Un attaquant siphonne 116 M$ en bitcoin depuis des adresses Coldcard

Point clé — Un attaquant a transféré environ 1'816 bitcoins, soit près de 116 millions de dollars, depuis plus de 5'200 adresses générées sur des appareils Coldcard depuis le 30 juillet. Selon Galaxy Research, le plus important balayage a porté sur 1'082 bitcoins prélevés sur 1'196 portefeuilles en 41 minutes. À l'origine de l'incident, le firmware Coldcard 4.0.0, expédié en mars 2021, intégrait un paramètre de compilation indiquant à l'appareil d'ignorer sa puce matérielle dédiée à l'aléa. Le PDG de Coinkite, Rodolfo Novak, a appelé les utilisateurs ayant généré leurs "seeds" avec des portefeuilles Coldcard à migrer leurs fonds en appliquant des bonnes pratiques mises à jour. Les détenteurs ayant généré leur seed avec au moins 50 lancers de dés privés, ou ayant utilisé une passphrase robuste, ne seraient pas affectés. Pourquoi c'est important — Une défaillance d'entropie peut transformer l'auto-conservation hors ligne en exposition silencieuse des clés et fragiliser la confiance dans la sécurité des portefeuilles matériels. Sentiment de marché — Prudemment baissier, sous tension, tiré par la technologie, en phase de réduction du risque. Motif : le siphonnage signalé d'adresses générées par Coldcard pourrait éroder la confiance dans la sécurité matérielle de l'auto-conservation. Cas comparable — Trust Wallet a corrigé une vulnérabilité WebAssembly dans l'extension de navigateur après que le problème a entraîné 170'000 dollars de pertes pour des utilisateurs, d'après The Block. L'épisode a illustré qu'une génération de seed insuffisamment robuste peut laisser des portefeuilles exposés même sans hameçonnage ni vol d'appareil. (The Block) Différence majeure : l'affaire Trust Wallet concernait un logiciel d'extension navigateur, alors qu'ici l'incident touche la génération de seeds sur un portefeuille matériel Coldcard. Effets d'entraînement — Les doutes sur l'entropie peuvent pousser certains utilisateurs à s'éloigner d'une conservation sur un seul appareil au profit de systèmes offrant davantage de contrôles opérationnels. La demande de solutions de custody pourrait progresser si des détenteurs importants estiment que l'isolation matérielle ne suffit pas à contenir un risque d'implémentation non visible. Si Coinkite publie son analyse technique et ses recommandations de migration, la capacité de confinement dépendra de la rapidité avec laquelle les utilisateurs feront tourner les seeds vulnérables. Opportunités et risques Opportunités : à la publication de l'analyse technique de Coinkite, une délimitation claire du défaut peut servir de signal de réparation de la confiance pour les utilisateurs de portefeuilles matériels. Si les recommandations de migration s'avèrent très ciblées, les fournisseurs d'auto-conservation disposant de contrôles d'entropie plus solides pourraient gagner en crédibilité. Risques : en cas de nouvelles vagues vidant des adresses générées par Coldcard, la réduction de l'exposition à un seul appareil peut limiter l'impact opérationnel. Si l'analyse technique met au jour une exposition plus large liée à la génération de seeds, le risque de conservation pourrait rester élevé pour l'ensemble des utilisateurs concernés.