Les pirates de Coldcard ont envoyé 64 BTC et 200 ETH à des mixeurs crypto

Les fonds volés liés à l'exploitation du portefeuille matériel Coldcard montrent des signes précoces de blanchiment, mais les chercheurs en sécurité blockchain affirment que la plupart des imitateurs potentiels n'ont pas encore déplacé de gros montants de crypto-victimes. Selon CertiK, environ 64 Bitcoin (valant environ 4,17 millions de dollars) et 200 Ether (valant environ 380 000 dollars) liés à l'attaque ont été acheminés vers des services de mélange connus — Wasabi pour BTC et Tornado Cash pour ETH.

L'incident Coldcard est rapidement devenu l'un des plus grands piratages de crypto-monnaies de l'année. Galaxy Digital avait précédemment évalué les pertes confirmées à au moins 100 millions de dollars en Bitcoin réparties sur trois vagues, et a également signalé une quatrième vague possible qui pourrait porter les pertes totales à environ 130 millions de dollars.

• CertiK affirme qu'environ 64 BTC liés à l'exploit Coldcard ont été envoyés à Wasabi, et 200 ETH ont été transférés vers Tornado Cash.
• Les services de mélange regroupent généralement les fonds et obscurcissent les liens sur chaîne, réduisant les chances de récupération pour les victimes.
• Les traces de TRM Labs suggèrent que la plupart des soldes des victimes restent concentrés dans un petit ensemble d'adresses contrôlées par l'attaquant, avec une activité de mélange limitée.
• L'analyse des schémas de transaction à travers les vagues d'attaque indique que l'exploitation pourrait impliquer plus d'un acteur.

La surveillance blockchain de CertiK a lié des activités de transfert spécifiques à l'exploitation de Coldcard et a tracé une partie du flux vers des outils de confidentialité et d'obfuscation. Dans son rapport, CertiK a indiqué que le transfert de bitcoin — provenant de l'adresse bc1q0 — a été envoyé au protocole de mélange Wasabi mardi, en utilisant les données d'adresse de CertiK partagées avec Cointelegraph.

Du côté d'Ethereum, CertiK a déclaré que 200 ETH ont été envoyés à Tornado Cash mercredi, en s'appuyant sur un X post de son compte comme base pour cette observation.

Les mélangeurs de crypto-monnaies comme Tornado Cash fonctionnent en regroupant les dépôts de plusieurs utilisateurs, puis en libérant les fonds d'une manière qui rompt la traçabilité directe sur la chaîne depuis l'expéditeur initial jusqu'au destinataire final. Cette fonctionnalité est précisément ce qui rend la traçabilité plus difficile et la récupération des actifs moins probable — surtout lorsque les attaquants agissent rapidement et fragmentent les fonds sur plusieurs adresses et services.

Le porte-parole de CertiK a déclaré à Cointelegraph que cette activité pourrait être liée à un exploitateur plus petit, ajoutant que « il y a probablement quelques imitateurs après l'exploitation initiale ». L'implication est claire : si d'autres parties ont utilisé la même faille, leurs mouvements sur la chaîne pourraient aider ou compliquer les enquêteurs, selon qu'elles effectuent ou non un blanchiment à grande échelle.

C’est là que les conclusions de TRM Labs deviennent importantes. Dans un rapport du jeudi intitulé « The largest hardware wallet exploit of 2026: inside the $116 million Coldcard hack », TRM Labs a indiqué que ses traces sur chaîne suggèrent que la majorité des fonds des victimes étaient toujours regroupés dans un nombre limité d’adresses contrôlées par les attaquants et que les tentatives de mélange semblaient limitées.

TRM Labs a également souligné que « les différences dans la construction des transactions » entre chaque vague suggèrent plusieurs attaquants. En d'autres termes, même si la vulnérabilité sous-jacente était partagée, le plan d'action opérationnel peut ne pas être identique — une asymétrie qui peut être utile aux enquêteurs cherchant à distinguer les identités des participants, les sources de financement et les voies de blanchiment.

Galaxy Digital avait précédemment qualifié l'exploit Coldcard de troisième plus grande violation de cryptomonnaie en 2026 jusqu'à présent, sur la base d'activités confirmées. Dans son évaluation, Galaxy a estimé les pertes drainées à au moins 100 millions de dollars en bitcoin à travers trois vagues d'attaques vérifiées impliquant 7 300 portefeuilles victimes. Galaxy a également mentionné une quatrième vague suspecte qui pourrait porter les pertes totales à environ 130 millions de dollars en BTC, selon une couverture antérieure de Cointelegraph.

Ces découvertes basées sur les vagues ont une importance pour la manière dont les analystes interprètent le blanchiment. Si les attaquants ne répartissent pas les fonds de manière agressive — ou si seule une partie des actifs volés a été transférée dans des mixeurs — alors la dimension temporelle devient critique : les enquêteurs pourraient encore attendre une extension plus large alors que d'autres acteurs ou d'autres lots de fonds volés commencent à se déplacer.

L'analyse antérieure de Galaxy, également citée par Cointelegraph, suggérait qu'au moins 15 attaquants différents avaient exploité la vulnérabilité. Cela correspond au point de TRM Labs concernant les différences dans la construction des transactions entre les vagues, renforçant l'idée que ce qui semble être un seul incident pourrait en réalité être une opération coordonnée (ou du moins parallèle) impliquant des participants distincts.

Le rapport de TRM Labs a attribué une partie de la vulnérabilité à un bogue de firmware datant de mars 2021 qui a affaibli la randomisation des seed sur certains wallets Coldcard. Selon TRM Labs, ce bogue a réduit efficacement la force de la clé de 128 à 40 bits, la rendant « accessible par force brute sans accès physique ».

Les autres commentaires autour de la correction ont souligné le faible coût d'une meilleure hygiène de sécurité. Le partenaire gérant de Dragonfly, Haseeb Qureshi, a écrit qu'environ « 2 $ de renforcement par IA » auraient pu empêcher l'exploitation de Coldcard, en se référant à des rapports sur les réseaux sociaux selon lesquels certains modèles d'IA ont rapidement redécouvert la vulnérabilité — bien que ces affirmations soient présentées comme des commentaires plutôt que comme des conclusions techniques formelles.

Pour les investisseurs et les développeurs, l'enseignement principal ne porte pas tant sur un prix spécifique que sur la rapidité avec laquelle les faiblesses peuvent être exploitées une fois que la connaissance publique se répand. Lorsqu'une vulnérabilité peut être exploitée à distance et à grande échelle, la réponse aux incidents doit prendre en compte à la fois les attaquants immédiats et les imitateurs à long terme.

À l'avenir, les lecteurs devront surveiller si d'autres adresses contrôlées par l'attaquant commencent à transférer des portions plus importantes des soldes volés vers des services de mélange, et si la quatrième vague « suspectée » confirmée par Galaxy se développe davantage. Au fur et à mesure que davantage de fonds bougent — ou ne bougent pas — sur la chaîne, les enquêteurs obtiendront des signaux plus clairs sur le nombre d'acteurs impliqués et la réussite de leur tentative de briser la traçabilité.

Cet article a été initialement publié sous le titre Coldcard Hackers Send 64 BTC and 200 ETH to Crypto Mixers sur Crypto Breaking News – votre source de confiance pour les actualités crypto, les nouvelles sur le bitcoin et les mises à jour sur la blockchain.