Les petits détenteurs de Bitcoin ont déplacé des fonds le 31 juillet à un rythme jamais vu depuis l'effondrement de FTX, selon CryptoQuant, alors que la nouvelle se répandait que les portefeuilles matériels Coldcard généraient des clés devinables depuis cinq ans.

Les transferts de moins de 1 BTC ont totalisé 39 600 BTC (environ 2,5 milliards de dollars) ce jour-là, a tweeté Julio Moreno, responsable de la recherche de la firme. Le dernier chiffre comparable était de 39 900 BTC le 16 novembre 2022, quelques jours après la faillite de FTX. Les adresses actives quotidiennes sont passées de 645 000 le 30 juillet à près d'un million le 31 juillet, le niveau le plus élevé depuis décembre 2024, cette augmentation étant concentrée sur les adresses émettrices plutôt que réceptrices.

Une partie de ces fonds est allée vers les échanges. Les dépôts constitués de transferts de moins de 10 BTC ont atteint 7 300 BTC (459 millions de dollars) le 31 juillet, le montant le plus élevé depuis le 6 février, selon CryptoQuant. Moreno a lié ce mouvement à la brèche Coldcard, affirmant que les gens semblaient déplacer leurs avoirs « à la recherche de sécurité », tout en notant que le lien n'était pas certain.

Il est à noter que le prix du Bitcoin a à peine bougé au milieu de la vague de dépôts sur les échanges, ce qui suggère que les utilisateurs déplaçaient leurs pièces pour les sécuriser plutôt que pour les vendre. Le Bitcoin se négocie actuellement à 62 724 $, en baisse de 0,7 % sur la dernière journée, selon les données de CoinGecko.

La faille Coldcard

La faille Coldcard remonte à une erreur de construction du micrologiciel de mars 2021 qui laissait les phrases de récupération tirées d'un pool beaucoup trop restreint. Galaxy Research a enregistré trois vagues de vols jusqu'à samedi, totalisant 1 367 BTC sur 4 585 adresses, contre 38 millions de dollars lorsque la faille a été divulguée et 70 millions de dollars lorsque le fondateur de Binance, Changpeng Zhao, a averti les détenteurs.

Une quatrième est probablement en cours. Alex Thorn de Galaxy Research a signalé des balayages sur 15 blocs consécutifs lundi, fonctionnant à environ 45 fois le taux normal, et après avoir corrigé un ensemble qui avait inclus à tort des adresses multisig, a estimé la vague à 709 adresses et 448,73 BTC (28 millions de dollars). Cela porterait le total cumulé à environ 1 816 BTC, soit près de 114 millions de dollars. Thorn a ajouté une mise en garde selon laquelle aucune victime n'a encore confirmé cette quatrième vague, qui repose sur la correspondance de motifs.

Certains balayages étaient encore en attente dans la mempool et avaient opté pour le 'replace-by-fee' (RBF), a-t-il dit, ce qui signifie que les détenteurs qui agissent rapidement et paient des frais élevés pourraient être en mesure de surenchérir sur l'attaquant. Aucune des adresses touchées lors des trois premières vagues n'était multisig.

'Un signal d'alarme'

Nick Percoco, responsable de la sécurité chez Kraken, a qualifié l'incident de « signal d'alarme pour l'ensemble de l'industrie des portefeuilles matériels ». Les ColdCard Mk4, Mk5 et Q sont livrés avec des éléments sécurisés certifiés, a-t-il noté, et leurs graines étaient toujours d'environ 72 bits, car la certification couvrait le composant sans que personne ne vérifie le chemin de code réellement exécuté.

Percoco souhaite une validation en laboratoire indépendante des sources d'entropie, liée à des versions spécifiques de micrologiciels et répertoriée dans un registre public, comme l'exigent déjà les terminaux de paiement. Il a ajouté que le correctif de Coinkite fait désormais échouer la compilation si le bon générateur n'est pas lié, un contrôle qu'il a déclaré avoir pris environ 48 heures à écrire une fois que l'entreprise a su ce qu'elle cherchait.