Les pertes liées à la vulnérabilité du portefeuille matériel ColdCard ont atteint près de 89 millions de dollars, les attaquants ayant étendu leur campagne à 4 585 adresses Bitcoin lors de trois vagues coordonnées de vol, selon Galaxy Research.

La dernière vague de piratage a porté le total volé à 1 367 BTC, contre environ 1 083 BTC (70 millions de dollars) signalé un jour plus tôt seulement.

L'attaque a fait surface pour la première fois le 30 juillet, lorsque des pirates ont drainé environ 594 BTC de près de 500 portefeuilles dans ce qui semblait initialement être un incident isolé. En quelques heures, une deuxième vague nettement plus importante a compromis plus de 1 196 portefeuilles, portant les pertes cumulées au-delà de 70 millions de dollars. Cette deuxième vague a révélé que l'exploit cible les portefeuilles créés avec des versions vulnérables du firmware ColdCard plutôt que les appareils physiques eux-mêmes.

Une troisième vague nouvellement identifiée indique que la campagne reste active et en évolution. Contrairement aux attaques précédentes, qui consolidaient les bitcoins volés dans un petit nombre de portefeuilles collecteurs, la dernière opération achemine les fonds de chaque victime vers des adresses de destination distinctes stockées dans des sorties pay-to-witness-script-hash (P2WSH). Les chercheurs notent que cette approche plus sophistiquée pourrait compliquer l'analyse de la blockchain.

Selon les chercheurs, l'exploit provient d'une configuration de compilation du firmware qui a conduit les appareils ColdCard affectés à générer des graines de portefeuille à partir de valeurs matérielles prévisibles au lieu du générateur de nombres aléatoires matériel dédié de l'appareil. Les portefeuilles matériels dépendent d'une entropie de haute qualité provenant de ces générateurs pour s'assurer que les clés privées ne peuvent pas être devinées ou reproduites par des tiers. Étant donné que chaque clé privée Bitcoin est dérivée de cette graine, les attaquants capables de la recréer peuvent dériver le même portefeuille et récupérer les fonds sans jamais accéder physiquement à l'appareil.

L'incident figure parmi les plus grandes attaques jamais dirigées contre l'auto-garde de Bitcoin par la génération de clés cryptographiques, par opposition aux logiciels malveillants, au phishing ou aux piratages de plateformes d'échange. ColdCard, fabriqué par Coinkite, est un portefeuille matériel largement utilisé parmi les utilisateurs de Bitcoin qui pratiquent l'auto-garde — gérant leurs propres clés privées plutôt que de confier leurs fonds à des plateformes d'échange. L'exploit a exposé un risque de chaîne d'approvisionnement distinctif : les utilisateurs qui ont maintenu de manière sécurisée des portefeuilles hors ligne pendant des années sont restés vulnérables si ces portefeuilles avaient été créés à l'origine avec le firmware affecté, même si l'appareil a été mis à jour par la suite.

Galaxy Research avertit que le nombre croissant d'adresses affectées suggère que les attaquants continuent d'identifier de nouveaux portefeuilles vulnérables, ce qui signifie que les pertes totales pourraient augmenter davantage à mesure que de nouvelles graines faibles sont reconstituées et exploitées.