Le vol Coldcard atteint 88 M$ sur trois vagues alors que les flux entrants vers les plateformes d’échange bondissent et que du bitcoin dormant s’éveille

Trois balayages suspects drainent 4 585 adresses

Galaxy Research a indiqué sur X que trois vagues présumées de vol ont drainé environ 4 585 adresses et saisi des bitcoins d’une valeur d’environ 88,6 millions de dollars au moment de l’analyse. Le groupe a précisé que ses conclusions sont préliminaires et reposent uniquement sur des données publiques de la blockchain Bitcoin. Un autre tableau de bord, Coldcard Sweep Watch, situe le total du vol à 1 158,8480 BTC à 17 h EDT samedi.

La plus importante des trois vagues est survenue en premier. Le 30 juillet, un attaquant a vidé 1 082,65 BTC provenant de 1 195 adresses en seulement 41 minutes, selon les chercheurs de Galaxy. Une deuxième opération, le lendemain, a collecté 76,16 BTC depuis 1 478 adresses. La troisième vague, qui s’est étendue du 31 juillet au 1er août, a drainé environ 208 BTC depuis 1 912 adresses.

La troisième vague rompt avec le schéma, soulevant des questions sur l’identité de l’attaquant

La troisième opération s’est distinguée méthodologiquement des deux premières. Les vagues 1 et 2 ont acheminé les fonds volés via un petit nombre d’adresses de collecte et de conservation. La vague 3, en revanche, a réparti les bitcoins des victimes dans 293 coffres P2WSH distincts, un type d’adresse SegWit native qui masque ses conditions de dépense jusqu’au déplacement des pièces.

Galaxy a noté que cette structure fragmentée rend beaucoup plus difficile pour des observateurs externes d’agréger et de suivre les fonds. Ce changement pourrait indiquer que l’attaquant initial a restructuré l’opération après la publicité donnée aux premiers balayages. À l’inverse, une autre partie aurait pu identifier et exploiter indépendamment le même ensemble d’adresses vulnérables. Les seules données de la blockchain ne permettent pas de trancher entre ces hypothèses.

La vulnérabilité reliée à une version du firmware Coldcard de 2021

Galaxy a associé les adresses exploitées à une version vulnérable du firmware Coinkite Coldcard diffusée le 17 mars 2021. Fait notable, aucune des pièces affectées n’a été créée avant cette mise à jour. L’adresse médiane de la victime était restée inactive pendant environ 3,5 ans, ce qui correspond aux habitudes d’un stockage à froid de longue durée.

Coldcard est un portefeuille matériel Bitcoin uniquement, fabriqué par Coinkite et présenté pour son modèle de sécurité air-gapped, dans lequel les clés privées ne sont jamais censées toucher un appareil connecté à Internet. L’incident souligne que même les portefeuilles conçus pour le stockage hors ligne des clés peuvent présenter des failles exploitables introduites via le firmware — une préoccupation qui s’étend à l’ensemble du secteur des portefeuilles matériels, où la sécurité de l’appareil dépend fortement de l’intégrité du logiciel exécuté dessus.

Les dépôts sur les plateformes d’échange constituent un deuxième signal

Alors que les chercheurs cartographiaient les vols présumés, les plateformes centralisées d’échange de cryptomonnaies ont enregistré le 31 juillet une forte hausse des dépôts de bitcoin. Des données partagées par Sani de Timechainindex.com montrent des entrées nettes de 11 163 BTC sur la journée.

River a reçu environ 3 679 BTC, suivi de Binance avec 3 224 BTC, Kraken avec 2 848 BTC et OKX avec 1 291 BTC. Au total, les entités centralisées ont reçu 15 205 BTC depuis des adresses non identifiées en une seule journée, augmentant fortement leurs avoirs déclarés.

Les fortes entrées sur les plateformes d’échange attirent souvent l’attention, car les pièces déposées sur les plateformes de négociation peuvent être destinées à la vente, au nantissement ou à des transferts internes de conservation. Ces données n’établissent pas que les dépôts du 31 juillet provenaient d’utilisateurs Coldcard, d’attaquants ou de personnes répondant directement à l’incident.

Le calendrier reste néanmoins notable. Un incident de sécurité peut très certainement pousser des détenteurs à réorganiser leur stockage, à déplacer leurs pièces vers des plateformes d’échange ou à abandonner des configurations de portefeuille auxquelles ils ne font plus confiance. Il peut aussi coïncider avec des transferts institutionnels sans lien, des dépôts clients et des écritures comptables d’échange, rendant ce pic d’entrées important mais non concluant.

De nombreux bitcoins dormants commencent à bouger

Un troisième développement est apparu lorsque de nombreuses adresses créées entre 2010 et 2017 ont commencé à déplacer des pièces après neuf à 16 ans d’inactivité, selon des statistiques que Bitcoin.com News a recueillies auprès de btcparser.com. Les transactions visibles du 30 juillet au 1er août totalisaient environ 306 BTC, y compris des transferts répétés de 10 BTC et 30 BTC.

Une adresse créée le 2 juillet 2010 a déplacé une ancienne transaction coinbase de plus de 50 BTC. D’autres transactions comprenaient 37,8 BTC depuis une adresse de 2014 et un groupe coordonné de transferts provenant de trois portefeuilles créés le 29 juillet 2017. Ces trois portefeuilles ont déplacé 37,5 BTC et deux montants distincts de 30 BTC dans le même bloc.

L’activité dormante ne peut pas être reliée aux balayages Coldcard à partir des données disponibles. En effet, Galaxy Research a précisé que les pièces des victimes présumées avaient toutes été créées après la publication du firmware vulnérable en 2021, tandis que nombre des portefeuilles dormants récemment actifs détenaient du bitcoin des années avant l’existence de Coldcard.

Cependant, à l’instar de l’activité sur les plateformes d’échange rapportée par Sani, les détenteurs de bitcoin (BTC) restés longtemps inactifs peuvent remettre en question leurs dispositifs de sécurité et transférer des fonds vers d’autres solutions, y compris des services de conservation.

À notre connaissance, Galaxy Research a indiqué suivre sept adresses de conservation issues des deux premières vagues et 293 coffres issus de la troisième. Le premier mouvement depuis l’un de ces coffres pourrait exposer leurs scripts et révéler si les mêmes clés de signature ou la même structure de dépense apparaissent sur plusieurs adresses.

Au moment de la publication, le sentiment en ligne restait profondément baissier, avec le BTC s’échangeant sous 63 000 $ à exactement 62 326 $ par coin.