Block attribue le vol de 38 M$ en bitcoin sur COLDCARD à un prestataire de services blockchain

L'équipe d'ingénierie de Block dit avoir identifié l'acteur à l'origine de l'exploitation visant les portefeuilles matériels COLDCARD. Selon ses conclusions, l'attaque remonte à un prestataire de services blockchain qui aurait été utilisé lors du siphonnage des fonds. Le piratage, survenu le 30 juillet, a vidé environ 594 BTC, soit près de 38 M$, depuis quelque 500 portefeuilles. L'opération s'est déroulée sur une fenêtre de 25 minutes, entre 01:31 et 01:56 UTC. Un bug de firmware vieux de cinq ans en cause À l'origine, un défaut introduit par une mise à jour de firmware datée de mars 2021, la version 4.0.0. Cette version désactivait le générateur matériel de nombres aléatoires (RNG) sur certains appareils COLDCARD. À la place, les appareils basculaient sur un mécanisme logiciel prévisible, reposant sur des valeurs de seed non secrètes. Un attaquant capable d'exploiter cette faiblesse pouvait alors reconstituer des seeds à partir de métadonnées propres à l'appareil. Les appareils concernés étaient principalement des modèles Mk3, ainsi que certaines unités Mk2 dont les seeds avaient été générées sous ce firmware compromis. D'après Block, l'attaquant aurait conservé cette information pendant des années et aurait ciblé des comptes restés dormants. La brièveté de l'exécution laisse penser à une préparation importante, avec des seeds vulnérables pré-calculées et un script automatisant la vidange. Divulgation coordonnée entre Block et Coinkite Block indique avoir travaillé avec Coinkite, le fabricant de COLDCARD, pour relier l'activité on-chain de l'attaquant à un prestataire de services blockchain. Les deux parties évoquent une divulgation urgente de la faille avant la publication de l'ensemble des détails techniques. Coinkite a diffusé une alerte immédiate à destination des utilisateurs de Mk3 et des modèles plus anciens ayant généré des seeds sous les versions de firmware concernées. Son analyse préliminaire estime que les modèles plus récents, dont Mk4, Q et Mk5, ne sont pas affectés par cette faille liée au RNG. La recommandation est de générer de nouvelles seeds sur un matériel non concerné et de migrer sans délai l'ensemble des fonds. Conséquences pour les utilisateurs et le marché Au moment des faits, le bitcoin s'échangeait au-dessus de 64 000 $, sans effet notable sur le marché. La vulnérabilité a été introduite par la mise à jour v4.0.0 en mars 2021. Les utilisateurs ayant appliqué cette version pensaient renforcer leur sécurité, alors qu'ils généraient en réalité des seeds via un RNG compromis.