Bitcoin Magazine rapporte que plus de 1 000 bitcoins auraient été volés dans une attaque d’abord évoquée sur les réseaux sociaux dans l’après-midi du 30 juillet. Coinkite, fabricant de portefeuilles matériels surtout connu pour sa gamme Coldcard d’appareils Bitcoin uniquement, a été identifié comme présentant un bug critique dans la manière dont ses portefeuilles matériels généraient des clés privées sécurisées, et des experts du secteur estiment que l’IA a pu être utilisée dans cette intrusion.

Les appareils Coldcard MK3 exécutant les versions du micrologiciel 4.0.1, publiées en mars 2021, jusqu’à 4.1.9 sont considérés comme les plus touchés. Les seeds de 12 ou 24 mots générées par l’appareil sont vulnérables si elles n’incluaient pas de lancers de dés générés par l’utilisateur ou une passphrase supplémentaire BIP 39 — un mot ou une phrase additionnelle facultative qui agit comme un vingt-cinquième mot de seed, créant une couche de portefeuille distincte au-dessus de la seed standard.

Les utilisateurs correspondant à cette description et détenant des bitcoins sur un Coldcard MK3 doivent considérer leurs fonds comme à risque et les déplacer dès que possible. Le rédacteur technique de Bitcoin Magazine, Shinobi, a publié un guide sur le sujet, et Coinkite a également publié un guide et un avis.

La vulnérabilité était liée à une ligne de code spécifique dans le micrologiciel, la base de code logicielle de bas niveau qui contrôle le matériel. Le micrologiciel semble pouvoir être mis à niveau. Coinkite a mis à jour son avis dans la matinée du 31 juillet et indiqué qu’un micrologiciel corrigé est désormais disponible pour les trois gammes d’appareils, y compris MK3, MK4, MK5 et le Coldcard Q.

Coinkite a écrit : « Updated July 31, 2026 at 9:33 a.m. EDT: Fixed firmware is now available. Mk4 and Mk5 users must update to version 5.6.0 or later. Q users must update to version 1.5.0Q or later. For Mk3, update to version 4.2.0 or later. »

L’entreprise a également précisé que la mise à jour du micrologiciel ne rend pas rétroactivement sûres les clés privées et publiques générées par le micrologiciel vulnérable. Ces clés restent vulnérables, car elles ont été créées de fait avec un mot de passe faible. Après la mise à jour, les utilisateurs doivent créer un nouveau portefeuille et transférer les fonds onchain vers de nouvelles adresses afin de les sécuriser.

Coinkite a déclaré : « Updating the firmware does not change or repair an existing seed. If your seed was generated before the fixed firmware version for your model, follow the migration guidance below unless the independent dice-entropy exception applies to you. »

Certains portefeuilles multisignatures peuvent être exposés

Peter Todd, contributeur à Bitcoin Core et ingénieur en cybersécurité, a abordé aujourd’hui des cas particuliers concernant les portefeuilles multisignatures qui utilisent plusieurs Coldcards pour sécuriser des fonds.

Il a donné cet exemple : « Example case: you have a 2-of-3, with 2 Cold Cards, and a 3rd uncompromised device. If you move your funds, the moment your script is revealed for the first time – previously hidden behind the address hash – the attacker now knows enough to use the compromised 2 cold card keys to steal your funds. »

La transaction qui révèle le script multisig pourrait ne pas être confirmée, ce qui donnerait aux attaquants suffisamment de temps pour créer une transaction concurrente avec des frais plus élevés. Heureusement, de tels cas ont une solution : le pool de minage MARA peut aider dans ce cas grâce à son service privé de minage via mempool, Slipstream ; « because they promise to keep your transaction – and thus pubkeys – secret until they’re already in a block. Dramatically reducing the ability of the attacker to steal the funds, » a déclaré Todd. Il a ajouté : « If you’ve already reused addresses, this isn’t relevant, and you should just try to move your funds ASAP. But if you haven’t, MARA may be able to help. »

Au-delà de la crise immédiate

NVK, l’un des cofondateurs de Coldcard, a publié un long संदेश sur X avec une première analyse allant au-delà des étapes de sécurité immédiates nécessaires pour protéger les fonds. Dans ce message, il a écrit que l’entreprise est « committed to working with affected users who want to pursue a police report, insurance claim, or their own investigation », y compris « a written incident summary specific to your loss and any transaction data we can share ».

