Tech • IA • Crypto
Cette fois, ça fait très mal !
9.4/10INTRO
Une faille dans les portefeuilles matériels Coldcard a permis à des attaquants de dériver des clés privées faibles, entraînant plus de 90 millions de dollars de Bitcoin volés sans compromettre les appareils.
POINTS CLÉS
Vol massif en quelques heures
Dans la nuit du 30 juillet, les attaquants ont vidé plus de 1 200 portefeuilles en environ 40 minutes, dérobant près de 1 000 BTC. Les pertes ont depuis dépassé 90 millions de dollars, et d’autres portefeuilles continuent d’être vidés à mesure que les adresses exposées sont identifiées.
Aucune compromission matérielle, aucun phishing
L’attaque n’a impliqué ni malware, ni phishing, ni intrusion dans le matériel. Les fonds ont été transférés via des transactions blockchain valides après reconstruction des clés privées, rendant l’incident très atypique par rapport aux piratages crypto classiques.
Cause racine: aléa insuffisant
Un bug ancien du logiciel du portefeuille a dégradé l’aléa cryptographique. Au lieu de 128 bits d’entropie, un mécanisme de secours produisait des clés d’environ 40 bits, réduisant drastiquement le nombre de combinaisons possibles à un espace exploitable par calcul.
Entrées déterministes exploitées
Le mécanisme de secours reposait en partie sur des données prévisibles telles que les numéros de série des appareils et l’horodatage de création du portefeuille. En réduisant l’espace de recherche, les attaquants ont pu tester systématiquement des combinaisons et retrouver les clés privées liées à des adresses financées.
Vulnérabilité présente depuis des années
La faille existerait depuis plus de cinq ans, affectant les portefeuilles générés durant cette période. Des signalements isolés précoces sur un aléa faible n’ont pas déclenché de correction globale, laissant un grand nombre d’adresses à risque.
Concentration et mouvement des fonds
Les bitcoins volés ont d’abord été regroupés dans quatre adresses principales, restées en grande partie inactives. Un mélange de petits détenteurs et de portefeuilles de taille moyenne — certains contenant 1 à 50 BTC — représente l’essentiel des pertes.
Paradoxe de l’open source
Le logiciel du portefeuille est open source, généralement perçu comme un avantage de sécurité. Ici, un problème critique est resté inaperçu pendant des années dans un code public, puis a été exploité une fois découvert.
L’IA comme facteur accélérant
La découverte et l’exploitation ont pu être aidées par une analyse automatisée avancée, capable d’examiner du code ancien et de tester d’immenses espaces de clés. L’incident montre comment les outils modernes peuvent révéler à grande échelle des vulnérabilités négligées.
La mitigation exige une migration
Mettre à jour le firmware ne suffit pas pour les utilisateurs concernés. Les recommandations insistent sur la création d’un nouveau portefeuille avec une entropie forte et le transfert des fonds, car les clés compromises restent vulnérables malgré les mises à jour.
CONCLUSION
Cet incident montre qu’une faiblesse cryptographique subtile peut contourner même des protections matérielles, et annonce une évolution où des outils automatisés exposent rapidement des vulnérabilités latentes dans des systèmes ouverts.