Galaxy Research, la branche recherche de Galaxy Digital, a élargi la portée sur chaîne de l'incident du wallet Coldcard après avoir identifié 1 196 adresses Bitcoin affectées. Dans une fenêtre de 41 minutes, ces adresses ont perdu un total de 1 082,65 BTC — soit environ 70,2 millions de dollars à la date des transactions.
Les nouvelles découvertes poussent encore plus loin les estimations antérieures, aidant à clarifier ce que les attaquants ont pu exécuter immédiatement après la génération des semences par les portefeuilles vulnérables. La traçabilité de Galaxy Research couvre les mouvements entre 1 h 10 et 1 h 51 UTC le 30 juillet, sur les blocs 960 183 à 960 191, environ 30 heures avant que Coldcard ne publie son premier avis de sécurité.
Principaux points à retenir
- Galaxy Research a identifié 1 196 adresses liées à l'incident Coldcard et a traqué des pertes de 1 082,65 BTC en 41 minutes.
- L'activité identifiée s'est produite entre 1 h 10 et 1 h 51 UTC le 30 juillet, sur les blocs 960 183 à 960 191, environ 30 heures avant le premier avis de Coldcard.
- Les estimations antérieures du PDG d'AnchorWatch, Rob Hamilton, étaient plus faibles, indiquant 594,48 BTC ayant circulé dans une fenêtre de trois blocs plus étroite.
- Galaxy Research indique que les transactions partagent un motif distinctif sur la chaîne — des frais identiques de 30 satoshis par octet virtuel et aucune sortie de change — mais les futurs regroupements pourraient différer.
Galaxy Research élargit la carte des attaques
Galaxy Research affirme avoir tracé les mouvements de Bitcoin liés à l'incident jusqu'à une vague spécifique d'activité le 30 juillet. L'analyse se concentre sur les adresses associées à la compromission du wallet Coldcard qui ont été vidées entre 1 h 10 et 1 h 51 UTC.
Selon Galaxy Research, les pertes accumulées sur une courte série de blocs — 960 183 à 960 191 — indiquent que l'attaque a probablement été menée à l'aide d'une automatisation et d'une structure de transaction répétée, plutôt que par des mouvements manuels sporadiques. Au moment des transferts sortants, le montant de 1 082,65 BTC était évalué à environ 70,2 millions de dollars.
Le moment est également notable : la fenêtre de traçage de Galaxy Research a commencé environ un jour avant le premier avis de sécurité publié publiquement par Coldcard, ce qui suggère que les fonds compromis ont été transférés tôt et que le cycle de réponse a été en retard par rapport au premier transfert.
La correspondance de motifs aide à confirmer les transactions associées — dans les limites
Dans une analyse de suivi, Galaxy Research a déclaré que les transactions identifiées partagent une signature commune. L'entreprise a indiqué que les transferts utilisaient des frais identiques de 30 satoshis par octet virtuel et que les transactions ne contenaient aucune sortie de change.
Ces caractéristiques sont utiles pour les enquêteurs car elles fournissent une empreinte sur chaîne pour regrouper les activités liées aux wallets, ce qui peut réduire les risques d'attribution erronée de transferts non liés. Galaxy Research a également averti que, bien que l'activité initiale de l'attaque soit identifiable grâce à ce schéma, les attaques ultérieures contre les adresses générées par Coldcard peuvent ne pas conserver la même empreinte.
Pour les utilisateurs et les analystes, cette distinction est importante : elle implique que les totaux d'incidents basés uniquement sur une structure de transaction reconnaissable pourraient sous-estimer des cycles supplémentaires d'activité si ces derniers prélèvements différaient par leurs paramètres de frais ou leur comportement en sortie.
Les estimations antérieures étaient plus petites, mais basées sur une fenêtre plus étroite
Avant la cartographie plus large de Galaxy Research, une analyse préliminaire antérieure du PDG et cofondateur d'AnchorWatch, Rob Hamilton, a estimé que 594,48 BTC—environ 38 millions de dollars à l'époque—ont été transférés à travers 500 transactions dans une fenêtre de trois blocs.
Les chiffres de Hamilton proviennent d'un segment plus restreint de l'activité sur chaîne, reflétant la rapidité avec laquelle les incidents liés aux wallets dépassent souvent les premières investigations. L'ensemble élargi de Galaxy Research met à jour efficacement cette image en élargissant à la fois l'ensemble des adresses et la période traceable autour de la vague du 30 juillet, doublant presque le total de BTC attribué à l'activité de transfert.
La divergence entre les estimations souligne un défi courant dans la réponse aux incidents pour les systèmes à auto-gestion : déterminer la portée complète peut nécessiter plusieurs jours de traçage, de regroupement et de validation — particulièrement lorsque les attaquants réutilisent une logique similaire à travers plusieurs transactions et destinations.
Coinkite reconnaît un bogue de firmware et recommande la migration de la graine
Le fabricant de Coldcard, Coinkite, a pris en charge le problème sous-jacent. Dans un post sur X vendredi, Rodolfo Novak, cofondateur de Coinkite, a déclaré que l'entreprise travaille à déterminer la portée complète du problème et a confirmé qu'elle a publié un correctif en urgence conçu pour supprimer une voie de repli logicielle.
Novak a également souligné une limitation de la mesure d'atténuation : la mise à jour ne protège pas les phrases secrètes générées sur le micrologiciel vulnérable. En pratique, les utilisateurs qui ont créé des phrases secrètes pendant la période concernée ont été invités à transférer leurs fonds vers une nouvelle phrase secrète.
Cette orientation est conforme au risque fondamental des compromissions basées sur les semences : si une vulnérabilité affecte le comportement des matériaux de semence ou des chemins d'exécution associés, une simple mise à jour du micrologiciel ne peut pas sécuriser rétroactivement les clés déjà générées. L'implication opérationnelle immédiate pour les détenteurs concernés est que la récupération nécessite un transfert vers du matériel de clé plus sûr, et non seulement une mise à jour de l'appareil.
Que regarder ensuite pour les utilisateurs concernés
L'identification par Galaxy Research d'un schéma courant de balayage sur chaîne offre une base plus structurée pour suivre les activités associées, mais l'avertissement de l'entreprise selon lequel les futures attaques pourraient ne pas correspondre à la même empreinte suggère que l'incident pourrait encore évoluer dans sa manifestation sur chaîne. Les utilisateurs préoccupés par le fait qu'ils aient généré des seeds avec un firmware vulnérable devraient se concentrer sur le transfert des soldes restants vers de nouvelles seeds générées et continuer à surveiller tout mouvement résiduel lié aux adresses associées à la logique de balayage.
Cet article a été initialement publié sous le titre Coldcard Bitcoin Loss Estimate Up to $70M After Galaxy Review sur Crypto Breaking News – votre source de confiance pour les actualités crypto, les nouvelles concernant le bitcoin et les mises à jour sur la blockchain.