pacifique à mettre ses pièces en sécurité. »
C’était le jeudi dernier, lorsque les attaquants ont commencé à vider des bitcoin de milliers de wallets matériels Coldcard, en exploitant une faille de firmware qui n’avait pas été détectée pendant cinq ans.
Un défaut dans une mise à jour du micrologiciel de mars 2021 pour le wallet fabriqué par Coinkite a laissé les utilisateurs avec des clés privées moins sécurisées qu'elles ne le devaient. Au moment où trois vagues d'attaques ont frappé, près de 1 600 BTC d'une valeur supérieure à 100 millions de dollars ont été transférés depuis environ 7 300 adresses, selon Galaxy Research.
Swan, une plateforme basée aux États-Unis qui aide les particuliers à acheter, détenir et auto-gérer leur bitcoin, a suspendu les retraits pour les clients à risque, envoyé des alertes dans l'application et élargi son support de migration bien au-delà de sa base d'utilisateurs.
« Notre équipe a tout arrêté pour commencer à appeler les clients, puis nous avons ouvert cela à tous ceux qui avaient besoin d’aide, qu’ils aient déjà été clients de Swan ou non », a déclaré Klippsten.
Une semaine plus tard, près de 90 % des pièces volées restent inaltérées sur la chaîne, les adresses de l'attaquant ont été partagées avec les forces de l'ordre fédérales américaines et Coinkite, basée à Toronto, a corrigé toutes les lignes d'appareils concernées. Une équipe de bénévoles financée par OpenSats a analysé plus de 150 dépôts open source et n'a trouvé aucune preuve que le problème s'étendait au-delà de Coldcard.
L'exploitation a amené certains acteurs du secteur à remettre en question la valeur de l'auto-gestion, suggérant que les investisseurs devraient envisager d'acheter du bitcoin par le biais, par exemple, de fonds négociés en bourse plutôt que de le détenir eux-mêmes.
Klippsten a toutefois déclaré que les clients ne se retirent pas de la auto-gestion. Au contraire, ils examinent des moyens de rendre leur bitcoin plus difficile d'accès.
« Les gens se dirigent vers Swan Vault en ce moment », a-t-il déclaré, faisant référence au produit multisig collaboratif de l'entreprise, où aucun appareil unique ne peut mettre les fonds d'un utilisateur en danger. « Au lieu d'abandonner la auto-gestion, beaucoup la perfectionnent. »
Son avis sur la semaine est un optimisme mesuré.
C’est affreux que des personnes aient perdu des pièces, alors qu’elles avaient fait tout ce qui était correct selon les conseils de nombreuses personnes connues de l’industrie. Mais le bitcoin est antifragile et les outils deviennent plus puissants à chaque heure. Cela pourrait se révéler être la meilleure chose qui soit jamais arrivée à l’auto-gestion.