Au-delà de la crise immédiate, NVK a souligné un changement technologique plus large à mesure que les capacités de piratage de l’IA commencent à modifier les dynamiques et attentes antérieures en matière de cybersécurité. Dans l’article de blog, il a écrit :

« To every other developer: we believe this is a sober reality of the new AI paradigm. AI-assisted code review can now find latent bugs at a speed that is outpacing even the industry’s most seasoned experts. If your firmware is open-source or has ever been public, assume it’s already being read by attackers and defenders alike. »

L’attaque et les plus de 70 millions de dollars estimés de fonds volés au cours des dernières 24 heures constituent une récompense effective versée aux pirates qui auditent désormais probablement chaque base de code de portefeuille disponible à la recherche de vulnérabilités. Alors que l’industrie Bitcoin et, plus largement, l’industrie crypto ont généralement fonctionné en partant du principe que les pirates testeront leur code, le développement de modèles d’IA optimisés pour la cybersécurité accélère ces գործընթացներ. Des experts du secteur se sont réunis lors d’un long appel public X Spaces hier soir, discutant du sujet pendant de nombreuses heures. Au-delà des recommandations immédiates et des réponses aux questions des utilisateurs de Bitcoin tout au long du long Spaces, l’analyse de ce qui est susceptible de suivre dans les semaines à venir a également été abordée. D’autres fournisseurs de portefeuilles sont susceptibles d’être ciblés, et en particulier les projets open source qui génèrent des matériaux de clés privées seront testés.

Le X Spaces n’a pas été enregistré, probablement pour préserver la vie privée de toutes les personnes présentes dans l’appel ; toutefois, le sentiment initial suggère que les entreprises devront auditer leur code avec les derniers modèles de pointe, par nécessité de survie. Les derniers modèles d’IA orientés cybersécurité d’Anthropic, OpenAI, Moonshot’s Kimi K3 et d’autres sont déjà accessibles au public. De nombreuses entreprises du secteur Bitcoin les utilisent déjà pour tester l’intégrité du code, mais certaines pourraient ne pas le faire, et la course pour trouver des vulnérabilités dans le code exposé aux portefeuilles se poursuivra certainement, en particulier dans les semaines à venir. En définitive, aujourd’hui nous déplorons la perte de coins, et un état d’introspection et de révision minutieuse s’installe. Au-delà de ce piratage désormais historique, l’industrie et l’infrastructure open source de self-custody devraient devenir des ordres de grandeur plus sûres, avec des leçons très difficiles apprises. Après tout, chaque pirate disposant d’un agent d’IA teste probablement déjà les défenses.

Portefeuilles multi-fournisseurs, multi-clés et covenants

Les futurs portefeuilles à haute souveraineté, qu’ils soient destinés au détail ou aux entreprises, sont susceptibles de ne pas dépendre d’un seul fournisseur. Les portefeuilles multisignatures, lorsqu’ils sont bien conçus, peuvent répartir les risques de vulnérabilité entre différentes bases de code, équipes et matériels.

L’entropie générée par l’utilisateur a également été un thème majeur du X Spaces évoqué plus tôt, l’entropie issue de lancers de dés ayant été régulièrement mentionnée comme solution. Les Coldcards, ainsi que d’autres portefeuilles matériels comme Foundation Devices, expliquent aux utilisateurs comment ajouter correctement leur propre entropie ; il faut lancer les dés de nombreuses fois, idéalement bien plus d’une centaine de lancers individuels. Une fois cela fait, les lancers de dés représentent une source de hasard non logicielle pour les portefeuilles, tout en séparant les utilisateurs des risques de cas limites liés à l’entropie générée par logiciel ou par matériel. Les covenants, une soft fork populaire au sein d’un certain créneau de l’industrie Bitcoin, ont également commencé à être évoqués comme une étape supplémentaire pour renforcer l’industrie de la self-custody. Cette mise à niveau du consensus Bitcoin, qui pourrait être difficile à faire adopter si elle l’est un jour, pourrait offrir aux utilisateurs des capacités de smart contract importantes, comme un portefeuille qui ne peut envoyer des fonds qu’à une liste blanche d’adresses, ce qui n’est pas possible aujourd’hui dans le script Bitcoin.

Cette publication Coinkite Releases Fixed Firmware After Coldcard Bug; AI Likely Involved In The Breach est apparue pour la première fois sur Bitcoin Magazine et est rédigée par Juan Galt.