Le casse du siècle sur la blockchain
Depuis le 30 juillet, la communauté Bitcoin assiste à l’un des plus gros vols de fonds jamais enregistrés sur la blockchain.
La faille exploitée remonte à un firmware publié en mars 2021 : au lieu d’utiliser son générateur matériel de nombres aléatoires pour créer les clés privées, le portefeuille Coldcard se rabattait sur un mécanisme logiciel bien moins robuste. Résultat : certaines seeds (phrases de récupération) étaient prévisibles, ouvrant la porte à des attaques massives et automatisées.
L’adresse Bitcoin bc1qq85v2c926eg6pgxhwp6q7lf6cnsz80qs3fcu9r concentre aujourd’hui près de 36 millions de dollars issus du butin. D’après coindesk.com, cette adresse est devenue un point focal pour suivre les mouvements des fonds volés et observer en direct les tentatives désespérées des victimes.
Des messages de détresse sur OP_RETURN
La traçabilité publique du Bitcoin a généré une scène inédite : des dizaines d’utilisateurs ont envoyé des micro-paiements accompagnés de messages via la fonction OP_RETURN directement à l’adresse du hacker. Certains supplient pour récupérer leurs économies perdues, d’autres proposent ouvertement leurs services pour blanchir les fonds ou sollicitent une part du butin en échange d’aide technique. Arkham Intelligence a recensé plusieurs de ces requêtes inscrites dans la blockchain, transformant ce portefeuille en véritable mur de graffitis numériques.
Ce ballet de messages illustre la panique et l’impuissance face à une attaque d’une telle ampleur.
Le phénomène n’est pas nouveau : lors d’autres hacks majeurs, OP_RETURN avait déjà servi à interpeller publiquement les voleurs. Mais rarement autant d’argent n’avait été en jeu ni autant de victimes impliquées – Galaxy Research recense déjà plus de 73 personnes ayant contacté ses équipes après avoir constaté la disparition brutale de leurs bitcoins.
Un bug à 100 millions de dollars
L’origine du drame tient dans une simple erreur logicielle : Coldcard générait parfois ses clés privées avec seulement 40 bits d’entropie au lieu des 128 bits recommandés (correspondant à une seed standard de 12 mots). Cette faiblesse rendait mathématiquement possible – et même trivial avec suffisamment de puissance informatique – le calcul rétroactif des clés privées associées aux adresses concernées.
Selon Francesco (Castle Labs), ce défaut aurait pu être évité pour environ deux dollars d’audit automatisé (“AI hardening”). Haseeb Qureshi (Dragonfly) affirme qu’un modèle open source comme GLM 5.2 a redécouvert la vulnérabilité en vingt minutes sans accès Internet. Pourtant, Tatsapat Saerejittima (Tokenomist) nuance : il est incertain que l’IA aurait détecté ce bug avant sa divulgation publique, tant il était enfoui dans le code depuis plus de cinq ans.
Voir Aussi
Coldcard sous le feu des critiques
Charles Guillemet, CTO chez Ledger, estime que cette affaire révèle un point faible structurel dans la sécurité des portefeuilles matériels Bitcoin : tout repose sur la qualité et l’indépendance du générateur d’aléa utilisé lors de la création des seeds.
Ledger précise que ses propres portefeuilles ne sont pas affectés par cette faille car ils s’appuient exclusivement sur un générateur matériel intégré dans un Secure Element certifié. Le contraste est frappant avec Coldcard qui, suite à cet incident, a publié un correctif le 16 juin dernier et appelle désormais tous ses utilisateurs concernés à migrer rapidement leurs fonds vers une nouvelle adresse sécurisée.
Les conséquences restent dramatiques : près de 90% des bitcoins volés n’ont pas encore bougé depuis leur transfert initial vers l’adresse compromise. Les coordonnées des attaquants présumés et celles des victimes ont été transmises aux autorités fédérales américaines ainsi qu’aux principales plateformes d’échange et sociétés spécialisées dans l’investigation blockchain. L’enquête reste ouverte alors que certains experts craignent déjà que les pertes totales ne dépassent bientôt les 2 000 BTC.
Des victimes désemparées face à l’ampleur du vol
Pour beaucoup d’utilisateurs individuels, il ne reste plus qu’à espérer un improbable geste du ou des hackers alors que les attaques se poursuivent malgré les alertes répétées.
Ce qui fait sens
- •Plus de 1 596 BTC (environ 100 millions de dollars) ont été volés depuis le 30 juillet via une faille Coldcard.
- •Au moins 15 attaquants différents ont exploité un bug du firmware Coldcard publié en mars 2021, selon Galaxy Digital.
- •L’adresse bc1qq85v2c926eg6pgxhwp6q7lf6cnsz80qs3fcu9r détient actuellement environ 36 millions de dollars issus du vol.
Les prochains développements à suivre
La publication du firmware corrigé par Coinkite le 16 juin 2024 marque une échéance clé, mais la confirmation d’une quatrième vague d’attaques, qui pourrait porter les pertes totales à environ 130 millions de dollars selon Galaxy Research, reste incertaine et sera surveillée de près par les acteurs du marché.