Une faille de génération de seed exploitable depuis 2021
Une série de vols massifs touche des adresses Bitcoin liées aux hardware wallets Coldcard. Les chercheurs de Galaxy Research rapportent que 1 367,05 BTC — environ 88,6 millions de dollars au cours actuel — ont été transférés hors de 4 585 adresses en plusieurs vagues d’attaques. L’origine technique identifiée : une mise à jour du firmware publiée en mars 2021 qui a modifié la méthode de génération des seeds, remplaçant une génération matérielle par un générateur pseudo‑aléatoire logiciel prévisible.
Trois vagues, des montants et des tactiques différentes
Les transferts ont été observés en au moins trois phases distinctes et consolidés ensuite. La première vague, le 30 juillet, a été particulièrement rapide : 1 083 BTC ont été vidés depuis 1 196 adresses en 41 minutes. La troisième vague, plus récente, a ciblé des soldes beaucoup plus faibles par victime (de l’ordre de dixième de bitcoin) et a utilisé des schémas transactionnels plus complexes, rendant le repérage et l’agrégation des fonds plus difficiles. Lors de cette troisième salve, 207,7294 BTC ont été drainés.
- Total volé : 1 367,05 BTC (~88,6 M$)
- Adresses touchées : 4 585
- Première vague : 1 083 BTC depuis 1 196 adresses (41 minutes)
- Troisième vague : 207,7294 BTC, ciblant des petits soldes
- Cours du BTC cité autour de 63 147 $
| Vague | BTC siphonnés | Remarques |
|---|---|---|
| 1 | 1 083 | 1 196 adresses, action rapide |
| 3 | 207,7294 | Soldes modestes, transactions complexes |
| Total | 1 367,05 | 4 585 adresses affectées |
Technique : quand la génération devient prédictible
Le point central de l'enquête est technique et clair : la mise à jour de 2021 a redirigé la génération de seeds vers un PRNG logiciel accessible au sein du firmware, au lieu d'utiliser l’entropie fournie par la puce matérielle. En pratique, cela réduit l'espace des clés plausibles et permet, pour un adversaire disposant d'une puissance de calcul suffisante, de reconstruire des seeds hors ligne sans jamais compromettre physiquement l'appareil.
"I believe it's extremely important to stress that even users who IMPORTED or generated a seed with DICE are vulnerable, if they use the following features:" — Kevin Loaec
Cette alerte du développeur Bitcoin Kevin Loaec souligne que le risque ne se limite pas aux utilisateurs ayant généré leur seed sur l'appareil : les seeds importés peuvent aussi être vulnérables selon certaines options utilisées.
Conséquences pour les utilisateurs et le marché
Au plan pratique, l’événement pose plusieurs questions : qui doit assumer la responsabilité d’une mise à jour qui affaiblit la sécurité, quelles procédures de divulgation et de correctif sont appliquées, et comment les détenteurs de hardware wallets doivent réagir ? À court terme, l’incident peut pousser des détenteurs à transférer leurs actifs vers d’autres dispositifs ou à regénérer des seeds via des méthodes dont l'entropie est vérifiée indépendamment.
Il est nécessaire de distinguer ce qui est établi et ce qui relève de l'analyse : les montants transférés, les adresses touchées et la faille identifiée proviennent de sources d'analyse blockchain et de recherches publiées ; les motivations et l'identité de l'attaquant, elles, ne sont pas confirmées et relèvent encore de la spéculation.
Pour les utilisateurs français et européens, la recommandation immédiate est la prudence : vérifier les communications officielles de Coldcard, sauvegarder les seeds par des moyens sûrs et envisager, si possible, la migration des fonds vers des clés dont la génération est assurée par une source matérielle certifiée.
