Une faille majeure d'un portefeuille Bitcoin permet le vol de 594 BTC en 25 minutes

Une faille d'aléa chez Coldcard a transformé des graines « impossibles à deviner » en graines devinables — et 38 millions de dollars ont déjà disparu.

Un attaquant a exploité une faille dans la façon dont certains portefeuilles matériels Coldcard généraient leurs clés cryptographiques, dérobant environ 594 bitcoins — d'une valeur d'environ 38 millions de dollars — auprès de quelque 500 portefeuilles à signature unique en moins de 30 minutes. Les défaillances de génération de nombres aléatoires comptent parmi les catégories de vulnérabilités cryptomonétaires les plus insidieuses : les portefeuilles continuent de fonctionner normalement, les fonds semblent en sécurité, et aucune erreur n'est visible — pourtant, quiconque détecte la faille peut silencieusement calculer les clés privées et siphonner les fonds à volonté, parfois des années plus tard.

La vulnérabilité, introduite dans le firmware Coldcard 4.0.0 en mars 2021, amenait les appareils concernés à contourner leur générateur de hasard matériel et à revenir à une génération de clés logicielle prévisible, alimentée par des données de puce non secrètes.

Coinkite, le fabricant canadien de Coldcard, a averti les utilisateurs ayant créé des graines de portefeuille sur des appareils Mk3 exécutant le firmware version 4.0.1 ou ultérieure. L'entreprise a souligné que ses modèles Mk4, Q et Mk5 semblent épargnés selon une analyse préliminaire. Le vol a eu peu d'impact visible sur le prix du bitcoin.

Déroulement de l'attaque

Environ 594 bitcoins, d'une valeur d'environ 38 millions de dollars, ont été siphonnés depuis quelque 500 portefeuilles distincts entre 01:31 et 01:56 UTC vendredi. L'attaque a été attribuée à la faille de génération de clés de Coldcard.

Le vol a transféré 1 324 lots de bitcoins via 500 transactions dans une fenêtre de trois blocs. Sur le total, 562 BTC ont été consolidés dans une seule adresse qui n'a pas bougé depuis. L'adresse de consolidation peut être consultée sur mempool.space.

Chaque portefeuille drainé était à signature unique, et chacun contenait plus de 0,15 BTC. Beaucoup de ces portefeuilles étaient dormants depuis des années, avec des pièces s'étalant de 2021 à 2026 — correspondant presque exactement à la date d'introduction de la faille.

La cause racine

Coldcard est un portefeuille matériel conçu par Coinkite, un appareil autonome conçu pour stocker les clés privées Bitcoin hors ligne, à l'abri des ordinateurs connectés à Internet. Les Mk2, Mk3, Mk4, Q et Mk5 sont des générations successives du produit, publiées sur plusieurs années.

L'exposition dépend de la version du firmware exécutée sur l'appareil au moment où la graine du portefeuille a été créée pour la première fois — et non du moment où le matériel a été acheté.

La graine d'un portefeuille, la phrase de récupération secrète qui contrôle les fonds, est conçue pour être tirée au hasard dans un ensemble de possibilités si vaste que le devinement par force brute est computationnellement désespéré. Le firmware de Coldcard, cependant, n'atteignait pas ce standard.

Selon un rapport publié par les équipes d'ingénierie et de sécurité Bitcoin de Block, un paramètre de compilation indiquait à l'appareil d'ignorer son générateur de hasard matériel dédié. Une vérification dans une bibliothèque de support testait seulement si ce paramètre existait — et non s'il était réellement activé.

En conséquence, la génération de clés passait silencieusement à un substitut logiciel basique, alimenté par le numéro de série de la puce et les registres d'horloge. Aucune de ces valeurs ne constitue un secret : le numéro de série est une métadonnée d'usine fixe, et les valeurs d'horloge sont des états de minutage qu'un attaquant pouvait affiner ou mesurer sur son propre appareil.

Block a retracé la modification à un commit daté du 1er mars 2021, livré dans le firmware 4.0.0 ce même mois. Ce mode de défaillance rappelle un incident bien connu de 2013, dans lequel une faille dans l'implémentation SecureRandom d'Android avait permis à des attaquants de prédire les clés privées de portefeuilles Bitcoin générées sur des appareils Android concernés, provoquant des avertissements d'urgence de la part des développeurs de portefeuilles.

Divulgation et réponse

Coinkite a publié un avertissement sur son blog officiel, conseillant aux utilisateurs ayant généré une graine sur un Mk3 exécutant la version 4.0.1 ou ultérieure d'agir. L'entreprise a déclaré : « Mk4, Q et Mk5 ne sont pas concernés selon notre analyse préliminaire. » La pratique standard pour les utilisateurs concernés consiste à générer immédiatement une nouvelle graine sur un appareil exécutant un firmware non affecté et à transférer tous les fonds vers le nouveau portefeuille.

Block a indiqué avoir divulgué ses conclusions directement à Coinkite, dont l'équipe a reconnu la vulnérabilité. Les deux entreprises ont qualifié leurs analyses de préliminaires. Block a précisé avoir publié son rapport sans avoir terminé les tests complets d'exploitabilité car une exploitation active était déjà en cours.

Portée au-delà des graines de portefeuille

L'exposition s'étend au-delà des graines de portefeuille standard. Le même générateur de nombres aléatoires défectueux était également utilisé pour produire les clés privées de portefeuilles papier de Coldcard — où le résultat devient la clé directement sans dérivation supplémentaire — ainsi que les masques de fractionnement de graine, les clés de clonage d'appareil et les transferts Key Teleport. L'étendue des fonctionnalités concernées signifie que les utilisateurs ayant eu recours à l'une de ces fonctions sur un appareil Mk3 affecté peuvent également être exposés, même s'ils n'ont jamais utilisé de graine de portefeuille standard.

Le bitcoin se négociait au-dessus de 64 000 dollars durant les premières heures de trading asiatique, le drain massif de portefeuilles semblant avoir eu un impact minimal sur le marché plus large.

Source : CoinDesk