#Coldcard漏洞被盗594枚BTC
Environ 594 bitcoins (d’une valeur d’environ 38 millions de dollars) ont été transférés collectivement en l’espace de 25 minutes, entre 01:31 et 01:56 (heure UTC) le 30 juillet, depuis quelque 500 portefeuilles indépendants. Ces portefeuilles sont presque tous des adresses à signature unique : chacune détient plus de 0,15 BTC. Bon nombre n’ont pas été utilisées depuis des années, et les fonds y ont été déposés sur une période allant de 2021 à 2026. Par la suite, environ 562 BTC ont été regroupés vers la même adresse, et aucun mouvement supplémentaire n’a encore été observé.
Le problème vient du micrologiciel du portefeuille matériel Coldcard. À partir de la version 4.0.0 publiée en mars 2021, l’appareil a omis, lors de la génération de la graine (seed), d’utiliser le générateur matériel de vraie aléa et a recouru à une solution logicielle de repli prédictible. L’entropie effective est passée de l’attendu de 128 bits à environ 40 bits (sur le modèle Mk3), rendant les clés privées calculables par force brute. L’attaquant avait manifestement calculé à l’avance ces graines faibles, puis a vidé le tout en une seule opération automatisée par script.
Coinkite (le fabricant de Coldcard) a rapidement publié un avertissement : les graines générées avec le micrologiciel 4.0.1 (ou une version supérieure) en fonctionnement sur Mk3 pourraient être affectées. La mise à jour du micrologiciel ne peut pas corriger les graines faibles déjà générées : il faut régénérer une toute nouvelle graine et migrer les actifs. Des analyses ultérieures indiquent aussi que les modèles Mk4, Q, Mk5, etc., pourraient présenter un problème d’entropie insuffisante, dans une moindre mesure (environ 72 bits). La société estime que, comme le code source est ouvert depuis longtemps, l’attaquant a pu découvrir cette faille à l’aide de l’IA en examinant les anciennes versions du micrologiciel — eux-mêmes, en repassant le code avec des modèles IA de pointe, n’ont pas non plus réussi à déceler ce bug à temps.
Les traces on-chain sont très claires : taux de frais élevés, absence de change (pas de retour), transactions groupées — un schéma typique de balayage automatisé. Les équipes de sécurité comme Block, lors d’un premier suivi, ont aussi relié une partie des activités à des fournisseurs de services blockchain. Des analyses ultérieures, comme celles de Galaxy Research, ont élargi le périmètre des adresses concernées à près de 1200 ; le montant total pourrait approcher 1080 BTC (environ 70 millions de dollars). Cependant, la faille centrale et la taille initiale du “sweep” demeurent dominées par 594 BTC.
Cette affaire est un sérieux coup de fouet pour l’ensemble de la communauté du self-custody. Les portefeuilles matériels ont été vantés comme « hors ligne = sécurisé », mais une erreur de construction au niveau du micrologiciel peut rester en sommeil pendant cinq ans, jusqu’à ce que l’attaquant soit prêt à récolter tout d’un coup. L’ouverture du code permet un audit facilité, mais elle offre aussi aux adversaires la même visibilité sur le code — à l’ère de l’IA, ce déséquilibre est en train d’être amplifié.
Les adresses à signature unique, restées longtemps inactives, sont particulièrement dangereuses. Des signatures multiples (multisig) ou des passphrases fortes peuvent nettement augmenter le seuil d’attaque, mais beaucoup de gens, par souci de simplicité, négligent cette protection.
Environ 594 bitcoins (d’une valeur d’environ 38 millions de dollars) ont été transférés collectivement en l’espace de 25 minutes, entre 01:31 et 01:56 (heure UTC) le 30 juillet, depuis quelque 500 portefeuilles indépendants. Ces portefeuilles sont presque tous des adresses à signature unique : chacune détient plus de 0,15 BTC. Bon nombre n’ont pas été utilisées depuis des années, et les fonds y ont été déposés sur une période allant de 2021 à 2026. Par la suite, environ 562 BTC ont été regroupés vers la même adresse, et aucun mouvement supplémentaire n’a encore été observé.
Le problème vient du micrologiciel du portefeuille matériel Coldcard. À partir de la version 4.0.0 publiée en mars 2021, l’appareil a omis, lors de la génération de la graine (seed), d’utiliser le générateur matériel de vraie aléa et a recouru à une solution logicielle de repli prédictible. L’entropie effective est passée de l’attendu de 128 bits à environ 40 bits (sur le modèle Mk3), rendant les clés privées calculables par force brute. L’attaquant avait manifestement calculé à l’avance ces graines faibles, puis a vidé le tout en une seule opération automatisée par script.
Coinkite (le fabricant de Coldcard) a rapidement publié un avertissement : les graines générées avec le micrologiciel 4.0.1 (ou une version supérieure) en fonctionnement sur Mk3 pourraient être affectées. La mise à jour du micrologiciel ne peut pas corriger les graines faibles déjà générées : il faut régénérer une toute nouvelle graine et migrer les actifs. Des analyses ultérieures indiquent aussi que les modèles Mk4, Q, Mk5, etc., pourraient présenter un problème d’entropie insuffisante, dans une moindre mesure (environ 72 bits). La société estime que, comme le code source est ouvert depuis longtemps, l’attaquant a pu découvrir cette faille à l’aide de l’IA en examinant les anciennes versions du micrologiciel — eux-mêmes, en repassant le code avec des modèles IA de pointe, n’ont pas non plus réussi à déceler ce bug à temps.
Les traces on-chain sont très claires : taux de frais élevés, absence de change (pas de retour), transactions groupées — un schéma typique de balayage automatisé. Les équipes de sécurité comme Block, lors d’un premier suivi, ont aussi relié une partie des activités à des fournisseurs de services blockchain. Des analyses ultérieures, comme celles de Galaxy Research, ont élargi le périmètre des adresses concernées à près de 1200 ; le montant total pourrait approcher 1080 BTC (environ 70 millions de dollars). Cependant, la faille centrale et la taille initiale du “sweep” demeurent dominées par 594 BTC.
Cette affaire est un sérieux coup de fouet pour l’ensemble de la communauté du self-custody. Les portefeuilles matériels ont été vantés comme « hors ligne = sécurisé », mais une erreur de construction au niveau du micrologiciel peut rester en sommeil pendant cinq ans, jusqu’à ce que l’attaquant soit prêt à récolter tout d’un coup. L’ouverture du code permet un audit facilité, mais elle offre aussi aux adversaires la même visibilité sur le code — à l’ère de l’IA, ce déséquilibre est en train d’être amplifié.
Les adresses à signature unique, restées longtemps inactives, sont particulièrement dangereuses. Des signatures multiples (multisig) ou des passphrases fortes peuvent nettement augmenter le seuil d’attaque, mais beaucoup de gens, par souci de simplicité, négligent cette protection.