La vulnérabilité à l'origine du vol de plus de 83 millions de dollars en Bitcoin sur les portefeuilles Coldcard représente bien plus qu'une simple défaillance d'un portefeuille matériel, selon Jameson Lopp, cofondateur de Casa. Elle signale un changement plus large en cybersécurité, l'intelligence artificielle accélérant les délais dont disposent attaquants et défenseurs pour découvrir des vulnérabilités logicielles. Les portefeuilles matériels sont depuis longtemps considérés comme le standard de référence pour l'autosauvegarde précisément parce qu'ils maintiennent les clés privées hors ligne, ce qui rend cette violation particulièrement significative pour la confiance des utilisateurs dans cette catégorie.

S'exprimant sur le podcast The Starting Block de The Block, Lopp a affirmé que les grands modèles de langage (LLM) transforment la sécurité logicielle en réduisant considérablement le coût de découverte des bugs.

« Les progrès des grands modèles de langage modifient radicalement le paysage de la sécurité », a déclaré Lopp. Il a décrit l'incident Coldcard comme l'un des premiers exemples concrets de ce phénomène, dont il s'attend à ce qu'il ait des répercussions sur l'ensemble de l'industrie des portefeuilles matériels.

Une course à double tranchant

Selon Lopp, la violation Coldcard relève moins d'un dysfonctionnement matériel que d'un paysage de sécurité logicielle en pleine mutation. L'analyse de code alimentée par l'IA, autrefois domaine exclusif des équipes de sécurité bien financées, s'est démocratisée. Par conséquent, les attaquants peuvent désormais fouiller les dépôts de code publics à la recherche de vulnérabilités négligées avant même que les développeurs ne les identifient.

Rodolfo Novak, PDG de Coinkite, est arrivé à la même conclusion tout en reconnaissant la responsabilité de son entreprise dans le bug du firmware. Il a qualifié l'incident de « réalité sobre du nouveau paradigme de l'IA », notant que les audits assistés par IA peuvent révéler des failles bien plus rapidement que les examens manuels traditionnels.

Il est à noter que, comme l'a rapporté TradingView, Coinkite avait en réalité utilisé une application d'IA pour analyser son code avant d'être piraté. Cette analyse n'a pas permis de détecter la faille — soulignant la réalité que les attaquants comme les défenseurs disposent désormais d'outils d'IA comparables, l'avantage allant à celui qui trouve la faille en premier.

Détails techniques de la vulnérabilité

La faille provenait de la manière dont certaines versions du firmware Coldcard généraient les clés de récupération du portefeuille. Selon les informations partagées par l'équipe d'ingénierie et de sécurité Bitcoin de Block et rapportées par le New York Post, les appareils concernés s'appuyaient sur des données de puce prévisibles — telles que les numéros de série des processeurs et les informations d'horloge — plutôt que sur un aléatoire cryptographique approprié pour générer les clés.

Cela a permis aux cybercriminels de reconstituer les phrases de récupération des portefeuilles et de voler des fonds sans jamais accéder physiquement aux appareils. La vulnérabilité est restée indétectée pendant plus de trois ans — le firmware défectueux a été introduit en mars 2021 et n'a été corrigé qu'avec la version 4.21 — illustrant comment des faiblesses cryptographiques subtiles peuvent persister même dans des produits conçus pour un usage à haute sécurité.

Selon Coinkite, une simple mise à jour du firmware est insuffisante. Les utilisateurs qui ont créé des portefeuilles sur les versions affectées doivent générer une nouvelle phrase seed de récupération et transférer leurs fonds, car la vulnérabilité est liée à la phrase seed d'origine.

Galaxy Research a rapporté que le 30 juillet, des criminels ont volé 1 082,65 BTC sur 1 196 portefeuilles en environ 40 minutes. Des vagues d'attaques supplémentaires ont suivi, dont une observée par Alex Thorn de Galaxy qui semblait cibler les détenteurs de portefeuilles multi-signatures, tandis que les attaques précédentes s'étaient concentrées exclusivement sur les utilisateurs à signature unique.

Guy Swann, éminent commentateur Bitcoin, a qualifié l'incident de « pire coup de l'histoire du bitcoin » pour les détenteurs de crypto-monnaies consciencieux.

Les limites de « Ne pas faire confiance, vérifier »

Pour Lopp, la violation expose également les limites pratiques de l'un des principes les plus célèbres du Bitcoin : « Ne pas faire confiance, vérifier. »

« C'est un bon mantra », a-t-il reconnu, « mais il faut comprendre que la vérification de logiciels et de matériels complexes n'est tout simplement pas réalisable pour 99,9 % de la population. »

Lopp a soutenu que les utilisateurs finissent inévitablement par accorder leur confiance à des tiers pour valider les informations. Plutôt que d'abandonner l'autosauvegarde, il préconise que les utilisateurs diversifient cette confiance entre plusieurs portefeuilles matériels et applications logicielles.

Zach Herbert, PDG de Foundation, a fait écho à cette perspective dans le podcast, déclarant qu'il serait « vraiment dangereux » de conclure que l'autosauvegarde a échoué sur la base d'un seul incident. Au contraire, a-t-il soutenu, l'industrie doit renforcer ses pratiques de sécurité.

Lorenzo Valente, d'ARK Invest, a observé que de nombreux utilisateurs ont en réalité échangé le risque de contrepartie des plateformes d'échange contre un « risque logiciel, risque matériel, risque lié à la chaîne d'approvisionnement, risque de hameçonnage, risque de sauvegarde ».

La nécessité des audits indépendants

L'incident a relancé les appels en faveur d'audits indépendants de firmware par des tiers, plutôt que de s'en remettre uniquement à l'auto-examen du fournisseur. Andrew Lazutkin, directeur technique de Tangem, a mis en garde contre le fait de considérer automatiquement le code accessible au public comme sécurisé. « La sécurité vient d'une architecture solide, de tests approfondis et d'une vérification indépendante », a-t-il déclaré.

Lopp a noté que des vulnérabilités majeures de portefeuilles matériels ont été divulguées « une douzaine de fois » au fil des ans et a exprimé sa conviction que chaque incident a contribué à renforcer l'industrie. Le modèle de firmware open source de Coldcard, tout en permettant l'examen communautaire, signifie également que le même code publiquement disponible est accessible aux attaquants équipés d'IA qui scannent les dépôts à la recherche de failles exploitables.

La question qui reste en suspens est de savoir si Coinkite honorera son engagement à réaliser un post-mortem technique et à entreprendre des évaluations de sécurité indépendantes plus complètes — avant que des attaquants équipés d'IA ne découvrent la prochaine faille.