Un bug logiciel exploité contre des portefeuilles « froids »
Une série d'attaques coordonnées a abouti au détournement de 1 755 bitcoins, soit environ 110 millions de dollars, après l'exploitation d'une vulnérabilité logicielle affectant les portefeuilles physiques Coldcard, commercialisés par la société canadienne Coinkite. L'alerte a été relayée par des spécialistes du secteur, dont Alex Thorn de Galaxy Research, et confirmée par des notes publiées par des acteurs de l'écosystème crypto.
Comment le bug a permis le vol
Les Coldcard appartiennent à la catégorie des hardware wallets, appareils destinés à générer et conserver hors ligne les clefs privées nécessaires pour dépenser des bitcoins. Leur sécurité repose sur la génération d'une suite de nombres aléatoires suffisants pour rendre la clef impossible à prédire.
Selon les analyses rendues publiques, une ligne de code défectueuse dans le logiciel de certains Coldcard a altéré ce processus. Le générateur de nombres aléatoires s'est retrouvé remplacé, pour les appareils concernés, par un mécanisme beaucoup moins robuste — rendant certaines « phrases de récupération » (12 à 24 mots) suffisamment prévisibles pour être retrouvées par des attaquants expérimentés.
« fait basculer certains appareils vers un générateur bien plus faible »
Vagues d'attaques et vitesse des opérations
Les voleurs ont conduit plusieurs campagnes contre plus de 5 000 adresses. La plus spectaculaire s'est déroulée en une quarantaine de minutes, pendant lesquelles 1 083 bitcoins ont été transférés à partir de 1 196 adresses. Ces chiffres montrent la rapidité d'exécution permise lorsque la génération de la clef privée devient prévisible.
| Indicateur | Valeur |
|---|---|
| Bitcoin volés (total) | 1 755 BTC |
| Valeur en dollars | 110 millions USD |
| Adresses touchées | plus de 5 000 |
| Plus grosse vague | 1 083 BTC en 41 minutes |
Conséquences et questions ouvertes
Plusieurs implications méritent attention. D'abord, la vulnérabilité met en lumière que la sécurité d'un appareil physique dépend autant de son logiciel que de sa puce matérielle. Ensuite, la compromission concerne des utilisateurs qui, croyant renforcer leur sécurité en s'équipant d'un hardware wallet, ont vu leurs avoirs exposés lorsque la génération de clefs a été affaiblie.
Les éléments publics ne précisent pas encore l'ampleur exacte des unités affectées au sein des lignes de production ni la part d'appareils mis à jour depuis la découverte. De même, l'attribution des attaques à des groupes identifiés ou leur finalité (revente, blanchiment, fragmentation des fonds) reste du ressort des enquêtes en cours et de l'analyse des flux on-chain.
Mesures immédiates et recommandations
Les éditeurs de portefeuilles physiques et les utilisateurs doivent aujourd'hui considérer plusieurs actions :
- Vérifier les communications officielles de Coinkite et appliquer sans délai tout correctif recommandé.
- Contrôler l'état de leurs phrases de récupération et, en cas de doute, transférer les fonds vers un nouvel appareil dont la génération de clefs est confirmée sûre.
- Surveiller les adresses et les transactions sur la blockchain pour détecter des mouvements suspects et alerter les plateformes si nécessaire.
Si la correction logicielle est déployée rapidement, elle limitera de nouvelles exploitations, mais elle ne rendra pas automatiquement les fonds compromis récupérables. Les victimes restent dépendantes des démarches de traçage et des interventions des services chargés de la lutte contre la cybercriminalité.
Un rappel pour l'écosystème
Ce vol rappelle que « hardware » ne signifie pas invulnérable : la qualité du code et sa revue indépendante sont aussi critiques que la conception matérielle. Les acteurs institutionnels, les fournisseurs de services et les utilisateurs individuels devront redoubler d'attention sur la chaîne logicielle et les mécanismes cryptographiques qui fondent la confiance dans le stockage hors ligne des actifs numériques.
