Un vol massif sans accès physique aux portefeuilles
Dans la nuit du 30 juillet, plus de 1 082,65 BTC ont été extraits de 1 196 portefeuilles matériels Coldcard en l'espace de 41 minutes. La valeur estimée des fonds saisis est d'environ 70 millions de dollars. Les recherches publiques et les analyses blockchain montrent que l'attaquant n'a jamais eu besoin d'accéder physiquement aux dispositifs ; il a plutôt reconstruit des clés privées à partir de phrases mnémoniques vulnérables.
Le mécanisme : une génération de seed mise en cause
Selon les analyses relayées par Galaxy Research et des sociétés de sécurité, la faiblesse pointée ne relève pas d'un vol traditionnel (piratage d'une plateforme ou hameçonnage) mais d'une faiblesse algorithmique dans le firmware de certains Coldcard. Celle-ci aurait rendu des phrases mnémoniques supposées hautement imprévisibles « énumérables » par des méthodes logicielles, permettant de reconstituer hors ligne les clés privées et de « balayer » les adresses vulnérables.
- Wallets touchés : 1 196
- BTC drainés : 1 082,65 BTC
- Montant estimé : ≈ 70 millions de dollars
- Fenêtre temporelle : 41 minutes (01:10–01:51 UTC)
- Destinations : fonds regroupés dans 4 adresses ; 6 blocs impliqués, 3 blocs sans transactions
Pourquoi cet incident est notable
La plupart des grands vols observés jusqu'ici ont impliqué un compromis d'infrastructure (plateforme, contrat, ou machine compromise). Ici, le vecteur est cryptographique et lié à la génération de la seed — la racine de toute la sécurité d'un portefeuille non custodial. Si la génération d'une phrase mnémonique n'est pas réellement aléatoire ou est produite par un algorithme dont l'espace de recherche est plus restreint que prévu, des attaquants bien équipés peuvent reconstruire les clés privées sans jamais toucher au hardware.
Conséquences pour les détenteurs et l'écosystème
Les experts en sécurité mettent en garde : d'autres portefeuilles pourraient être compromis si leurs seeds ont été produits par un firmware vulnérable, et les propriétaires ne disposent souvent d'aucun moyen simple et fiable pour vérifier si leur seed a été fabriqué en utilisant cette version fautive du firmware. Par ailleurs, l'opération montre que des sommes importantes peuvent être drainées rapidement et relayées vers un petit nombre d'adresses consolidées, compliquant les efforts immédiats de récupération.
Éléments techniques observés sur la blockchain
| Indicateur | Valeur |
|---|---|
| Nombre de portefeuilles vidés | 1 196 |
| BTC transférés | 1 082,65 |
| Nombre d'adresses réceptrices | 4 |
| Durée de l'opération | 41 minutes |
| Blocs contenant les transactions | 6 (avec 3 blocs intermédiaires vides) |
À quoi s'attendre et mesures recommandées
La situation appelle plusieurs réponses :
- vérification par les fabricants et audits indépendants du code de génération des seeds dans le firmware ;
- communication transparente des vendeurs pour permettre aux utilisateurs d'identifier les firmwares concernés ;
- pour les détenteurs, migration vers des wallets dont la génération de seed a été auditée ou mise à jour, idéalement après consultation de sources de confiance.
Les enquêtes sont en cours et des éléments de traçage ont permis de suivre les mouvements initiaux des fonds. Reste toutefois à confirmer publiquement l'exacte étendue de la faille — et à déterminer si elle affecte d'autres modèles ou firmwares. Pour l'instant, le constat est net : la sécurité des clés privées repose autant sur la robustesse des algorithmes que sur la protection physique des dispositifs.
