Des portefeuilles Bitcoin "cold" dévalisés de 70 M$ sans accès aux appareils

Plus de 1.000 bitcoins, soit environ 70 millions de dollars, ont été siphonnés de 1.196 portefeuilles en 41 minutes le 30 juillet, un montant presque deux fois supérieur aux premières estimations. Galaxy Research a reconstitué l'épisode vendredi : 1.082,65 BTC ont été transférés entre 01h10 et 01h51 UTC sur six blocs, avec trois blocs intermédiaires vides, ce qui laisse penser à une diffusion des transactions par lots. Les fonds sont regroupés sur quatre adresses et n'ont pas bougé. Les premiers articles n'avaient repéré qu'une seule de ces adresses, d'où la révision à la hausse. Si l'ampleur reste inférieure à certaines attaques majeures observées cette année, c'est la méthode qui retient l'attention. La plupart des vols crypto supposent de "mettre la main" sur quelque chose : compromission d'un exchange, détournement d'un contrat, hameçonnage d'une clé sur un ordinateur. Les portefeuilles matériels misent sur l'éloignement : conserver la clé sur un appareil non connecté à Internet, censé ne laisser aucune prise à un attaquant. Au cœur du problème, la génération de la "seed", ce nombre supposé immense et imprévisible dont dérivent, via des règles publiques, toutes les adresses et clés privées. Le firmware de Coldcard devait produire cette seed via un générateur matériel d'aléa. Or, un paramètre interne de compilation demandait d'ignorer ce générateur, et un contrôle dans une bibliothèque de support ne vérifiait que l'existence du paramètre, pas son activation. Résultat : la génération de clés basculait sur un substitut logiciel basique, amorcé à partir du numéro de série de la puce et de registres d'horloge. Le numéro de série est une donnée d'usine fixe, et les valeurs d'horloge correspondent à un état temporel qu'un attaquant peut estimer ou mesurer sur un appareil similaire. Conséquence : l'espace des clés possibles s'est effondré, passant d'un domaine pratiquement infini à un ensemble dénombrable. Des équipes de sécurité indiquent que, sur les anciens Mk2 et Mk3 (différents modèles Coldcard), la génération des clés pouvait être déterminée ; sur les Mk4, Q et Mk5, la plage serait d'environ quatre milliards de possibilités. Quatre milliards, c'est énorme à l'échelle humaine, mais modeste pour un ordinateur. Le scénario d'attaque est alors entièrement hors ligne côté victime : l'attaquant génère des seeds candidates sur son propre matériel, en déduit les adresses correspondantes et les compare à la blockchain publique, téléchargeable par n'importe qui. L'appareil de la victime n'intervient jamais et pourrait même être éteint, rangé dans un coffre à l'autre bout du monde. L'analyse de Galaxy suggère une énumération systématique. Parmi les portefeuilles vidés, 1.183 utilisaient le format d'adresse natif segwit, sept un format standard plus ancien et six un format plus ancien encore. Un ciblage individuel à travers trois formats à la fois paraît peu plausible ; l'hypothèse privilégiée est un balayage de seeds candidates, testées sur tous les chemins de dérivation possibles. L'opérateur peut étendre la recherche, l'affiner et revenir plus tard. Galaxy avertit que d'autres vagues sont probables si les détenteurs ne déplacent pas leurs fonds. Problème supplémentaire : il n'existe pas de test permettant à un utilisateur de savoir s'il est exposé. Aucun contrôle sur son propre wallet ne peut établir si sa seed appartient à la plage reproductible. Coinkite, fabricant de Coldcard, a alerté les propriétaires de Mk3 et affirme que ses appareils plus récents ne sont pas affectés, tandis qu'un rapport de Block inclut aussi les Mk2, Mk4, Q et Mk5 dans le périmètre. Tant que ces divergences ne sont pas tranchées, toute personne ayant généré une seed avec le firmware concerné doit partir du principe du pire sans pouvoir le vérifier. L'attaquant aurait toutefois commis une erreur. Clay Garrett (Block) a indiqué sur X que l'opérateur avait utilisé un compte payant chez un "fournisseur de données blockchain bien connu" pour interroger les adresses sources pendant les transferts. Les journaux internes du prestataire correspondraient, avec une précision jugée exceptionnelle, au mode opératoire suspecté, jusqu'au nombre, au timing et à la séquence des requêtes. Le prestataire aurait simplement fourni des services standard, sans élément révélant l'intention. Block dit avoir transmis ces informations aux autorités. Le stockage à froid promet qu'une clé est impossible à deviner. Beaucoup l'ont interprété comme la promesse qu'elle est impossible à atteindre ; or le coût pour identifier et exploiter des failles du premier type continue de baisser. Anthropic a publié mardi des travaux montrant qu'un de ses modèles réduisait de moitié la sécurité d'un algorithme post-quantique candidat en 60 heures, face à un design qui avait résisté à deux ans d'examen par des experts. Protéger une clé devient la partie la plus simple ; la difficulté se déplace vers la robustesse de sa génération.