Galaxy Research a confirmé que 1,719 BTC, d'une valeur d'environ 111 millions de dollars, ont été volés dans le cadre de l'exploit du portefeuille matériel Coldcard. Coldcard est fabriqué par Coinkite et figure parmi les portefeuilles matériels uniquement Bitcoin les plus utilisés, conçus pour conserver les clés privées dans un cold storage isolé, à l'abri des appareils connectés à Internet. L'entreprise estime que les pertes totales dépassent probablement 130 millions de dollars, alors que les chercheurs continuent d'examiner des pièces suspectes supplémentaires.

Alex Thorn, responsable de la recherche à l'échelle de l'entreprise chez Galaxy, a reçu des rapports de pertes de plus de 250 victimes. Les candidats en attente en cours d'examen pourraient faire passer les pertes confirmées au-delà de 2,300 BTC.

Pertes confirmées et profil statistique

Galaxy a déclaré qu'elle ne classe les pièces comme confirmées qu'après avoir établi un haut niveau de confiance, généralement grâce aux rapports de plusieurs victimes. Le total confirmé actuel s'élève à 1,719 BTC.

Selon les données de Thorn, les pertes individuelles vont de 624 satoshis à 58.97 BTC. Mesurées par adresse, la perte médiane est de 0.014 BTC et la moyenne est de 0.212 BTC. Mesurées par victime déclarée, la perte médiane atteint 1.022 BTC, avec une moyenne de 4.04 BTC.

Les anciens Bitcoin dominent les fonds volés

Les pièces volées présentent une nette tendance d'âge. La durée de dormance médiane s'élève à 3.5 ans, et 88 % des pièces volées avaient au moins un an. Galaxy a signalé qu'aucune pièce volée ne provenait de la chaîne (on-chain) avant le 17 mars 2021 — une date qui coïncide avec la sortie du firmware Coldcard affecté. La concentration du vol parmi les pièces détenues depuis longtemps signifie que les utilisateurs qui ont maintenu des configurations de cold storage qu'ils croyaient sécurisées pendant plusieurs années ont tout de même été touchés. Ce modèle souligne la gravité d'une compromission au niveau du firmware dans une catégorie d'appareils dont la proposition de valeur principale est l'isolation des clés.

Les modèles matériels affectés sont les Coldcard Mk3, Mk4, Mk5 et Q. Les chercheurs ont déclaré qu'il n'y a actuellement aucune preuve impliquant d'autres appareils de signature ou portefeuilles.

Multiples acteurs de menaces et vagues d'attaques

L'enquête a identifié plus de 25 modèles d'attaque distincts lors des Vagues 1, 2 et 3, indiquant l'implication de multiples acteurs de menaces.

Galaxy a décrit le profil des victimes sur les trois vagues comme étant principalement des détenteurs de Bitcoin ordinaires plutôt que des investisseurs à grande échelle, déclarant que les victimes sont « majoritairement pas des baleines ». La répartition des pertes — allant de fractions de Bitcoin à près de 59 BTC par adresse — reflète le fait que l'exploit a touché des détenteurs sur un large éventail de tailles de portefeuilles, plutôt que de cibler une catégorie spécifique.

L'équipe de recherche continue d'examiner les soumissions des victimes et d'évaluer des pièces candidates supplémentaires avant de les ajouter à l'ensemble confirmé. Galaxy a noté que les candidats en attente pourraient faire monter les pertes confirmées au-dessus de 2,300 BTC à mesure que l'enquête progresse.